基于不定长系统调用序列模式的入侵检测方法  

Intrusion Detection Using Variable-length System Calls Patterns

作　　者：王福宏[1] 彭勤科[1] 李乃捷[1] 

机构地区：[1]西安交通大学电子与信息工程学院,西安710049

出　　处：《计算机工程》2006年第20期143-146,共4页Computer Engineering

基　　金：国家自然科学基金资助项目(60373107);国家"863"计划基金资助项目(2003AA142060)

摘　　要：提出了一种不定长序列模式的寻找算法,目标是从训练序列中找出一组基本的、相对独立的不定长序列模式。并在模式集的更新过程中自动定义了模式间的前后次序关系,以此构建了一个描述进程执行模式的DFA。针对已有基于不定长序列模式的模式匹配算法需要向前预测若干个系统调用号的缺点,文章设计了一个更好的模式匹配算法。实验结果表明,算法在模式寻找过程中是稳定的,并在保持一组规模很小的模式集的情况下,取得了很低的误报率和漏报率。A novel simple technique to build a table of variable-length patterns from training system call sequences is presented, aiming to find out a set of basic and relatively independent variable-length patterns. Also, the method finds out all possible relationship between variable-length patterns, and thereby generates an exact DFA representation of the program. Using the data sets from the university of New Mexico, the schema is evaluated by several targets--sizes of variable-length patterns, false positives and false negatives. The experimental results indicate that the algorithms generate a relative small set of patterns, and get very low false positives and false negatives.

关 键 词：入侵检测 系统调用 模式匹配 不定长序列模式 误报率 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]