基于Shell命令和多阶Markov链模型的用户伪装攻击检测

作者：肖喜; 翟起滨; 田新广; 陈小娟; 叶润国

来源：电子学报, 2011, (05): 1199-1204.

• 网络安全
• 伪装攻击
• 入侵检测
• shell命令
• 异常检测
• 多阶Markov链 network security
• masquerade attack
• intrusion detection
• shell command
• anomaly detection
• high-order Markov chain

伪装攻击是指非授权用户通过伪装成合法用户来获得访问关键数据或更高层访问权限的行为.提出一种新的用户伪装攻击检测方法.该方法针对伪装攻击用户行为的多变性和审计数据shell命令的相关性,利用特殊的多阶齐次Markov链模型对合法用户的正常行为进行建模,并通过双重阶梯式归并shell命令来确定状态,提高了用户行为轮廓描述的准确性和检测系统的泛化能力,并大幅度减少了存储成本.检测阶段根据实时性需求,采用运算量小的、仅依赖于状态转移概率的分类值计算方法,并通过加窗平滑处理分类值序列得到判决值,进而对被监测用户的行为进行判决.实验表明,同现有的典型检测方法相比,该方法在虚警概率相同的情况下大幅度提高了检...

• 单位
  中国科学院研究生院; 中国科学院计算技术研究所; 北京启明星辰信息安全技术有限公司; 北京工商大学; 信息安全国家重点实验室