基于系統(tǒng)調(diào)用序列及參數(shù)的異常檢測研究.pdf

1、計(jì)算機(jī)系統(tǒng)安全問題日益突出，異常檢測技術(shù)由于具備檢測未知攻擊的能力越來越受到普遍關(guān)注。異常檢測可以分為基于網(wǎng)絡(luò)和基于主機(jī)的異常檢測，本文討論主要是基于特定主機(jī)尤其是在網(wǎng)絡(luò)上提供網(wǎng)絡(luò)服務(wù)的服務(wù)器主機(jī)的異常檢測。
　　好的監(jiān)測對象能夠很好的反映程序的行為輪廓，在基于主機(jī)的異常檢測當(dāng)中主要是以系統(tǒng)調(diào)用作為監(jiān)測數(shù)據(jù)源。傳統(tǒng)基于主機(jī)的異常檢測方法通過監(jiān)測系統(tǒng)調(diào)用的數(shù)據(jù)流或控制流來發(fā)現(xiàn)入侵行為，基于控制流分析的異常檢測系統(tǒng)通過監(jiān)測系統(tǒng)調(diào)用序列

2、，構(gòu)建序列的各種模型來反映程序的控制執(zhí)行流，而基于數(shù)據(jù)流分析的異常檢測系統(tǒng)監(jiān)測各系統(tǒng)調(diào)用參數(shù)及返回值之間的數(shù)據(jù)傳遞。目前的研究中除了指出在數(shù)據(jù)流分析中加入簡單控制流信息可以提高檢測精度外，在這兩者的研究方向上出現(xiàn)了很大的分化，不能很好的吸收彼此的研究成果，造成了程序行為輪廓構(gòu)建的不完備和不準(zhǔn)確。
　　基于這種情況，本文提出了一種新的綜合控制流與數(shù)據(jù)流分析的新方法。該方法首先使用系統(tǒng)調(diào)用定長序列構(gòu)建模式庫，再用關(guān)聯(lián)規(guī)則挖掘方法挖掘同