赖英旭,刘 静,王一沛

（北京工业大学 计算机学院，北京 100124）

由于当前计算机网络的飞速发展，入侵检测技术得到了研究者的广泛重视，Forrest[1]等人在1996年首次提出以进程正常运行时产生的一定长度的系统调用短序列作为模型来表现进程正常运行时的状态。Lee[2]等人则用RIPPER从系统调用序列中挖掘正常和异常模式，以规则的形式来描述系统的运行状态，建立了一个更简洁有效的系统正常模型。美国新墨西哥大学的Warrender[3]以系统调用为审计数据，进行了基于隐马尔可夫模型HMM(Hidden Markov Model)的程序行为异常检测研究。美国普渡大学的Lane[4]及其团队则利用了Unix用户的shell命令作为审计数据，进行了基于HMM的用户行为异常检测研究和实验。西安交通大学的周星[5]提出一种利用进程堆栈中的函数返回地址链信息来提取不定长模式的方法，并基于系统调用序列及其对应的不定长模式序列构建了一个两层的HMM来检测异常行为，取得了更低的误报率和漏报率。

在以上检测方法的基础上，本文提出一种新的基于HMM的用户行为异常检测方法，与参考文献[6]中提出的基于HMM的检测方法相比，检测效率和实时性相对较高，在检测准确率方面也有较大优势。

1 隐马尔科夫模型

HMM包含了两个随机过程，一个是状态间的相互转换,另一个是状态与随机过程间的相互对应关系，马尔可夫链按照转移概率矩阵改变状态。λ=(π,Ωo,Ωq,A,B)可以确定一个隐马尔科夫模型，其中：Ωq=(q1,q2,…,qn)是HMM隐藏状态的有限集合，n为HMM中隐藏状态的总数；……