基于混杂模型的上下文相关主机入侵检测系统

• 作者: 冯萍慧 戴英侠 李闻 连一峰
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: 入侵检测 混杂自动机 免训练 调用上下文相关 Linux
• 年，卷（期）: 2009,（1）
• 所属期刊栏目: 计算机网络与信息安全
• 页码范围: 138-151
• 页数: 14页
• 分类号: TP393
• 字数: 12417字
• 语种: 中文
• DOI: 10.3724/SP.J.1001.2009.03165

摘要

主机入侵检测的关键是监测进程的运行是否正常.现有的基于静态分析建模的方法具有零虚警的优良特性,但是,由于缺乏精确性或者效率的问题仍然不能实际使用,先前的工作试图在这两者之间寻找平衡点.基于NFA(nondeterministic finite automaton)的方法高效但是不够精确,基于PDA(push down automaton)的方法比较精确但却由于无限的资源消耗而不能应用.其他模型,例如Dyck模型、VPStatic模型和IMA模型使用一些巧妙的方法提高了精确性又不过分降低可用性,但是都回避了静态分析中遇到的间接函数调用/跳转问题.提出一种静态分析-动态绑定的混杂模型(hybrid finite automaton,简称HFA)可以获得更好的精确性并且解决了这一问题.形式化地与典型的上下文相关模型作比较并且证明HFA更为精确,而且HFA更适合应用于动态链接的程序.还给出了基于Linux的原型系统的一些实现细节和实验结果.