基于系统调用的入侵检测新方法
网络安全的入侵检测方法
网络安全的入侵检测方法随着互联网的广泛应用和发展，网络安全问题日益受到关注。
网络入侵已经成为网络安全的一个重要环节。
为了保护网络安全，我们需要有效的入侵检测方法。
本文将介绍几种常用的网络安全的入侵检测方法。
一、基于特征的入侵检测方法基于特征的入侵检测方法是通过分析已知的攻击特征，实现对入侵行为的检测。
这种方法的核心是构建特征数据库，将各种已知攻击的特征进行收集和分类。
当网络中出现与这些特征相似的行为时，就可以判定为入侵行为。
二、基于异常行为的入侵检测方法基于异常行为的入侵检测方法是通过监视网络流量、主机活动等，检测出与正常行为不一致的异常行为。
这种方法的核心是建立对正常行为的模型，当网络中出现与模型不一致的行为时，就可以判定为入侵行为。
三、基于机器学习的入侵检测方法基于机器学习的入侵检测方法是利用机器学习算法对网络流量、主机活动等数据进行分析和学习，建立模型来判断是否存在入侵行为。
该方法可以通过对大量数据的学习和训练，提高入侵检测的准确性和效率。
四、基于行为规则的入侵检测方法基于行为规则的入侵检测方法是制定一系列网络安全策略和规则，通过监控网络活动，检测与规则不符的行为，判断是否存在入侵行为。
这种方法的核心是对网络行为进行规范和规则制定，通过与规则进行比对来进行入侵检测。
五、混合入侵检测方法混合入侵检测方法是将多种入侵检测方法结合起来，通过综合分析多个入侵检测方法的结果，提高入侵检测的准确性和可靠性。
这种方法可以综合利用各种入侵检测方法的优点，弥补单一方法的不足，提高入侵检测的效果。
总结：网络安全的入侵检测是确保网络安全的重要环节。
本文介绍了几种常用的入侵检测方法，包括基于特征、异常行为、机器学习、行为规则等不同的方法。
每种方法都有其优点和适用场景，可以通过综合应用来提高入侵检测的效果。
在实际应用中，也可以根据具体情况结合使用多种方法，以更好地保护网络安全。
网络安全入侵检测方法的发展是一个不断演进和改进的过程，我们需要不断关注最新的技术和方法，及时更新和优化入侵检测策略，以应对不断变化的网络安全威胁。
数据挖掘技术在基于系统调用的入侵检测中的应用
分为正常行为或某种入侵行为。这一 分类过程应该不断反复和评估 ， 以期望能够得到最优化 的分类
器 ］ 。 。
哥 伦 比亚大学 的 Ｗｅｋ －’ ｎ ｅｌ ２ 州等人 扩展 了 Ｆ ｎ ｓ 的工作 ， 。 ・ ｏ ｅｔ 从审计 数 据 或数 据 流 中提 取 感兴 趣
的知识 ， 这些知识是隐含 的， 事先未知 的潜在 有用信息 ； 提取 的知识表示为概念 、 规则 、 规律 、 模式等形 式 ， 用这些 知识 去检测 异 常入侵 和 己知入 侵 。他 们 以此 为 依 据构 建 两个 模 型 ： 并 已知 长 度 为 Ｋ 的序 列
・
４ ６・
鞍 山 科 技 大 学 学 报
Ｐｌ Ｐ２ Ｐ３ Ｐ４ Ｐ５ Ｐ６ Ｐ７
第２ 卷 ９
４
２ ６ ６ ４ １ ８ ６ ６ ６ ３ ６ ５ Nhomakorabea５
５
４ ５ １ ５ １ ４ ９ ０ ０
利用 ＲＩＰ Ｒ算法 分析 序列 集 ， 掘 Ｋ 个属 性 的关 联 ， ＰＥ 挖 产生 的规则 集如 下 ： Ｎ ｒ ｌＰ２＝ １４ Ｐ，＝ ｌ２（ 果第 ２个 位置 为 Ｖｔ ｓ第 ７个 位 置 为 Ｖｔ ｃ， ｏｍａ： ０， １ 如 ｉ ， ｍｅ ｒ ｅ则该 序 列正 常 ） ａ ； Ｎｏ ａ： ，＝ １４ Ｐ ｍ ｒ ｌＰ ０ ， ，＝ １４（ ０ 如果 第 ２ 位置 为 Ｖｔ ｅ， ７个位 置为 Ｖｔ ｓ则 该序 列正 常 ）…… ； 个 ｉ ｓ第 ｍ ｉ ， ｍｅ ； Ａ ｎ ｒ ａ： ｕ（ ｂｏ ｌｔ ｅ否则 异常 ） ｍ ｒ 。 为 了更 能 体现数 据挖 掘 的精神 Ｌｅ 了第 ２个 实验 ， ｅ做 通过前 Ｋ 一１ 系统调 用预测 第 Ｋ个 系统 调用 ，
独立 的正常行 为库 ， 以此 为基 础判 断入 侵¨ 。 是这 种 检 测 方 法 过分 依 赖 于序 列 长 度 的选 择 ， 。。但 目前 还没有 科学 的长 度选 择 方 案 ， 时 入 侵 者 可 以 通 过 在 进 程 中插 入 一 些 无 关 紧 要 的 系 统 调 用 逃 避 检 同
计算机安全中的入侵检测与恶意代码分析技术原理解析
计算机安全中的入侵检测与恶意代码分析技术原理解析计算机安全是当今社会中极其重要的一个领域，随着计算机技术的迅速发展和广泛应用，计算机系统面临的风险也在不断增加。
入侵检测与恶意代码分析技术作为计算机安全领域中的重要工具，其原理和应用一直备受关注。
本文将重点围绕入侵检测与恶意代码分析技术的原理进行解析，旨在帮助读者全面了解这一领域的知识。
一、入侵检测技术的原理解析入侵检测技术是指通过对计算机系统的各种活动进行检测和分析，识别出潜在的安全威胁和异常行为。
其核心原理是通过对系统日志、网络流量、系统调用等数据进行实时监测和分析，以发现潜在的攻击并及时采取相应的防御措施。
入侵检测技术主要包括基于特征的检测、基于行为的检测和基于异常的检测三种方式。
1.基于特征的检测基于特征的检测是指通过事先确定的攻击特征或规则来进行检测和识别，其核心原理是将已知的攻击特征与实际的系统活动进行比对，从而识别出潜在的攻击。
这种方式主要包括签名检测和状态机检测两种方式。
签名检测是指通过预先建立的攻击特征库来检测和识别已知的攻击，其优点是准确性高，但缺点是对于新型的攻击无法有效的识别。
状态机检测是指通过对系统状态的变化进行监测和分析，以识别出系统中的潜在攻击。
这种方式的优点是能够处理未知的攻击，但其缺点是误报率较高。
2.基于行为的检测基于行为的检测是指通过对系统的正常行为进行建模，然后检测并识别与模型不符的行为。
其核心原理是通过对系统的行为特征进行建模，并对系统实际的行为进行对比分析，从而发现潜在的攻击。
这种方式的优点是能够识别出未知的攻击，并且误报率较低，但其缺点是对系统的资源消耗较大。
3.基于异常的检测基于异常的检测是指通过对系统的正常行为进行学习，然后检测并识别出与正常行为不符的异常行为。
其核心原理是通过对系统的正常行为进行学习和建模，然后对系统实际的行为进行比较分析，从而发现潜在的异常行为。
这种方式的优点是能够识别出新型的攻击，并且误报率较低，但其缺点是对系统的资源消耗较大。
网络安全攻防技术中的入侵检测与防护方法
网络安全攻防技术中的入侵检测与防护方法随着互联网的普及和发展，网络安全问题也日益凸显。
黑客攻击、恶意软件、网络钓鱼等威胁不断涌现，给个人和组织的信息安全造成巨大威胁。
在网络安全攻防技术中，入侵检测与防护是一项至关重要的工作。
本文将从入侵检测与防护的基本概念出发，探讨一些常用的入侵检测与防护方法。
入侵检测系统（Intrusion Detection System，简称IDS）是一种能够主动或被动地监测与分析网络流量及主机日志的系统，目的是检测、识别和响应网络中的入侵行为。
基于入侵检测系统的检测方法，主要分为两类：基于特征的检测和基于异常的检测。
首先，基于特征的检测是通过事先确定的入侵特征识别攻击行为。
这种方法基于已知的攻击模式，通过对网络流量、网络数据包或主机事件进行匹配来检测入侵行为。
常用的基于特征的检测方法有规则匹配、签名检测和统计分析。
其中，规则匹配是通过定义特定的规则集来识别已知的攻击特征，签名检测则是通过与已知的攻击签名进行比对来判断是否存在攻击。
此外，统计分析方法利用统计学的原理对网络流量的特征进行研究，从而识别出异常行为。
其次，基于异常的检测是建立对网络正常行为的模型，通过比较当前行为与正常行为模型之间的差异，来检测潜在的入侵行为。
这种方法适用于未知攻击或变种攻击的识别。
常用的基于异常的检测方法有统计分析、机器学习和行为模式分析。
统计分析方法通过建立基准模型，然后统计网络流量与基准模型之间的差异，从而判断是否存在异常行为。
机器学习方法则通过学习大量的正常行为数据，建立正常行为模型，然后利用新的数据进行比对，识别异常行为。
行为模式分析方法则主要针对主机日志，通过分析主机日志中不同行为模式的特征，来判断是否存在异常行为。
除了入侵检测，入侵防护同样重要。
入侵防护是指阻止入侵行为产生或减轻入侵后果的一系列技术措施。
常用的入侵防护方法主要包括网络防火墙、入侵防御系统和漏洞管理。
网络防火墙是保护内部网络与外部网络之间的边界，它能够基于访问控制策略，对网络流量进行过滤和监控。
基于Linux系统调用的主机入侵检测系统的设计
Ｋｅ ｒ ｓ ｉ ｔ ｓ ｎｄ ｔｃ ｉ ｎ ｓ ｓ ｍ ； ａ ｎ ｒ ｌ ｅｅ ｔ ｎ Ｌ ｕ ｅ ｅ ； ｓ ｓｅ ｃ ｌ ｌ ｏ ａ ｅ ｄｐ ｉ ｙ ｗｏ ｄ ： ｎ ｒ ｉ ｅ ｅ ｔ ｙ ｔ ｕ ｏ ｏ ｅ ｂ ｏ ｍａ ｔ ｃｉ ； ｉ ｘ ｋ ｒ ｌ ｙ ｔｍ ａｌ ｏ ｋ ｈ ａ ａｒ ｄ ｏ ｎ ｎ ； ｓ
Ｏ 引 言
通 过 研 究 发 现 ， 序 在 运 行 时 发 出 的系 统调 用 请 求 比较 程 好 的反 映 了程 序 的 行 为 ， 过 对 系 统 调 用 进 行监 视 可 以概 括 通
需求 。最为直接 的方法是称之为序列 分析 的方法 ，使用这种
方 法 的程 序 行 为 概貌 是 由此 程 序 产 生 的 全 部 序 列 对 ｌ ｋ ｈａ ａ 分 析 方 法 ， 向序 ｏ ａｅｄｐｉ ｏ ｒ 前
列 对 是 由 当前 系 统 调 用 和 一 个 以前 的 系 统 调 用 构 成 的 ，使 用
出程序 的正常行为模型 ， 根据该模型可 以检测 出程序 的异常
行 为 。本 项 目课 题 深 入 研 究 了 前 向 序 列 对 分 析 方 法 ， 且 基 并 于 该 方 法 实现 了 原 型 系 统 Ｎ ＵＭＥ Ｎ。
中图法分类号：Ｐ ９． Ｔ ３３ ８ ０
计算机病毒入侵检测技术研究
计算机病毒入侵检测技术研究一、现实背景随着计算机的广泛应用，计算机病毒的威胁也日益严重，病毒的入侵给用户造成了很大的损失，如丢失重要数据、系统崩溃等。
在这种情况下，计算机病毒入侵检测技术的研究和应用对计算机系统的安全性至关重要。
二、计算机病毒概述计算机病毒是指程序或代码，通过复制自己，并将其插入到本地计算机或网络机器中，并可以在系统上全盘运行的程序，其主要功能是破坏计算机系统，盗取用户隐私信息等。
计算机病毒的种类繁多，包括蠕虫、木马、恶意软件等。
三、计算机病毒入侵检测技术分类1. 基于特征的检测技术基于特征的检测技术是一种比较常见的病毒检测技术，它是检查计算机系统的文件和程序是否存在病毒特征的一种方法。
这种方法将计算机病毒的特征与已知的病毒库进行比较，如果匹配，则可以确定计算机中存在病毒。
这种技术的优点是检测的准确度比较高，但是不足之处就是检测速度可能较慢，同时也存在着漏报和误报的可能性。
2. 基于行为的检测技术基于行为的检测技术是一种通过检查计算机系统被感染时的行为来检测计算机病毒的方法。
这种技术通常通过监视计算机系统的系统调用、记录网络传输和文件访问等行为来检测病毒威胁。
这种方法的优点是可以检测到未知的病毒，但是它也存在着误报和漏报的问题，同时还需要不断地更新病毒数据库才能达到更高的检测准确度。
3. 基于特征和行为的综合检测技术基于特征和行为的综合检测技术是基于前两种技术的优点发展而来的一种方法，综合了这两种技术的优点。
通过比较计算机病毒的特征和行为，可以更准确地检测和识别病毒软件。
这种方法的优点是能够准确地检测到各种类型的病毒，但是它对计算机系统的资源消耗比较大。
四、计算机病毒入侵检测技术应用计算机病毒入侵检测技术已经广泛应用于各种计算机系统中。
例如，计算机病毒检测技术在企业内网中被广泛利用，许多公司采取基于特征的检测技术来保护自己的网络环境。
在互联网上，众多的防病毒软件也都采用了这种技术，以保护用户计算机不受病毒的侵害。
基于系统调用序列分析的入侵检测方法
０ 引 言
Ｓｅｈｎ ｏｒ ｔ等 人 在 １９ 年 提 出 了 一 种 通 过 监 视 特 ｔ ａｉ Ｆ ｒ ｓ ｐ ｅ ｅ ９６ 权 进 程 的 系统 调 用 序 列 的 入 侵 检 测 模 型 … 他 们 的研 究 工 作 。 表 明 ： … 个 程 序 的 正 常 行 为 都 可 以 由该 程 序 正 常 运 行 时 产 每 ・ 生 的 系 统 调 用 序 列 来 描 述 ， 这 些 正 常 的 序 列 存 放 在 正 常 库 把
基于 系统调用序列分析的入侵检测方法
李 陶深 ， 唐 任 鹏 （ 广西大学 计算机与电子信 息学院，广西 南宁 ５００） ３０４
摘 要： 出 了一种 改进 的基 于 系统调 用序 列分 析的入 侵检 测方 法 ， 方法对 审计数据 首 先进 行 ＭＬ Ｉ 象的检 测， 提 该 Ｓ现 在发 现 ＭＬ Ｉ 后 ，再 与正常库 进行 匹配，以检 测是 否有 入侵行 为 。理论 分析和 实验表 明 ，ＭＬ Ｉ Ｓ之 Ｓ 能够有 效地 标识入 侵 ，通 过 查找 ＭＬ Ｉ再 进行异 常检 测的 方法可 以 大大地 降低 系统的开销 ， 些都说 明该 方法是有 效和 可行 的 。 Ｓ， 这 关键 词： 侵检 测； 序 列分析 ； 系统调用 ； 网络安 全；ＭＬ Ｉ 入 Ｓ 中 图法分类号 ： Ｐ ９ ．８ Ｔ ３３ ０ 文献 标识 码 ： Ａ 文章编 号 ：００７２ ２ ０） ０１６—３ １０ ，０４（０ ６ １—７ １ ０
行 比较 ， 这无疑会 系统增加 系统负担 。为此 ， 本文提 出一种 改 进 的基 于系统调 用序列分析 的入侵 检测方 法，它首 先对审计 数据进 行预 处理 ， 再采用事件计 数器 的方 法来进行异常检 测，
在 这 些 行 为 发 生 时 再 与 正 常 库 进 行 比较 ， 测 出 入 侵 行 为 ， 检 从
基于系统调用的入侵检测系统研究
这却对应着多个真实状态。算法 中对 Ｄ Ｌ的处理 非常粗糙 ， Ｌ 算法 无法捕获递 归调用 。 Ｆｎ ｅ ｇ在文献［】 ４ 中沿用了文献［】 ２的短序列 ，并且窗 Ｉ大 ： １
小设为 ２ 。每一项不是使用系统调用名称 ，将使 用函数堆栈 ＋程序计数器值 。使用这种方式 ，能 够更加精确地描述 系统
统调用作 为输 入，构建程序 中函数 的有 限状态 自动机 ，利用该 自动机 检测进程流程是否发生异常 来确定是否发生了入侵 。实验结果表 明， 该技术 不仅能有效地检测 出入侵行为 ，而且可以发现程序漏洞的位置 ，便于修改代码 。
关奠谭 ：入侵检 测；异常检测 ；系统 调用 ；有 限状态 自动机
维普资讯
第 ３ 卷 第 １ 期 ３ Ｏ
Ｖ１ ３ ｏ． ３
・
计
算
机
工
程
２０ ０ ７年 ５月
Ｍａ ０７ ｙ２ ０
Ｎｏ １ ．０
Ｃｏ ｐｕｔ ｒＥｎｇ ｎｅ ｒｎｇ ｍ ｅ ｉ ｅｉ
安全技术 ・
￣ Ｊｑ ｌ ０ ３ ８０ ）＿ １ ＿ ３ 文 标 码ｔ ｔ ｌ ＂ ０ ＿ ４ （０ １ ＿ ４． ＇ ０． ２２ ７ ｏ ０ ４ ０ － － 献 识 Ａ
描述进程的系统调用流程图，包括循 环和分支 ，提高了准确 性。但也有很多缺点 ，首先是仅 用程序计数器很难确定一个 真实的状态 ，多个状态可能对应着 同一个程序计数器 ，可能 会有多个函数 调用同一个函数 ；然后这个函数再进行 系统调 用 ；结果当发生系统调 用时，其程序计数器值 是相 同的 ，而
２ Ｉｓｉ ｔ ｏ Ａｒｆ ｉｌｎｅｌ ｅ ｃ ， ｈｊ ｎ ｉｅｓｔ， ｎ ｚ ｏ ０ ７ ．ｎｔｕｅ ｆ ｔ ｃａＩｔｌｇｎ ｅＺ ｅｉ ｇＵｎｖｒｉ Ｈａｇ ｈ ｕ３ ０ ２ ） ｔ ｉ ｉ ｉ ａ ｙ １
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
五元组（ ， ６ｇ， ） Ｑ ∑，， Ｆ 表示， 。 其中： Ｑ表示有限状态集合； ∑表
示有 限输入集 合（ 字母表 ） ６表示 状 态之 间的迁移 集合 （ ； 等价 于 Ｑ×∑一 Ｑ） ；０ ） 叮 表示起始状 态（ 。 ｑ ∈Ｑ） Ｆ表示最 终状 态集 ；
Ｌ Ｕ Ｘｕ ．ｅ － ，Ｗ Ａ Ｉ ｅ ｆ ｉ ＮＧ ｈ ｎ ｑ ａ ｇ Ｗ Ｕ Ｂ ． ｉｏ ，ＭＡ ｎ —ａ Ｓ ｅ ． ｉｎ ￣ ｅｑａ Ｈｅ ｇ ｔ ｉ
，
（． ｅｔｏ ｏ ｐ ｔ ＆ Ａ ｏｍｔ ｎ Ｂ ｉｎ ｎｔｕｅ Ｍｅｈ ｎ ａ Ｉｄ ｓｙ， ｅｉｇ１０ ８ ，Ｃ ｉ ２ Ｄ ｐ． Ｃ ｍ ｕ ｒ ａｊ ｇＵ ｉ ｒｔ １ Ｄｐ．ｆＣ ｍ ｕｅ ｒ ｍ ｎ ￣ ， ｅｉ Ｉｓｔｔ ｏ ｃａｉ ｌｎ ｕｔ Ｂｉｎ ０ ０ ５ ｈｎ ｊｇ ｉ ｆ ｃ ｒ ｊ ａ； ． ｅｔｏ ｏ ｐ ｔ ，Ｎ ｎｎ ｎ ｅｓｙ ｆ ｅ ｉ ｖ ｉ
Ａｂ ｔ ａ ｔ ｓｒ ｃ ：Ｔ ｅ ｐ ｐ ｒｐ ｏ ｏ ｅ ｔ ｏ ｓｎ ｎｔ ｔｔ ｕ ｏ ｔ ｎ ｄ ｓ ｒ ｉｇ ｐ ｏ ｒ ｍｍｉ ｇ ｓ ｓｅ ｃ ｌ ａ ｔ ｎ ｖａ ａ ａｙ ｉｇ ｈ ａ ｅ ｒｐ ｓ ｓａ ｍｅ ｈ ｄ ｕ ｉ ｇ ｆ ｉ ｓａｅ ａ ｔ ｍａ ｉ ｅ ｃ ｉ ｎ ｒｇ ａ ｉ ｅ ｏ ｂ ｎ ｙ ｔｍ ａｌ ｃｉ ｉ ｎ ｌ ｚｎ ｏ
ｆ ｃ ｎｅ ｅ ｎ ｏ ， ａ ｇＪ ｎｓ ０ ６ Ｃ ｎ ３ Ｅ ｇｎ ｒ ｇＲｓ ｒ ｅ ｅ ｒ ｎ ｒ ｔ ｎＳ ｕ ｔ ｅ ｎ ｌ ｙ Ｃ ｉ ｓ Ａ ｄ－ ｏ Ｓｉ ｃ ＆ Ｔ ｈ ｌ ｙ Ｎ 耐ｎ ｉ ｇｕ １ ９ ， ｉ ； ． ｎ ｉ ｅ ｎ ｅ ａ ｈＣ ｎ ｒｏ Ｉ ｏ ａｉ ｃｒｙＴ ｈ ｏ ｇ ， ｈ ｅ ａｅ ｅ ｃｏ ｇ ａ ２ ０ ｈ ａ ｅｉ ｅｃ ｔ ｆ ｆ ｍ ｏ ｅ ｉ ｃ ｏ ｎｅｃ
ｍ ｃ ｎｅ， ｅｉ ０ ０ ０ ｈｎ ； ． ｅｉ ｉ ｎ ｕ ｍ ｔ ｎＣ ． Ｌｄ， ｅｉ ０ ０ ５，Ｃ ｉａ ５ Ｄ ｐ． Ｃ ｍ ｕｅ，Ｈ ｎ ｎＶｃ ｙｏ ｉ ｃｓ Ｂ ｉｎ １０ ８ ，Ｃ ｉ ４ Ｂ ｉｎ Ｓ ａ ｇＡ ｔ ａｉ ｏ ，ｔ Ｂ ｉｎ １０ ８ ｆＳ ｅ ｊｇ ａ ｊｇ ｆ ｏ ｏ ｊｇ ｈｎ ； ． ｅｔｏ ｏ ｐ ｔ ｆ ｒ ｕ ａ ｏａ ｔｎ ｌｎｔｕｅｏ Ｉ ｏｍ ｔ ｎＴｃｎｌ ｙ ｈ ｎ ｓａＨ ｎ ｎ６ ０ ０ Ｃ ｉ ） ｉ ａ ｉ ｔ ｆ ｎ ｒ ａｉ ｅｈｏｏ ，Ｃ ａ ｇｈ ｕ ａ １２ ０， ｎ ｏ Ｉ ｔ ｆ ｓ ｏ ｇ ｈ ａ
了算法产生的 自动机的完整性， 并给出算法性能分析结果。
关键词 ：入侵检测；系统调用； 有限状态 自动机 中图法分类号：Ｔ ２４ Ｐ７ 文献标识码：Ａ 文章编号：１０ —６ ５ ２０ ）２ｏ １一３ ０ １３９ （０ ６ １－１２Ｏ
Ｎｅ ｎｒ ｓｏ ｔｅｉｎ Ｍｅｈ ｄ Ｂ ｓ ｄ ｏ ｙ ｔｍ ａｌ ｗ Ｉ ｔｕ ｉｎ Ｄｅｅ ｔ ｔ ｏ ａ ｅ ｎ Ｓ ｓｅ Ｃ ｌ ｏ
Ｋｅ ｒ ｓ Ｉ ｔｕ ｉｎ Ｄｅｅ ｔ ｎ ｙ ｔ ｍ Ｃ ｌ ；Ｆ ｎ ｔ Ｓ ａｅ Ａｕ ｏ ｔ ｎ ｙ ｗｏ ｄ ： ｎ ｒｓｏ ｔｃｉ ；Ｓ ｓｅ ａ ｌ ｉ ｉ ｔ ｔ ｔｍａ ｉ ｏ ｅ ｏ
入侵检测… 的数 据源 有多种 ， 括 ： 网络数 据源 ， 一 包 ① 进
ｓｓ ｍ ａ！ｃ ａａ ｔｒ ｐｏ ｉｇ ｔｅｆ ｉ ｔｔ ｕｏ ｔ ｎ’ ｏ ｌｔｎ ｓ ｎ ｉｉｇｔｅｒｓ ｌｏ ｒｔｍｅｉ ｐ ｒｏｍａ ｃ ． ｙｔ ｃ ｅ ｌ ｈ ｒｃｅ ，ｒｖｎ ｈ ｉ ｔ ｓ ｅａ ｔｍａｉ Ｓｃ ｍｐ ｅｅ ｅｓａ ｄ ｇｖｎ ｈ ｅｕｔ ｆａｉ ｎｅ ａ ｏ ｈ ｔ ｅｆｒ ｎ ｅ ｃ
维普资讯
・
１２－ １
计算机应用研究
２０ 正 ０６
基 于 系统 调 用 的入 侵 检 测 新 方 法
刘雪 飞 ， 申强 吴伯桥 马恒太 王 ， ， ’
（．北京机械 工业学院 计算机与 自动化 系， １ 北京 １０ ８ ； ． ００５ ２ 南京理工大学 计算机系， 江苏 南京 ２０９ ； ． １０６ ３ 中 国科学院 信息安全技术工程研究中心， 北京 １０ ８ ； ． ０００ ４ 北京四方继保 自动化股份有限公司， 北京 １０８ ； ． ００ ５ ５ 湖 南信息技术职业学院 计算机 系， 湖南 长沙 ６００ ） １２０ 摘 要：通过分析系统调用行为特征 ， 出了程序的系统调用行 为可 以用有限状 态自动机来描 述的方法， 提 证明
入侵 的检测。特权 程序 系 统调用 通 常是 攻击 的重 点 目标 ， 自 １９ ９ ４年 Ｆｎ 等 人 首次提出基 于系统调 用 的入 侵检测 ， 多 ｉｋ 许 研究者 以系统 调用 为 研 究对 象 开展 对 入 侵 的检 测 研究 。
从概 念上看 。 操作过程 中 ， 在 有限状 态 自 机与一个 当前 动
合 ， Ｑ的子集 。 是
息数据源 ， 报警信 息可 以是入 侵检 测系 统 （Ｄ ） ＩＳ 报警 信 息 ， 也 可 以是其 他安 全系统产 生 的报 警信息 ； 主机 数据源 ， ③ 进一 步 可 以分 为特 权程 序 系统调 用 、 用户击 键 、 审计 记 录 、 系统 日志 等。不 同的数据 源可以检测 的入侵 类型 、 入侵 范 围不 同 ， 实际 上这 三种数据源互 相补充 ， 从不 同层次 、 多个 检测 角度实 现对