基于隐半马尔可夫模型的入侵检测技术研究

《基于隐半马尔可夫模型的入侵检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、江南大学硕士学位论文基于隐半马尔可夫模型的入侵检测技术研究姓名：彭竹苗申请学位级别：硕士专业：检测技术与自动化装置指导教师：白瑞林;张正道20080301摘要摘要题目：基于隐半马尔可夫模型的入侵检测技术研究学科、专业：检测技术与自动化装置硕士研究生：彭竹苗导师：白瑞林入侵检测是一种用于检测计算机网络系统中入侵行为的网络信息安全技术。本文针对入侵检测技术的发展趋势和应用需求，研究两种典型的入侵检测方法，分别是基于网络数据包的误用检测方法和基于审计数据的异常检测技术。首先研究了入侵检测系统的标准结构与功能、入侵检测数据源及其产生机制等，对现有的一些入侵检测方法进行了分析与总结

2、。针对实际系统不能完全满足Markov条件，在此基础上建立的模型和检测算法性能不理想的情况，提出一种基于HMM模型的网络入侵误用检测方法。通过HMM模型来刻画和模拟攻击模式，将判断待检测行为属于哪种已知攻击的问题归结为模式的匹配问题，实现了对已知攻击类型的检测和分类。针对U2R和R2L类攻击的高度隐蔽性和极大危害性以及HMM模型在应用过程中存在的无法描述状态驻留、模型学习复杂度偏高、模型对审计数据的规律性转移很难精确模拟等问题，在HMM模型的基础上进行改进，提出主要针对U2R和R2L类攻击的基于HsMM模型的主机型入侵异常检测系统。在训练时间增加不多的情况下，提高了系统的

3、检测性能，大幅降低了检测的误报率和漏报率。最后研究了入侵预报问题，重新定义了描述入侵检测的HsMM模型结构，通过分配各个系统调用的风险性确定状态驻留的时间。计算当前系统调用序列的产生概率来判定当前主机行为是否异常及其后续系统调用发生异常的概率，提前发现其中具有高度入侵危险的进程，并估计该进程发生一次入侵攻击的大致时间，从而在攻击实施前发现企图，为主动入侵防御赢得时间。关键词：网络安全，误用检测，异常检测，隐半马尔可夫模型，入侵预报AbstractIntrusiondetection，atechnologyinnetworkandinformationsecufity’iS

4、usedtodetectintrusionbehaviorsincomputernetworksystems。Accordingtothedevelopmenttrendandapplicationnecessityoftheintrusiondetectiontechnology,twotypicaldetectionmethodsarestudiedinthisdissertation．OneisthemisusedetectionmethodbasedonnetworkdatapacketswhiletheotheriStheanomalydetectionwayu

5、singauditdata。Atfirst．thestandardstructureandfunctionoftheintrusiondetectionsystems(IDS)iSgivenfollowedwiththedatasourceanditsproductionmechanism．Thecurrentdetectionmethodsareanalysedandconcludedsubsequently．BecausetherealsystemcannotsatisfytheMarkovcondition，andthemodelanddetectionalgori

6、thmswhichaleestablishedbasedonthemarenotaccurate，amisusedetectionmethodofnetworksecuritybasedonHiddenMarkovModeliSpresented．TheintrusiontypeissimulatedthroughHMMmodel．Theproblemofidentifyingwhichintrusiontypetheto-be-detectedbehavoirbelongstoisfinallyconvertedtotheoneofpatternmatching。The

7、ndetectionandclassificationoftheknownintrusiontypesareaccomplished．TheU2RandR2Lattacksaresecretandofgreatdamage．HMMmodelcannotdescribestatelastingwithitsgreattrainingcomplexityanditalsocannotsimulatetheregulartransitionoftheauditdataaccurately．Aimataboveproblemsahos