基于隱馬爾科夫模型的異常檢測(cè)研究.pdf

1、在異常檢測(cè)技術(shù)中，采用系統(tǒng)調(diào)用作為訓(xùn)練數(shù)據(jù)的方法目前受到了廣泛的關(guān)注，其基本思想是通過分析系統(tǒng)調(diào)用是否出現(xiàn)異常來判斷整個(gè)計(jì)算機(jī)系統(tǒng)是否出現(xiàn)異常。具體過程是先對(duì)正常的系統(tǒng)調(diào)用序列建模，構(gòu)造正常行為模型，然后將檢測(cè)的系統(tǒng)調(diào)用序列與正常模型相對(duì)比，如果偏離正常模型過大就認(rèn)為發(fā)生異常。
　　 基于系統(tǒng)調(diào)用序列的異常檢測(cè)的關(guān)鍵是如何對(duì)正常系統(tǒng)調(diào)用序列進(jìn)行建模，構(gòu)造足夠精確的正常模型。在Forrest將系統(tǒng)調(diào)用引入異常檢測(cè)的最初，提出了短序

2、列建模模型TIDE，隨后又提出了STIDE，t-STIDE等改進(jìn)型的方法，這些都屬于定長(zhǎng)短序列模型。在后來的研究中，又陸續(xù)有人提出使用變長(zhǎng)模型建模、數(shù)據(jù)挖掘建模、神經(jīng)網(wǎng)絡(luò)建模以及狀態(tài)轉(zhuǎn)移概率建模等等多種構(gòu)造正常模型的方法。其中狀態(tài)轉(zhuǎn)移概率建模方法中的隱馬爾科夫模型方法以其準(zhǔn)確的模型構(gòu)造和良好的檢測(cè)效果成為了研究的主要方向和熱點(diǎn)。
　　 但對(duì)于隱馬爾科夫模型在系統(tǒng)調(diào)用的異常檢測(cè)中的應(yīng)用來說，還存在一些值得探討和研究的問題。本文就這

3、些問題進(jìn)行了以下一些研究和論證的工作:
　　 一是關(guān)于在系統(tǒng)調(diào)用序列建模過程中隱馬爾科夫模型的隱含狀態(tài)數(shù)的確定問題。隱含狀態(tài)數(shù)是隱馬爾科夫模型訓(xùn)練過程中一個(gè)很重要的參數(shù)，直接影響到模型的精確性。但這個(gè)參數(shù)在系統(tǒng)調(diào)用序列的異常檢測(cè)應(yīng)用中該如何確定目前沒有統(tǒng)一而明確的意見。本文提出以程序狀態(tài)數(shù)作為隱含狀態(tài)數(shù)的值來進(jìn)行隱馬爾科夫模型的訓(xùn)練，假設(shè)在此參數(shù)條件下訓(xùn)練得到的隱馬爾科夫模型是最精確的，偏離這個(gè)狀態(tài)數(shù)值的模型都會(huì)降低精確度，而且

4、這個(gè)數(shù)值應(yīng)當(dāng)大于系統(tǒng)調(diào)用序列的唯一系統(tǒng)調(diào)用數(shù)，并通過實(shí)驗(yàn)來驗(yàn)證。
　　 二是隱馬爾科夫模型訓(xùn)練過程中時(shí)間效率的問題。這個(gè)問題很大程度上制約了模型在異常檢測(cè)中的應(yīng)用，我們提出通過訓(xùn)練之前對(duì)模型初始參數(shù)矩陣的約束，來達(dá)到提高訓(xùn)練的時(shí)間效率。通過實(shí)驗(yàn)可以發(fā)現(xiàn)，這種方法的確有效提高了訓(xùn)練的時(shí)間效率。
　　 三是關(guān)于隱馬爾科夫模型應(yīng)用于異常檢測(cè)時(shí)的在線檢測(cè)問題。在探討了隱馬爾科夫模型的正常模型的訓(xùn)練過程之后，本文對(duì)如何將隱馬爾科夫

5、模型在異常檢測(cè)應(yīng)用中進(jìn)行在線檢測(cè)做了相關(guān)的研究。只有實(shí)現(xiàn)了在線檢測(cè)，才有應(yīng)用于實(shí)際的可能，因此對(duì)在線檢測(cè)的研究也是十分必要的。
　　 本文對(duì)于隱馬爾科夫模型的異常檢測(cè)做了相關(guān)的研究，為異常檢測(cè)的發(fā)展做出了自己的努力和探索。異常檢測(cè)作為入侵檢測(cè)的重要發(fā)展方向，是十分值得做進(jìn)一步研究工作的。但是因?yàn)楸救速Y質(zhì)和時(shí)間有限，僅對(duì)隱馬爾科夫模型在異常檢測(cè)中的應(yīng)用做了一點(diǎn)工作。這對(duì)于將異常檢測(cè)應(yīng)用于實(shí)際這個(gè)目標(biāo)來說還是遠(yuǎn)遠(yuǎn)不夠的，今后，需要更