基于系统调用和数据挖掘的程序行为异常检测

摘要

异常检测是目前入侵检测研究的主要方向之一.该文提出一种新的程序行为异常检测方法,主要用于Linux或Unix平台上以系统调用为审计数据的入侵检测系统.该方法利用数据挖掘技术中的序列模式对特权程序的正常行为进行建模,根据系统调用序列的支持度和可信度在训练数据中提取正常模式.在检测阶段,通过序列模式匹配对被监测程序的行为异常程度进行分析,提供两种可选的判决方案.实验结果表明,该方法具有良好的检测性能.