基于序列模式挖掘的软件异常行为检测

论文摘要

随着计算机技术的不断发展以及互联网的广泛应用,软件的运行环境由以前的静态、封闭逐步变成了开放、动态的环境,而软件系统也随之由集中式软件系统转变为分布式软件系统。在开放式网络环境下,软件在运行时其实体需临时按需聚合,并且需要在满足约束条件的情况下进行协同完成任务,使得软件的监管与预测变得比以前更加困难。需要在运行时对软件进行检测、把握以及调控相关信息,并且依据这些信息进行在线诊断和运行态势预测及调控。通过运行轨迹捕获技术能够直观地展现系统的运行过程细节,为分析系统行为、定位系统故障、优化关键路径、查找系统瓶颈提供量化依据与可靠保障。本文提出了一种基于BCI技术与序列模式挖掘技术的监测方法,运行时动态地将探针代码注入到目标字节码中,实现对目标系统的监测功能,并且不用改变目标系统的文件。收集到软件信息后,通过序列模式数据挖掘的方法对数据进行处理。本文所述软件异常行为检测主要分为三步,首先,利用BCI技术获得与软件运行行为相关的数据信息,包括:父子线程对信息和线程类的业务方法运行信息;然后,通过数据挖掘从海量的行为数据中提取出软件行为的两种模式:父子线程对序列模式和线程类行为序列模式,建立软件行为规则库;最后,将待检测的软件运行行为序列与规则库中的行为模式进行比较,从而判断待检测的软件行为序列是否异常。将序列模式数据挖掘技术引入到软件异常行为检测中,可以方便地知道软件正常运行时先后调用的方法序列,无需再对软件异常模式进行繁琐并艰难地手工分析和编码,在构建正常行为特征时也不再需要像以前那样凭专业知识和经验来选择统计方法,使异常检测更加自动化。而且对于不同的数据流可以使用相同的数据挖掘工具,使软件异常检测系统更加自适应化。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景及意义
• 1.2 研究现状
• 1.2.1 软件监测
• 1.2.2 软件检测
• 1.2.3 存在问题
• 1.3 研究内容及本文工作
• 1.4 论文组织结构
• 第二章 相关技术概述
• 2.1 数据挖掘简介及其研究现状
• 2.1.1 数据挖掘简介
• 2.1.2 数据挖掘研究现状
• 2.2 序列模式挖掘
• 2.2.1 序列模式挖掘应用背景
• 2.2.2 序列模式挖掘基本概念
• 2.2.3 序列模式挖掘主要步骤
• 2.3 序列模式挖掘典型算法
• 2.3.1 AprioriAll 算法
• 2.3.2 GSP 算法
• 2.3.3 Microsoft 序列聚类算法
• 2.4 字节码编辑技术
• 2.4.1 BCI 技术介绍
• 2.4.2 Javassist 技术介绍
• 2.5 本章小结
• 第三章 基于序列模式挖掘的软件异常行为检测机制
• 3.1 总体框架设计
• 3.2 软件运行行为数据收集
• 3.2.1 软件行为和软件运行轨迹
• 3.2.2 软件运行轨迹的捕获
• 3.2.3 监测代理机制
• 3.2.4 监测代理框架
• 3.3 基于序列模式挖掘的异常检测研究
• 3.3.1 序列模式挖掘应用于软件异常检测的优势
• 3.3.2 线程类行为序列模式挖掘
• 3.3.3 父子线程序列模式挖掘
• 3.4 本章小结
• 第四章 基于序列模式挖掘的软件异常行为检测实现
• 4.1 捕获软件运行轨迹的结构模型
• 4.2 捕获运行轨迹的实现
• 4.2.1 监测代理的实现
• 4.2.2 类文件转换器的实现
• 4.2.3 探针编辑器的实现
• 4.2.4 探针部署器的实现
• 4.2.5 运行信息收集器的实现
• 4.3 创建规则库和检测异常行为
• 4.3.1 创建模型
• 4.3.2 训练模型
• 4.3.3 异常行为检测查询
• 4.4 实验验证
• 4.4.1 实验用例
• 4.4.2 业务方法调用信息收集的实验验证
• 4.4.3 父子线程队的信息收集实验验证
• 4.4.4 性能影响结果测试
• 4.5 本章小结
• 第五章 总结与展望
• 5.1 论文工作总结
• 5.2 未来工作展望
• 参考文献
• 附录
• 致谢