王　毅，冯小年，钱铁云+，朱　辉，周　静

1.武汉大学 计算机学院，武汉 430072

2.中国电力财务有限公司，北京 100005

3.北京汇通金财信息科技有限公司，北京 100094

1　引言

互联网+时代，信息网络已深入国民经济的各个环节，人、物及商业已通过信息网络逐步互联，网络安全问题也日渐凸显出来。从组织信息系统遭受的直接攻击来源看，可将入侵分为外部入侵和内部用户伪装入侵。内部用户伪装入侵是指未授权用户通过伪装成内部合法用户进入系统，访问、修改关键数据或执行其他非法操作的行为[1]。

根据建模用户行为模式所侧重的信息（频率信息、相关信息、转移信息）[2]不同，目前的伪装入侵检测方法分为如下3种类型：（1）基于用户行为频率信息的伪装入侵检测，如文献[3-5]，这类方法比较简单、高效，但其忽略了行为序列的时序性，因而其检测率往往较低。（2）基于用户行为相关信息的伪装入侵检测，如文献[6]通过n-gram模型考虑了相邻行为间相关信息（局部强相关性），文献[7-8]同时考虑了相邻行为和不相邻行为这两类相关信息。总体来说，这类方法能较好捕获行为序列的局部强相关性以及行为的长程依赖性，但不能准确捕获整个行为序列的时序性，因而其建模用户行为模式的能力有限。（3）基于用户行为转移信息的伪装入侵检测，如文献[1,9-11]，这类方法能较好地捕获行为序列的时序信息，但未能兼顾行为的长程依赖性，故建模某些复杂且有长程依赖关系的行为序列时也捉襟见肘。……