支持向量机系统调用跟踪异常检测建模研究

论文摘要

随着计算机网络技术的发展,计算机网络在各个领域得到了广泛的应用。计算机网络的普及和应用,对网络安全提出了更高的要求。入侵检测己成为网络安全中重要的手段,引起了国内外的广泛关注。 本文将Unix操作系统的系统调用作为审计数据源,利用支持向量机算法训练异常检测模型来实现检测入侵活动。目前的入侵检测模型存在先验知识较少时泛化能力差的问题。应用支持向量机算法学习检测模型,可以使入侵检测模型在小样本(先验知识少)的条件下仍然具有良好的推广能力。传统的基于主机系统调用序列的入侵检测模型,将标志行为特征的特征模式,按照正常和异常两种类别构建了两类别特征模式空间。本文在两类别特征模式空间的基础上,将类别空间中出现频度较小的、类别特征不明显的、不稳定的短序列分离出来,将特征类别空间分为正常、异常和微量三类,微量短序列的性质与它所处的环境有关,采用邻接算法来决定其究竟为正常还是异常。

论文目录

• 第一章 绪论
• 1.1 研究的目的和意义
• 1.2 本文研究的内容和所做的工作
• 1.3 论文的结构安排
• 第二章 网络安全现状与入侵检测技术分析
• 2.1 网络安全现状
• 2.2 入侵检测的概念
• 2.3 入侵检测系统的组成
• 2.3.1 IDS的功能模块
• 2.3.2 IDS的模型结构
• 2.4 IDS的分类
• 2.4.1 按数据来源分
• 2.4.2 基于检测技术的分类
• 2.4.3 基于体系结构的分类
• 2.5 基于主机系统调用的入侵检测技术
• 2.6 小结
• 第三章 支持向量机
• 3.1 学习方法
• 3.1.1 监督学习
• 3.1.2 学习和泛化性
• 3.2 统计学习问题
• 3.2.1 经验风险
• 3.2.2 VC维
• 3.3 结构风险最小归纳原理
• 3.4 SVM
• 3.4.1 SVM的基本原理
• 3.4.2 SVM数学模型的建立
• 3.4.2.1 线性可分
• 3.4.2.2 线性不可分
• 3.4.3 SVM算法中目前的研究状况
• 3.4.4 SMO算法的原理
• 第四章 基于SVM的异常检测模型
• 4.1 SVM作为入侵检测分类器的可行性
• 4.2 入侵检测的分类问题
• 4.3 引入微量短序列
• 4.3.1 微量短序列的定义
• 4.3.2 邻接算法
• 4.4 基于SVM的异常检测模型
• 第五章 实验设计与实施
• 5.1 实验数据预处理
• 5.1.1 实验数据介绍
• 5.1.2 获取训练样本
• 5.2 训练SVM
• 5.3 检测SVM
• 5.4 判定微量短序列
• 5.5 实验结果
• 5.6 闭值设定
• 第六章 总结
• 参考文献
• 致谢
• 攻读硕士学位期间发表的文章