一种基于隐马尔可夫模型的IDS异常检测新方法

被引：7

作者：

田新广

高立志

李学春

张尔扬

机构：

[1] 国防科技大学电子科学与工程学院

[2] 清华大学电子工程系

[3] 北京首信集团研究院

[4] 国防科技大学电子科学与工程学院长沙北京首信集团研究院

[5] 北京

[6] 北京北京首信集团研究院

[7] 长沙

来源：

信号处理 | 2003年 / 05期

关键词：

IDS; 隐马尔可夫模型; 异常检测; 序列匹配;

D O I：

暂无

中图分类号：

TP393.08 [];

学科分类号：

0839 ; 1402 ;

摘要：

提出一种新的基于隐马尔可夫模型的异常检测方法,主要用于以shell命令或系统调用为原始数据的IDS。此方法对用户(或程序)行为建立特殊的隐马尔可夫模型,根据行为模式所对应的序列长度对其进行分类,将行为模式类型同隐马尔可夫模型的状态联系在一起,并引入一个附加状态。由于模型中各状态对应的观测值集合互不相交,模型训练中采用了运算量较小的的序列匹配方法,与传统的Baum-Welch算法相比,大大减小了训练时间。根据模型中状态的实际含义,采用了基于状态序列出现概率的判决准则。利用UNIX平台上用户shell命令数据进行的实验表明,此方法具有很高的检测准确性,其可操作性也优于同类方法。

引用

页码：420 / 424

页数：5