基于粗糙集约简的进程异常检测

《基于粗糙集约简的进程异常检测》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于粗糙集约简的进程异常检测作者：指导教师：王骆斌辉教授南京大学研究生毕业论文(申请工学硕士学位)南京大学软件学院2010年3月J掣嬲螋AbnormalDetectionofProcessesBasedonRoughSetReductionWANG，HuiSubmittedinpartialfulfillmentoftherequirementsforthedegreeofMasterofEngineeringSupervisedbyProfessorLU0，BinSoftwarelnstituteNANJlNGUNI

2、VERSITYNanjing，ChinaMarch，2010摘要入侵检测系统主要用来监控主机和网络，分析收集到的数据，识别破坏系统安全性、完整性和机密性的活动。入侵检测系统已经成为必不可少的安全防范措施，因此入侵检测技术也是关注的热点。进程异常检测是一种基于主机的异常入侵检测，它通过监控主机特权进程的行为来识别系统异常。进程异常检测一般使用系统调用序列作为训练数据集，从中寻找规律特征构建正常行为模型，然后把与模型不匹配的待测进程识别为异常。粗糙集能够在数据集规模较小的情况下充分挖掘数据属性之问的关系，提取出规则集来反映

3、数据的本质特征，因而适合在进程异常检测中用来构造正常行为模型。现有的基于粗糙集的进程异常检测方法一般只能识别进程是否异常，无法对异常进行分类，并且针对大规模数据集的训练效率有待进一步提高。针对这些问题，本文提出了一种新的基于粗糙集和进程系统调用的异常检测方法。该方法一方面提高了粗糙集属性值约简的效率，减少了系统的训练时间，另一方面改进了进程异常检测方法，使其可以识别出待测进程的异常类型。本文的研究工作主要体现在以下几方面：1)提出了一种改进的粗糙集属性值约简算法，该算法简化了约简步骤，在保证约简质量的前提下提高了约简效

4、率。2)提出了一种新的进程异常检测方法，不仅能判断进程是否异常，而且可以识别异常种类。该方法以滑动窗口若干位置作为条件属性集，以进程类型作为决策属性，建立决策表，然后使用改进的粗糙集值约简算法提取规则，再进行匹配统计，最后取得了较好的实验结果。3)设计实现了一个进程异常检测原型系统。系统参考了通用入侵检测模型进行设计，包含了数据采集、训练、检测以及系统响应等模块。系统使用数据库存储训练集和规则集，在训练过程中充分利用数据库操作提高了效率。关键词：入侵检测，异常检测，粗糙集约简，系统调用AbstractIntrusion

5、detectionsystemisusedtoguardhostsandnetworks．Itidentifiesthoseactivitieswhichdisruptthesecurity,integrityandconfidentialityofthehostsandthenetworksbyanalyzingthegatheredinformation．Thetechniqueofintrusiondetectionisalwaysthefocusbecausetheintrusiondetectionsyste

6、misanecessa吖safetymeasure．Abnormaldetectionofprocessesisakindofabnormalintrusiondetectionbasedonhosts．Itidentifiestheabnormalactivitiesbymonitoringtheprivilegedprocessesofthehost．Itusesthesystemcallsoftheprocessesasthetrainingdatatoconstructsanormalbehavemodel．A

7、nyprocessesthatdon’tmatchwiththemodelareidentifiedtobeabnormal．Roughsetisausefultooltobuildthemodel．1tcanextractasetofrulesfromaIimitedamountofdata．Thecurrenttechniqueofabnormaldetectionofprocessesbasedonroughsetcanonlytellwhethertheprocessisnormalorabnormal，but

8、can’tidentifytheexacttypeoftheabnormality．Andtheefficiencyoftrainingneedstobeimproved．Tosolvetheproblemsabove，anewintrusiondetectionsystembasedonroughandsystemcallsof