基于改进隐马尔可夫模型的系统调用异常检测

作者：王琼; 倪桂强; 潘志松; 缪志敏; 胡谷雨

来源：数据采集与处理, 2009, (04): 508-513.

• 入侵检测
• 异常检测
• 隐马尔可夫模型
• 系统调用

针对隐马尔可夫模型计算开销过高的问题,提出了一种新的基于隐马尔可夫模型(Hidden Markov model,HMM)的异常检测方法,利用系统调用执行迹具有的局部规律性,用改进的HMM(Improved HMM,IHMM)学习算法来构建程序正常行为模型。在检测时,首先对待测系统调用数据用滑动窗口划分,并通过正常行为模型来判定异常,根据异常短序列占所有短序列的百分比来判断该进程是否行为异常。实验结果显示该方法训练耗时仅为传统方法的1%。当阈值在一个较大范围内变化时,模型的检测性能始终保持稳定。表明本文方法通过避免对大量相同短序列的重复计算,显著减少了训练时间和计算开销,在实际应用中具有良好的可操作性。

• 单位
  中国人民解放军陆军工程大学