基于Linux安全模塊的程序行為異常檢測研究.pdf

1、由于計算機安全問題越來越突出，入侵檢測已成為重要的研究方向，其中異常檢測由于其能檢測到未知的攻擊，已成為研究的重點。目前基于主機的程序行為異常檢測的研究多集中在以系統(tǒng)調(diào)用作為數(shù)據(jù)源建立模型進行行為鑒別的基礎(chǔ)上。 在分析各種異常檢測方法的基礎(chǔ)上設(shè)計了一種采用在Linux內(nèi)核2.6.9開始支持的LSM（Linux安全模塊）數(shù)據(jù)作為數(shù)據(jù)源，針對這些數(shù)據(jù)建立隱馬爾可夫模型進行異常檢測的方法。由于LSM專為Linux安全性而設(shè)計，其數(shù)據(jù)提

2、取點位于系統(tǒng)調(diào)用或內(nèi)核函數(shù)內(nèi)，分析表明LSM數(shù)據(jù)與系統(tǒng)調(diào)用相比提供的信息更詳細，更與安全相關(guān)。在此基礎(chǔ)上詳細研究了如何針對應(yīng)用程序從Linux系統(tǒng)內(nèi)核提取其LSM序列，以及如何對數(shù)據(jù)預處理。分析了如何對截獲的LSM序列進行檢測前的離線訓練以得到隱馬爾可夫模型參數(shù)，采用了一種新的檢測算法對被監(jiān)控程序的LSM序列進行實時的異常檢測。為了驗證LSM數(shù)據(jù)源的有效性和檢測效果，設(shè)計并實現(xiàn)了一種Linux平臺下提取被監(jiān)控程序LSM數(shù)據(jù)來建立隱馬爾可