试析基于unix shell命令的用户行为异常检测的研究

《试析基于unix shell命令的用户行为异常检测的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、硕士学位论文（工程硕士）基于UNIXshell命令的用户行为异常检测的研究ANOMALYUSERBEHAVIOURDETECTIONBASEDONUNIXSHELLCOMMANDS彭小兰哈尔滨工业大学2009年12月国内图书分类号：TP39学校代码：10213国际图书分类号：600密级：公开工程硕士学位论文↑【宋体小2号字】基于UNIXshell命令的用户行为异常检测的研究↑【硕士研究生：彭小兰导师：丁宇新副教授副导师：袁华强教授申请学位：工程硕士工程领域：计算机科学与技术所在单位：东莞理工学院答辩日期：2009年12月授予学位单位：哈尔滨工业大学Class

2、ifiedIndex:TP39【TimesNewRoman小4字】U.D.C:600【TimesNewRoman小4字】DissertationfortheMaster’sDegreeofEngineering↑ANOMALYUSERBEHAVIOURDETECTIONBASEDONUNIXSHELLCOMMANDS↑【TimesNewRoman2号字加粗，题目太长时可用小2号字】Candidate：PengXiaolanSupervisor：Prof.DingYuxinAssociateSupervisor：Prof.YuanHuaqiangAcademi

3、cDegreeAppliedfor：MasterofEngineeringSpeciality：ComputerScienceandTechnologyAffiliation：DongguanUniversityofTechnologyDateofDefence:December,2009Degree-Conferring-Institution：HarbinInstituteofTechnology哈尔滨工业大学工程硕士学位论文摘要随着网络的快速发展，人们在使用网络提供的各种服务和信息的同时也面临着日益增加的网络入侵的困扰，网络安全成为迫切需要解决的问题之

4、一。异常检测是目前入侵检测系统研究的主要方向。这种检测技术建立系统或用户的正常行为模式，通过对被监测系统或用户的实际行为模式和正常模式之间的比较和匹配来检测入侵。大部分入侵检测系统对于内部攻击的检测效率很低。内部攻击者比外部攻击者会对系统造成更大破坏，而且其行为更难捕捉。对用户的行为建模是一种有效的检测恶意攻击的方法。随着假冒入侵行为的出现，任何新的异常行为模式都应该通过用户命令行数据被观察到，发现越早越好。论文首先分析了入侵检测技术，着重分析异常检测的发展和目前待解决的难题。异常检测的一个关键问题就是如何判断哪类数据特征是异常检测的关键特征。对于UNIX命

5、令行数据，基本包含两大类数据特征，一类是数据的时序特征，即数据出现的先后次序，我们称之为动态特征；另一特征是数据的分布特征，如某数据出现的频率，这种特征我们称之为静态特征。本文的研究目的是对这两种数据特征进行比较，观察这两种特征在异常检测中所起的不同作用，为识别模型的选择提供依据。论文介绍了UNIX系统shell命令、隐马尔可夫模型及交叉熵的相关理论。深入分析了隐马尔可夫模型中的全连结、左到右及交叉熵理论应用于异常检测系统中的可行性，简单介绍了与本文相关的其它用户行为异常检测的研究，指出其中的可取之处与不足。然后，为验证交叉熵模型优于隐马尔可夫模型的两种模型

6、，我们通过UNIX用户命令序列来区分正常用户行为和假冒正常用户的入侵者行为或者正常用户的误用行为。从每个用户中选取其shell命令行数据的三分之一作为训练数据，另外三分之一的数据和非本用户的一些数据作为测试数据，通过改变模型的参数（包括隐状态数和序列长度）进行实验。接着详细设计了系统框架，通过多组对比实验发现更适合用户行为的异常检测方法。通过改变各种模型的隐状态数和序列长度，在实验条件完全相同的情况下，通过实验，我们最终发现：交叉熵学习模型的识别效果要优于隐马尔可夫模型，并且交叉熵具有模型简单，训练快速的特点。关键词：异常检测；隐马尔可夫模型；交叉熵；she

7、ll命令行-I-哈尔滨工业大学工程硕士学位论文AbstractWiththerapiddevelopmentofinternet,peopleenjoyallkindsofservicesandinformationprovidedbyinternet,butatthesametimetherearemoreandmoreworryabouttheinternetintrusion.Thenetworksafetybecomesoneofquestionscryingforresolution.Nowadaysanomalydetectionisthemai

8、nresearchdirectionofintrus