基于神经网络的异常入侵检测系统

每一 个 系统 调 用都 对 应 着一 个数 字 ，这 些数 字 是用 来 代 表 这 些 系统 调 用 的 。例 如 在 Ｌｉ ｎ ｕｘ系统 中 ，内核 通 过
０ ｘ ８ ０中断 来 管 理 这 些 系统 调 用 ，这 些 系统 调 用对 应 的数 字 和 一些 参 数都 在 调用 的 时候 送 到某 些寄 存 器里 面 。系统
对 测试 集 中的 每个 子 序列 定 义 一 个 它与 模 式表 的最 小距
离ｄ ｍ ｍ （ ￣ ） ＝ ｍｉ ｎ ｛ ｄ （ ， ｐ ） ｝ ，其 中 Ｐ是模 式表 中的任意 模式 。 从 定义 可 以看 出 ， ｄ （ 越 大 ，则 发生 的入 侵可 能性 越大 。
在 实 际 中 ，ｄ ； 的最 大 观察 值 用做 入 侵 的 测度 ，它 是最 强
２ ． ２ ． ４ 系统调用短序列特征 向量的提取
将 系统调 用 短 序列 转 化 为 ＢＰ神 经 网 络模 型 可 以识 别 的输 入 ，用 以训练 网络 和 检测 异常 的 系统 调用 。 设 ａ和 ｂ为 长度 为 ｋ的两 个序 列 。ａ ； 表 示序 列 ａ的 第
ｉ 个 位置 ，ｄ （ ａ ， ｂ ） 表 示序 列 ａ 与 ｂ的距 离 。在模 式 匹配 时 ，
很 大 ，趋 向于 一个 定值 ；
录 的所 有 进程 的 审计信 息 。而 本 文 的检 测系统 只 关心 特权
程 序 的信 息 。所 以说 ，需 要 对 ＢＳＭ 数 据进 行过 滤 ，根 据
特 权程 序的特 点进 行抽 取 ， 分 析审 计记 录 的各个 字段 结构 。
（ ３ ）运 用 系统调 用短 序列 可 以描 述 系统调 用 的特 征 。 以 上特 征 表 明 ：系统 调用 短 序列 可 以用 于 刻 画进程 的 特 征 ，并 可 以用 于构 建正 常 行为 特 征库 ，以区 分 系统 中不 同进程 和 入侵 行 为等 。 因此 ，基 于 系统 调用 可 以建 立入 侵
维普资讯
维普资讯
学术 ． 技术
特定 的 、有限 的功能 ， 然 而用 户可 能执 行各种 类型 的操 作
最 后 ，特 权程 序 的行 为在 时 间上 是 相对 稳定 的 ，特 别是 与 用 户 行为 相 比 一 一用 户行 为不 仅 执行 的操 作变 化 多端 ，而 且 随 着时 间 的不 同用 户行 为可 能 会产 生很 大 的变化 ，而特
权程序的行为 （ 至少是它们 的功能 ）通常不会随着时间发
生 很大 改变 。特权程 序 ，尤其 是那 些监 听特 定端 口的特 权
Байду номын сангаас
程 序 ，形 成 了外部 探 测和入 侵 的 自然边界 。
综 上所 述 ，对 于特 权程 序 的 监控 是入 侵 检测 的一 个 重
要研 究方 向 。
２ ． ２ ． ２从审计记录中抽取特权程序
的异常信号体现 ，异常信号 Ｓ ＾ 定义为． Ｓ ＝ ｍａ ｘ ｛ ｄ ｍ （ ／ ４ ｝ ，
其 中 为任 意 的子序 列 。在 理想 情况 下 ，只要 Ｓ 大 于 ０就 可 以认 为是 入侵 ，然而 在 实际 中检 测 序列 与模 式 表 中 的序 列 完全 匹 配 的 限 制太 强 。一 次 定 义一 个 阈值 ，如 果 Ｓ 值
调 用 的数 字 实 际上 是一 个序 列 号 ，表示 其 在 系统 的一 个数 组ｓ ｙ ｓ ＿ ｃ ａ ｌ ｌ ＿ ｔ ａ ｂ ｌ ｅ ［ 】 中 的位置 。 程 序运 行 过程 中所使 用 的 系统调 用 序列 表现 出一 些重 要 的性 质 ，主要 包括 ： （ １ ） 进 程 运 行过 程 中所 使 用 的系 统 调用 序 列 具 有一 定
Ｂ Ｓ Ｍ 数 据 包含 了评 估阶 段 Ｐ ａ ｓ ｃ ａ ｌ 机器 上 Ｂ Ｓ Ｍ 模 块 记
的稳 定性 ， 表现 为 系统 调用 短序列 （ 系统 调用 序列 的片段 ）
具 有一定 的稳 定 性 ； （ ２ ） 刻 画 系统 调 用 的 系统 调 用 短 序列 的 数 量变 化 不 会
能 访 问更 多 的资 源 。如果 误用 这 些资 源足 以对 整 个 系统构 成 危 害 。所 以 ，很 多入 侵 都是 发 生在 进程 的核 心 态 （ 如缓 冲区溢出） ，如 果把 程 序 运 行 产生 的 系统 调用 序 列 记 录下
来 ，就 为入 侵 过程 记下 了最为 详 细的 日志 。 因此 ，可 以通 过 分析 特权 程序 的 系统 调用 ，来检 测入 侵 行为 ，把 系统 调 用作 为研 究对 象 。 用 户程 序 可 以通过 这 组特 殊 接 口来获 得 操作 系统 内核 提供 的服 务 ， 比如用 户可 以通 过 文 件 系统 相 关 的调用 请 求 系统 打开 文 件 、关 闭文 件或 读写 文件 。系统 服务 之所 以需 要 通过 系统 调 用提 供功 能 给用 户 空 间的根 本原 因是为 了对 系统 的保护 ，因为 系统 的运行 空 间分 为 内核空 间与用 户空
间， 它们 各 自运行 在不 同 的级别 中 ， 逻 辑上 是相 互 隔离 的 。 所 以用 户进 程 在通 常情 况 下不 允许 访 问 内核数 据 ，也 无法
使 用 内核 函数 ，它 们 只能在 用 户空 间操 作 用户 数据 ，调用
大 于该 阈值 就认 为 发生 异常 。
在本 系 统 中我 们采 用 ３种 距 离 向量 分 别进 行实 验 ，并 且 比较 了这 ３种方 法 的优 劣 。在 实 验 中采 用 了如下 ３种 实
检 测模 型 。
２ ． ２ ． ３系统调用段序列的获取
系统 调 用 是 进程 在 用 户 态 与 核 心态 之 间切 换 的桥 梁 ， 用户 进程 在 用户 态 只能 访 问有 限 的资源 ，入 侵一 般 不会 发 生 在 用 户 空 间 。然 而 进程 通 过 系 统调 用 切 换到 核 心 态 后 ，