基于UNIX shell命令的用戶行為異常檢測的研究.pdf

1、隨著網(wǎng)絡(luò)的快速發(fā)展，人們在使用網(wǎng)絡(luò)提供的各種服務(wù)和信息的同時也面臨著日益增加的網(wǎng)絡(luò)入侵的困擾，網(wǎng)絡(luò)安全成為迫切需要解決的問題之一。異常檢測是目前入侵檢測系統(tǒng)研究的主要方向。這種檢測技術(shù)建立系統(tǒng)或用戶的正常行為模式，通過對被監(jiān)測系統(tǒng)或用戶的實際行為模式和正常模式之間的比較和匹配來檢測入侵。大部分入侵檢測系統(tǒng)對于內(nèi)部攻擊的檢測效率很低。內(nèi)部攻擊者比外部攻擊者會對系統(tǒng)造成更大破壞，而且其行為更難捕捉。對用戶的行為建模是一種有效的檢測惡意攻擊的

2、方法。隨著假冒入侵行為的出現(xiàn)，任何新的異常行為模式都應(yīng)該通過用戶命令行數(shù)據(jù)被觀察到，發(fā)現(xiàn)越早越好。
　　論文首先分析了入侵檢測技術(shù)，著重分析異常檢測的發(fā)展和目前待解決的難題。異常檢測的一個關(guān)鍵問題就是如何判斷哪類數(shù)據(jù)特征是異常檢測的關(guān)鍵特征。對于UNIX命令行數(shù)據(jù)，基本包含兩大類數(shù)據(jù)特征，一類是數(shù)據(jù)的時序特征，即數(shù)據(jù)出現(xiàn)的先后次序，我們稱之為動態(tài)特征；另一特征是數(shù)據(jù)的分布特征，如某數(shù)據(jù)出現(xiàn)的頻率，這種特征我們稱之為靜態(tài)特征。本文的

3、研究目的是對這兩種數(shù)據(jù)特征進行比較，觀察這兩種特征在異常檢測中所起的不同作用，為識別模型的選擇提供依據(jù)。論文介紹了UNIX系統(tǒng)shell命令、隱馬爾可夫模型及交叉熵的相關(guān)理論。深入分析了隱馬爾可夫模型中的全連結(jié)、左到右及交叉熵理論應(yīng)用于異常檢測系統(tǒng)中的可行性，簡單介紹了與本文相關(guān)的其它用戶行為異常檢測的研究，指出其中的可取之處與不足。然后，為驗證交叉熵模型優(yōu)于隱馬爾可夫模型的兩種模型，我們通過UNIX用戶命令序列來區(qū)分正常用戶行為和假冒

4、正常用戶的入侵者行為或者正常用戶的誤用行為。從每個用戶中選取其shell命令行數(shù)據(jù)的三分之一作為訓(xùn)練數(shù)據(jù)，另外三分之一的數(shù)據(jù)和非本用戶的一些數(shù)據(jù)作為測試數(shù)據(jù)，通過改變模型的參數(shù)（包括隱狀態(tài)數(shù)和序列長度）進行實驗。接著詳細(xì)設(shè)計了系統(tǒng)框架，通過多組對比實驗發(fā)現(xiàn)更適合用戶行為的異常檢測方法。通過改變各種模型的隱狀態(tài)數(shù)和序列長度，在實驗條件完全相同的情況下，通過實驗，我們最終發(fā)現(xiàn)：交叉熵學(xué)習(xí)模型的識別效果要優(yōu)于隱馬爾可夫模型，并且交叉熵具有模型