一种容器内进程异常行为检测方法与系统

摘要

本发明公开一种容器内进程异常行为检测方法与系统，提出在宿主机用户层，以无代理监控方式实时感知容器内所有进程的创建、运行和消亡等行为，从而透明采集进程全生命周期的系统调用行为数据，然后利用LSTM循环神经网络捕获序列数据的语义特征，以此刻画正常进程行为轮廓，最后采用局部窗口内累积偏差的方式，提出了两种异常判决方法，能更稳定地表示进程系统调用行为的规律性，使得在提升检测率的同时有效地降低了误报率。此外，在建模阶段，本发明根据映射同一系统调用的短序列频率，同比缩减训练样本数，加快了模型的训练速度，并通过测试训练数据的方式，自定义检测阶段的短序列概率阈值，减少了人工参与的工作量。