基于系统调用的实时IDS方案

摘要

给出一种基于进程系统调用的实时IDS方案.该方案选择网络服务进程(特权进程)作为系统的代表进行监测,使用隐马尔可夫模型(HMM)对系统行为进行模拟和测试,使用实时P(O|λ)值和近期对“某些重要文件”的读、写频率这两个条件作为判断系统是否遭受入侵的标准.实验和分析表明,该方案有较高的预报准确率和较小的时间开销.