Linux進程行為分析模型的研究.pdf

1、本文介紹了當前的安全形勢，強調(diào)了通過監(jiān)控進程的行為進行入侵檢測的重要性。文章的目的是提出一種基于系統(tǒng)調(diào)用參數(shù)信息的進程行為分析模型。
　　在進程的行為數(shù)據(jù)采集階段，分析了四種流行的內(nèi)核層次攔截系統(tǒng)調(diào)用的方法并總結(jié)了它們的缺點，提出了通過修改中斷向量表攔截系統(tǒng)調(diào)用的方法，并利用LKM技術(shù)對其進行了實現(xiàn)。為了提出更好的檢測模型，對當前基于進程系統(tǒng)調(diào)用序列的 STIDE、KNN、HMM等經(jīng)典模型進行了實驗和分析，總結(jié)了這些模型的優(yōu)缺點。

2、通過分析這些模型的缺點，本文提出了基于系統(tǒng)調(diào)用參數(shù)信息的進程行為分析模型——A-LERAD；A-LERAD模型將系統(tǒng)調(diào)用參數(shù)、系統(tǒng)調(diào)用返回值和錯誤狀態(tài)加入了模型，使用系統(tǒng)調(diào)用和系統(tǒng)調(diào)用的參數(shù)信息對進程的行為進行表征。為了得到進程的正常行為庫，提出了基于規(guī)則學習的算法LERAD。LERAD算法能夠?qū)⑾到y(tǒng)調(diào)用的參數(shù)信息加入到規(guī)則中，生成進程的正常行為規(guī)則集。訓練時，通過規(guī)則學習算法LERAD生成進程正常行為的最小規(guī)則集；檢測階段利用該規(guī)則集

3、對進程的行為進行檢測，如果異常度超過了預(yù)設(shè)的閾值，那么該行為被認為是異常的。
　　為了證明本文提出的進程行為分析模型的正確性，本文又提出了三種基于LERAD規(guī)則學習算法的進程行為分析模型，它們分別是：基于系統(tǒng)調(diào)用序列的LERAD方法、融合系統(tǒng)調(diào)用序列和當前系統(tǒng)調(diào)用的參數(shù)信息的LERAD方法與融合系統(tǒng)調(diào)用序列和所有系統(tǒng)調(diào)用的參數(shù)信息的LERAD方法。最后，通過實驗證明基于系統(tǒng)調(diào)用參數(shù)信息的進程行為分析模型(A-LERAD)是這幾種方