基于隐马尔可夫模型(HMM)的系统调用异常检测Anomaly Detection for System Call Sequences Based on HMM
杜静,陈媛媛
摘要(Abstract)：
HMM用来检测一个系统调用短序列是否异常,根据异常系统调用短序列占该进程所有短序列的百分比来判断该进程是否是入侵。考虑到当一个入侵发生时,会产生大量的异常系统调用,导致其邻近系统调用与正常系统调用不匹配。为此我们对HMM的异常检测方法作了进一步改进,改进后的方法对异常更敏感,误报率更低。
关键词(KeyWords)： 入侵检测;系统调用;隐Markov模型;域
基金项目(Foundation): 太原科技大学青年基金项目(2007123)
作者(Author): 杜静,陈媛媛
参考文献(References)：
- [1]FORRESTS,HOFMEYR S A,SOMAYAJI A,LONGSTAFF TA.Asense of self for UNIX processes[A].In Proceedings of the1996 IEEE Symposium on Security and Privacy[C].1996,120-128.
- [2]CHRISTINA WARRENDER,STEPHANIE FORREST,BARAK PEARLMUTTER.Detecting Intrusions Using System Calls:Al-ternative Data Models[A].1999 IEEE Symposium on Security and Privacy[C].1999,133-145.
- [3]闫巧,谢维信,宋歌,等.基于HMM的系统调用异常检测[J].电子学报,2003,31(10):1486-1490.
- [4]RABINER L R.A tutorial on hidden markov models and selected application in speech recognition[J].Proceedings of theIEEE,1989,77(2):257-286.