基于隐马尔可夫模型的网络入侵检测

摘 要：随着互联网科技的进一步革命，在它给我们带来大量便利的同时，其引发的安全问题也一直让众多用户感到头疼。基于此，考虑到隐马模型（Hidden Markov Model，HMM）具有的模型理论透彻、算法成熟、分类器学习性能高等优点，很多学者都曾研究过基于HMM的主机入侵检测。常规的方法是以系统调用作为模型观测值，以程序中出现的系统调用总数作为模型状态数。但由于训练分类器的观测序列过长会导致模型参数不易收敛等问题。文章将提出一种基于数据为特征的网络入侵检测方式。

关键词：入侵检测；异常检测；数据特征；隐马尔可夫模型

中图分类号：TP393.08 文献标识码：A

Abstract： With the further revolution，the Internet technologies bring us more convenience，as well as some problems bothering users all the time so that considering the HMM has numerous advantages，a lots of scholars have studyed the host intrusion detection based on HMM.The conventional measure is that viewing system calls as observed values and regarding the number of system calls existing in the processes the number of model's status.The model's parameters are hard to converge due to the long observed value sequence so that the article illustrates a measure of network intrusion detection based on the data feature's analyses.

Key words： intrusion detection； anomaly detection； data feature； hidden markov model

1 引言

网络入侵检测作为一种重要的网络安全防卫系统，主要是通过对计算机用户的某些行为信息进行分析来检测出对网络的入侵。其存在的意义在于能够分析用户的行为和操作，然后高效的将正常行为和异常行为进行区分，并且对后者采取相应的策略。这样可以让网络管理员更有效地审计和评估当前网络的安全系数，从而提高分析效率。

从目前应用现状来看，应用于网络入侵检测的常规方案可以分为两大类：误用检测（Misuse Detection）和异常检测（Anomaly Detection）。

（1）误用检测：将所有已知的带有入侵倾向的数据特征全部提取出然后存储在一个特征数据库内。每当有数据包被检测时，系统会将该数据包的相关特征与数据库内的特征进行匹配，凡是相符的都会引起检测系统的阻止并报警。

（2）异常检测：先利用训练集对检测系统进行学习或者训练，让其始终适应于正常的行为模式。……