基于静态马尔可夫链模型的实时异常检测.pdfVIP

维普资讯 第24卷第 l1期 计算机应用 V0l_24No．1l 2004年 11月 ComputerApplications Nov．2O04 文章编号：1001—9081(2004)11—0030—03 基于静态马尔可夫链模型的实时异常检测 赵艳丽，孙志挥 (东南大学计算机科学与工程系，江苏 南京210096) (yanlizhao@sina．con) 摘 要：马尔可夫链模型可以用来描述系统的正常行为模式，文中提出了一种基于静态马尔可夫 链的异常检测方法，在此基础上进行了算法实现。实验结果表明该方法实现简单，准确率较高，可适 用于不 同环境下的实时检测。 关键词：入侵检测；异常检测；静态马尔可夫链模型 中图分类号：TP309．2 文献标识码 ：A Real-timeanomalydetectionbasedonthestaticM akovchainmodel ZHA0 Yan．1i．SUN Zhi．hui (DepartmentofComputerScienceandEngineering,SoutheastUniversity,NanjingJiangsu210096，China) Abstract：Markov chain modelsareoften proposedforprofiling the normalstatesofcomputersystem in anomaly detection．Inthispaper，afterthebasicprincipleofthestaticMarkovchainmodelwasdiscussedananomalydetectionmethod ， basedon thestaticMarkovchainmod elwas discussed，nadadetectionalgorithm wasbroughtofrward．Themethod isnotonly usefulintheory，butcanalsobeusedinpracticetomonitorthecomputersystem inreal time． Keywords：intrusiondetection；na omalydetection；staticMarkOVchainmod el 0 引言 1 静态马尔可夫链模型 在工业控制及其他的一些应用领域中，人侵是指任何试 静态马尔可夫链是满足下面两个假设的一种随机过 图危害资源完整性、必威体育官网网址性和可用性的活动集合。人侵检测 程 ： 就是检测人侵活动，并采取对抗措施。目前常用的人侵检测 t+1时刻系统状态的概率分布只与t时刻的状态有关，与 技术主要有两种：滥用检测和异常检测。本文讨论的是一种 t时刻 以前的状态无关； 异常检测方法。异常检测基于已掌握了被保护对象的正常工 从t时刻到t+1时刻的状态转移与t的值无关。 作模式 ，并假定正常工作模式相对稳定 ，有人侵发生时，用 一 个静态马尔可夫链模型可表示为A=(s，P，Q)，其中 各元的含义如下： 户或系统的行为模式会发生一定程度的