基于隐马尔可夫模型的用户行为异常检测新方法.doc

·· 通信学报 第28卷
第4期 邬书跃等：基于隐马尔可夫模型的用户行为异常检测新方法 ··

第28卷第4期 通信学报 Vol.28No.4
2007年4月 JournalonCommunications April2007

基于隐马尔可夫模型的用户行为异常检测新方法
邬书跃1,田新广2,3
（1.湖南科技大学信息与电气工程学院,湖南湘潭411201;2.北京交通大学计算技术研究所,北京100029;3.海军装备研究院博士后工作站,北京100073）
摘要：提出一种基于隐马尔可夫模型的用户行为异常检测方法，主要用于以shell命令为审计数据的主机型入侵检测系统。与LaneT提出的检测方法相比，本文提出的方法改进了对用户行为模式和行为轮廓的表示方式，在HMM的训练中采用了运算量较小的序列匹配方法，并基于状态序列出现概率对被监测用户的行为进行判决。实验表明，此方法具有很高的检测准确度和较强的可操作性。
关键词：入侵检测；异常检测；行为模式；隐马尔可夫模型
中图分类号：TP18；TP393文献标识码：A文章编号：1000-436X(2007)04-0038-06
MethodforanomalydetectionofuserbehaviorsbasedonhiddenMarkovmodels
WUShu-yue1,TIANXin-guang2,3
(1.SchoolofInformationandElectronicEngineering,HunanUniversityofScienceandTechnology,Xiangtan411201,China;2.ResearchInstituteofComputingTechnology，BeijingJiaotongUniversity,Beijing100029,China;3.PostdoctoralWorkingStationofNavyEquipmentAcademe,Beijing100073,China)
Abstract:Amethodforanomalydetectionofuserbehaviorswaspresentedforhost-basedintrusiondetectionsystemswithshellcommandsasauditdata.ThemethodconstructsspecifichiddenMarkovmodels(HMMs)torepresentthebehaviorprofilesofusers.TheHMMsweretrainedbyasequencematchingalgorithmwhichwasmuchsimplerthantheclassicalBaum-Welchalgorithm.Adecisionrulebasedontheprobabilitiesofshortstatesequenceswasadoptedwhiletheparticularityofthestateswastakenintoaccount.Theresultsofcomputersimulationshowthemethodpresentedcanachievehighdetectionaccuracyandpracticability.
Keywords:intrusiondetection;anomalydetection;behaviorpattern;hiddenMarkovmodel

1引言
收稿日期：2006-04-04；修回日期：2006-12-20
基金项目：国家高技术研究发展计划（“863”计划）基金资助项目（863-307-7-5）
FoundationItem:TheNationalHighTechnologyResearchandDevelopmentProgramofChina(863Program)(863-307-7-5)
异常检测是目前入侵检测系统（IDS,intrusiondetectionsystem）研究的主要方向。这种检测技术建立系统或用户的正常行为模式，通过被监测系统或用户的实际行为模式和正常模式之间的比较和匹配来检测入侵，其特点是不需要过多有关系统缺陷的知识，具有较强的适应性，并且能够检测出未知的入侵模式。近年来，以shell命令或系统调用为审计数据的异常检测得到了较多的研究和应用[1~10]。文献[1]提出一种基于隐马尔可夫模型（HMM）的异常检测方法，该方法利用HMM在用户界面层（userinterfacelevel）建立合法用户的正常行为轮廓，并采用Baum-Welch算法对HMM进行训练，在检测阶段利用近似的前向后向算法并根据贝叶斯准则对用户当前行为进行判决；该方法的主要优点是检测准确率