基于主機的入侵檢測和預(yù)報算法.pdf

1、入侵檢測是繼數(shù)據(jù)加密、防火墻等傳統(tǒng)安全保護(hù)技術(shù)后的又一種新的安全技術(shù)。入侵檢測系統(tǒng)已經(jīng)成為計算機安全深層防衛(wèi)系統(tǒng)的重要組成部分。作為安全系統(tǒng)的重要組成部件和對其他安全技術(shù)的補充，入侵檢測系統(tǒng)越來越受到人們的重視。
　　 針對當(dāng)前大部分入侵檢測方法沒有海量審計數(shù)據(jù)的快速處理能力，本文利用非負(fù)矩陣分解算法建立正常程序行為模型，并以此對系統(tǒng)調(diào)用數(shù)據(jù)按照其所屬進(jìn)程進(jìn)行分組，通過統(tǒng)計系統(tǒng)調(diào)用在所屬進(jìn)程中的頻率。將頻率組成的列向量用以代表對

2、應(yīng)的系統(tǒng)調(diào)用數(shù)據(jù)。在此方法基礎(chǔ)上，引入單向滑動窗口和雙向滑動窗口，借助滑動窗口對頻率向量的劃分，使其不僅保留原數(shù)據(jù)的頻率特性，同時具有順序特性，最大限度的保證了檢測模型訓(xùn)練數(shù)據(jù)的準(zhǔn)確性合理性。以典型的系統(tǒng)調(diào)用數(shù)據(jù)為例，將進(jìn)程行為的入侵檢測問題轉(zhuǎn)化為向量空間的異常檢測問題，充分利用非負(fù)矩陣分解在矩陣降維和特征提取方面的優(yōu)點，將高維空間特征，映射到低維空間，最終可以在低維向量空間得到的對系統(tǒng)是否被入侵的直觀而明確的判斷。本文也致力于入侵檢測

3、預(yù)測算法的研究。對基于系統(tǒng)調(diào)用序列數(shù)據(jù)，嘗試了規(guī)劃識別的方法，根據(jù)觀測的系統(tǒng)調(diào)用子序列，預(yù)測其對應(yīng)的程序是否有入侵企圖。
　　 系統(tǒng)安全評估能夠檢測系統(tǒng)的安全漏洞以及系統(tǒng)中存在的威脅，并評估系統(tǒng)的安全狀況，是主動安全防御中的一項重要技術(shù)。目前我國的安全態(tài)勢評估研究正處于起步階段，本文設(shè)計并實現(xiàn)了一種基于主機的安全態(tài)勢評估與預(yù)測方法。該方法以安全審計數(shù)據(jù)為分析源，評估主機的安全狀態(tài)，并對未來可能的安全狀態(tài)進(jìn)行預(yù)測。我們使用層次化的