基于shell命令和Markov链模型的用户行为异常检测

异常检测是目前入侵检测系统(IDS)研究的主要方向。该文提出一种基于shell命令和Markov链模型的用户行为异常检测方法,该方法利用一阶齐次Markov链对网络系统中合法用户的正常行为进行建模,将Markov链的状态与用户执行的shell命令联系在一起,并引入一个附加状态;Markov链参数的计算中采用了运算量较小的命令匹配方法;在检测阶段,基于状态序列的出现概率对被监测用户当前行为的异常程度进行分析,并提供了两种可选的判决方案。文中提出的方法已在实际入侵检测系统中得到应用,并表现出良好的检测性能。     

基于shen命令和Markov链模型的用户行为异常检测

异常检测是目前入侵检测系统（IDS）研究的主要方向。该文提出一种基于shell命令和Markov链模型的用户行为异常检测方法，该方法利用-阶齐次Markov链对网络系统中合法用户的正常行为进行建模，将Markov链的状态与用户执行的shell命令联系在一起，并引入一个附加状态；Markov链参数的计算中采用了运算量较小的命令匹配方法；在检测阶段，基于状态序列的出现概率对被监测用户当前行为的异常程度进行分析，并提供了两种可选的判决方案。文中提出的方法已在实际入侵检测系统中得到应用，并表现出良好的检测性能。     

基于shell命令和Markov链模型的用户伪装攻击检测

提出一种新的基于shell命令的用户伪装攻击检测方法。该方法在训练阶段充分考虑了用户行为的多变性和伪装攻击的特点,采用平稳的齐次Markov链对合法用户的正常行为进行建模,根据shell命令的出现频率进行阶梯式数据归并来划分状态,同现有的Markov链方法相比大幅度减少了状态个数和转移概率矩阵的存储量,提高了泛化能力。针对检测实时性需求和shell命令操作的短时相关性,采用了基于频率优先的状态匹配方法,并通过对状态短序列的出现概率进行加窗平滑滤噪处理来计算判决值,能够有效减少系统计算开销,降低误报率。实验表明,该方法具有很高的检测准确率和较强的可操作性,特别适用于在线检测。     

一种基于隐马尔可夫模型的IDS异常检测新方法

提出一种新的基于隐马尔可夫模型的异常检测方法,主要用于以shell命令或系统调用为原始数据的IDS。此方法对用户(或程序)行为建立特殊的隐马尔可夫模型,根据行为模式所对应的序列长度对其进行分类,将行为模式类型同隐马尔可夫模型的状态联系在一起,并引入一个附加状态。由于模型中各状态对应的观测值集合互不相交,模型训练中采用了运算量较小的的序列匹配方法,与传统的Baum-Welch算法相比,大大减小了训练时间。根据模型中状态的实际含义,采用了基于状态序列出现概率的判决准则。利用UNIX平台上用户shell命令数据进行的实验表明,此方法具有很高的检测准确性,其可操作性也优于同类方法。     

基于隐马尔可夫模型的用户行为异常检测新方法

提出一种基于隐马尔可夫模型的用户行为异常检测方法,主要用于以shell命令为审计数据的主机型入侵检测系统。与Lane T提出的检测方法相比,所提出的方法改进了对用户行为模式和行为轮廓的表示方式,在HMM的训练中采用了运算量较小的序列匹配方法,并基于状态序列出现概率对被监测用户的行为进行判决。实验表明,此方法具有很高的检测准确度和较强的可操作性。     

基于动态马尔科夫模型的入侵检测技术研究

本文提出了基于动态马尔科夫模型的入侵检测方法.首先提取特权进程的行为特征,并在此基础上动态构造Markov模型.由动态Markov模型产生的状态序列计算状态概率,根据状态序列概率来评价进程行为的异常情况.利用Markov模型的动态构造充分提取特权进程的局部行为特征的相互关系,因此可以在训练数据集有限的条件下使模型更精确、检测能力大大加强.实验表明该算法准确率高、实时性强、占用系统资源少.本文所提方法算法简单、预测准确,适合于进行实时检测.     

隐马尔可夫模型应用于入侵检测系统的研究

现在入侵检测系统面临着巨大挑战，越来越复杂的计算机网络系统，越来越高明的入侵手段要求入侵检测技术不断快速向前发展。对于入侵检测的实现手段也要多样化。 本文提出了一种基于隐马尔可夫模型的异常检测新方法——隐马尔可夫状态时延序列嵌入法（HMMTide）。这种方法的主要思想是用HMM模型的隐含状态序列的局部模型，即隐马尔可夫状态短序列，实现对正常行为的特征的刻画。通过对被测行为产生的隐马尔科夫状态序列局部模式与已建立的正常模型进行比较实现异常检测。该方法具有从不完整的数据中进行异常分析的能力，减少了对系统资源的需求。对HMMTjde方法进行了仿真实验，实验结果表明采用HMM方法后，虚警率大大降低了，而且在构建正常行为特征库时，对数据完整性的要求也大大降低了。     

基于模糊序列电网异常检测建模方法与研究

采用序列模式挖掘算法构建电网异常检测模型,能够更好地表现电网异常行为。基于此进行了电网异常检测建模方法的研究,并提出了一个基于模糊序列模式的电网异常检测模型。通过理论分析和仿真实验证明,提出的模型不仅具有检测异常行为的实际能力,而且检测效率和检测性能都得到了很大的提高。     

新的基于机器学习的入侵检测方法

提出了一种基于机器学习的用户行为异常检测方法,主要用于UNIX平台上以shell命令为审计数据的入侵检测系统。该方法在LaneT等人提出的检测方法的基础上,改进了对用户行为模式和行为轮廓的表示方式,在检测中以行为模式所对应的命令序列为单位进行相似度赋值;在对相似度流进行平滑时,引入了“可变窗长度”的概念,并联合采用多个判决门限对被监测用户的行为进行判决。实验表明,该方法在检测准确度和实时性上均优于LaneT等人提出的方法。     

云环境下基于零信任的用户行为异常检测方法研究

针对现有用户行为提取仅对用户行为序列特征进行粗粒度的提取，缺乏考虑用户行为的时空状态从而导致系统对用户行为进行异常检测时出现大量漏检的现象。首先，根据云环境下零信任的思想，采用行为映射编码的方式将用户的时空状态信息和行为类型进行关联映射；然后，采用词嵌入的方式提取用户行为语义向量；最后，基于深度学习的方法对用户行为序列进行识别和分类，为安全管理运营平台提供技术支撑。该方法解决基于零信任架构下基于用户访问行为进行编码映射、语义特征提取、异常行为检测的关键问题，采用细粒度方式将用户行为类型、行为发生的时间和地理位置分析用户行为习惯，提升企业的网络安全性。     

Anomaly detection of user behavior based on DTMC with states of variable-length sequences

In anomaly detection,a challenge is how to model a user’s dynamic behavior.Many previous works represent the user behavior based on fixed-length models.To overcome their shortcoming,we propose a novel method based on discrete-time Markov chains(DTMC) with states of variable-length sequences.The method firstly generates multiple shell command streams of different lengths and combines them into the library of general sequences.Then the states are defined according to variable-length behavioral patterns of a valid user,which improves the precision and adaptability of user profiling.Subsequently the transition probability matrix is created.In order to reduce computational complexity,the classification values are determined only by the transition probabilities,then smoothed with sliding windows,and finally used to discriminate between normal and abnormal behavior.Two empirical evaluations on datasets from Purdue University and AT&T Shannon Lab show that the proposed method can achieve higher detection accuracy and require less memory than the other traditional methods.     

A Method for Anomaly Detection of User Behaviors Based on Machine Learning

1Introduction Intrusiondetectiontechniquescanbecategorizedinto misusedetectionandanomalydetection.Misusedetec tionsystemsmodelattacksasspecificpatterns,anduse thepatternsofknownattackstoidentifyamatchedac tivityasanattackinstance.Anomalydetectionsystems u…     

Multiuser Detection Using Hidden Markov Model

Many existing multiuser detection algorithms assume that the user sequences are independent and identically distributed (i.i.d.). These algorithms, however, may not be efficient when the user sequences sent to a multiuser system are time correlated due to signal processing procedures such as channel coding. In this paper, we assume that the user sequences are time correlated and can be modeled as first-order, finite-state Markov chains. The proposed algorithm applies the decision feedback framework in which a linear filter based on the maximum target likelihood (MTL) criterion is derived to remove the interferences. A hidden Markov model (HMM) estimator is applied to the output of the MTL filter to estimate the user data, noise variance, and state transition probabilities. The estimated user data in turn are applied to update the parameters of the MTL filter. By exploiting the transmission of training symbols, the proposed algorithm requires neither knowledge of the user codes nor the timing information. Simulation results show the performance improvement of the proposed algorithm by exploiting the time-correlated redundancy of the Markov sources.     

基于数据挖掘和变长序列模式匹配的程序行为异常检测

异常检测是目前入侵检测领域研究的热点内容.提出一种基于数据挖掘和变长序列模式匹配的程序行为异常检测方法,主要用于Unix或Linux平台上以系统调用为审计数据的主机型入侵检测系统.该方法利用数据挖掘技术中的序列模式对特权程序的正常行为进行建模,根据系统调用序列的支持度在训练数据中提取正常模式,并建立多种模式库来表示一个特权程序的行为轮廓.在检测阶段,考虑到审计数据和特权程序的特点,采用了变长序列模式匹配算法对程序历史行为和当前行为进行比较,并提供了两种判决方案,能够联合使用多个窗长度和判决门限对程序行为进行判决,提高了检测的准确率和灵活性.文中提出的方法已应用于实际入侵检测系统,并表现出良好的检测性能.     

基于能量优化的微博用户转发行为预测

微博用户转发行为预测是微博社交网络消息扩散模型构建的基础,在舆情监控、市场营销与政治选举等领域有着广泛的应用.为了提高用户转发行为预测的精度,本文在MRF（Markov Random Field）能量优化框架下综合分析了用户属性与微博内容特征、用户转发行为约束、群体转发先验等因素对用户转发行为的影响,并在逻辑回归模型的基础上构造了相应的能量函数对用户转发行为进行了全局性的预测.实验结果表明,微博用户转发行为不仅取决于用户属性、微博内容等特征,而且也受到用户转发行为约束、群体转发先验等因素不同程度的影响.相对于传统算法,本文算法可以更准确地对用户转发行为进行建模,因而可获得更好的预测结果.