基于应用层协议关键词序列的应用层异常检测方法

• 作者: 余顺争 谢柏林
• 来源期刊: 计算机研究与发展
• 学科: 工学
• 关键词: 应用层异常检测 应用层协议关键词序列 隐半马尔可夫模型 平均对数或然概率 异常行为
• 年，卷（期）: 2011,（1）
• 所属期刊栏目: 信息安全
• 页码范围: 159-168
• 分类号: TP393
• 字数: 10220字
• 语种: 中文

摘要

提出一种基于应用层协议关键词序列的应用层异常检测方法.它用应用层协议关键词和关键词之间的时间间隔构成观测序列,用隐半马尔可夫模型来刻画正常用户在使用每种应用层协议时的行为.该方法可分为模型训练和异常检测两个阶段:在模型训练阶段,利用前后向算法训练得到正常用户在使用每种应用层协议时其行为的隐半马尔可夫模型;在异常检测阶段,在线统计每个观测序列相对于模型的平均对数或然概率,当发现某个用户在使用某种应用层协议的过程中其行为出现异常时,采取调整该用户数据流的优先级或者带宽的方式来对该用户的异常行为进行控制,从而可以自动纠正用户的异常行为.使用包括DARPA测试数据集在内的一些数据对该方法进行了验证.实验结果表明该方法能很好地描述正常用户在使用应用层协议时的行为,并且在检测用户异常行为时具有很高的检测率和很低的误报率.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	余顺争	中山大学电子与通信工程系	60	744	15.0	24.0
2	谢柏林	中山大学电子与通信工程系	4	61	3.0	4.0