[發(fā)明專利]一種基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201110397516.0
• 申請(qǐng)日: 2011-12-03
• 公開（公告）號(hào): CN102521534A
• 公開（公告）日: 2012-06-27
• 發(fā)明（設(shè)計(jì)）人: 劉峰;李威;趙志宏;駱斌
• 申請(qǐng)（專利權(quán)）人: 南京大學(xué)
• 主分類號(hào): G06F21/00
• 分類號(hào): G06F21/00;H04L29/06
• 代理公司: 南京天翼專利代理有限責(zé)任公司 32112
• 代理人: 陳建和

1.一種基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于該方法包括如下步驟：

1)訓(xùn)練階段：

a)收集已知類型進(jìn)程的系統(tǒng)調(diào)用序列作為訓(xùn)練集；

b)統(tǒng)計(jì)訓(xùn)練集里某類進(jìn)程中系統(tǒng)調(diào)用的出現(xiàn)概率對(duì)其序列作規(guī)范化處理，生成短序列集合；

c)基于屬性重要度模型計(jì)算短序列的屬性重要度并排序；

d)基于粗糙熵屬性約簡(jiǎn)算法訓(xùn)練出某類型進(jìn)程分類規(guī)則；

e)重復(fù)b、c、d得到訓(xùn)練集中所有類型進(jìn)程的分類規(guī)則，得到進(jìn)程分類規(guī)則集；

f)結(jié)束；

2)檢測(cè)階段

a)收集待測(cè)進(jìn)程的系統(tǒng)調(diào)用序列；

b)對(duì)調(diào)用序列進(jìn)行預(yù)處理生成短序列集合；

c)根據(jù)進(jìn)程分類規(guī)則識(shí)別進(jìn)程種類，判斷進(jìn)程是否異常；

d)結(jié)束。

2.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟1-b所述的規(guī)范化處理：

1)從訓(xùn)練集中取出尚未得到分類規(guī)則的第t類進(jìn)程的所有系統(tǒng)調(diào)用序列集合C，計(jì)算其中每種系統(tǒng)調(diào)用的出現(xiàn)概率，構(gòu)建系統(tǒng)調(diào)用號(hào)與按其概率值嚴(yán)格升序排序后序號(hào)值之間的映射Map_t，用排序后的序號(hào)值代替原序列中的系統(tǒng)調(diào)用號(hào)，生成新的序列集合C’；

2)以長(zhǎng)度為K的窗口將C’中每個(gè)長(zhǎng)序列以步長(zhǎng)1滑動(dòng)截取成多個(gè)長(zhǎng)度為K的短序列，若某個(gè)長(zhǎng)序列長(zhǎng)度為n，則可得到n-K+1個(gè)短序列。構(gòu)建一個(gè)序信息系統(tǒng)I(U，A，V，f)，其中U是對(duì)象集，每個(gè)短序列都是一個(gè)對(duì)象；A為屬性集，每個(gè)對(duì)象可表示為K個(gè)屬性各自取值的向量；f(x，a)是一個(gè)信息函數(shù)，表示U中對(duì)象x的屬性a的取值；V為屬性值的集合，A中所有屬性的值域上存在偏序關(guān)系；

3)結(jié)束。

3.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟1-c所述的屬性重要度計(jì)算：

1)根據(jù)序信息系統(tǒng)屬性重要度模型計(jì)算每個(gè)屬性重要度，公式如下：

alg_in(a，A)＝GI(A-{a])-GI(A)，a∈A????(I)

其中，GI是屬性或?qū)傩约男畔⒘６龋瑢?duì)于屬性集B的信息粒度計(jì)算公式如下：

其中，為對(duì)象基于屬性集B的優(yōu)勢(shì)類，計(jì)算公式如下：

2)按照屬性重要度取值對(duì)屬性集A中的所有屬性作降序排序；

3)結(jié)束。

4.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟1-d所述的屬性約簡(jiǎn)算法：

1)序信息系統(tǒng)初始約簡(jiǎn)集Red(A)為

2)A中的屬性已按照屬性重要度降序排序，依次選取A中屬性a_i，0＜1≤K，令Red(A)＝Red(A)U{aL}，計(jì)算alg_in(a_L，Red(A))；若alg_in(a_i，Rdd(A))≥α，則重復(fù)2)；否則執(zhí)行3)；其中α為屬性重要度閾值(α一般取值為0.05)；

3)計(jì)算GI(Red(A))-GI(A)，如果該值大于β，則執(zhí)行2)；否則執(zhí)行4)；其中β為約簡(jiǎn)集信息差閾值(β一般取值為0.05)；

4)確定Red(A)為序信息系統(tǒng)的約簡(jiǎn)，去除在Red(A)中屬性取值完全相同的冗余對(duì)象，得到新的對(duì)象集U_t，U_t的屬性集為Red(A)；

5)將U_t每個(gè)屬性的取值根據(jù)Map_t由排序序號(hào)還原為系統(tǒng)調(diào)用號(hào)，得到第t類進(jìn)程的分類規(guī)則R_t。

6)結(jié)束。

5.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟1-e所述的屬性約簡(jiǎn)算法，該步驟生成訓(xùn)練集的最終進(jìn)程分類規(guī)則集R。

6.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟2-b所述的屬性約簡(jiǎn)算法：

1)以長(zhǎng)度為K的窗口將待檢測(cè)進(jìn)程的系統(tǒng)調(diào)用序列序列以步長(zhǎng)1滑動(dòng)截取成多個(gè)相同長(zhǎng)度的短序列，定義該短序列集合為S；

2)結(jié)束。

7.根據(jù)權(quán)利要求1所述的基于粗糙熵屬性約簡(jiǎn)的入侵檢測(cè)方法，其特征在于步驟2-c所述的屬性約簡(jiǎn)算法：

1)將短序列集合S中的每個(gè)短序列與進(jìn)程分類規(guī)則集作匹配，用match_L[]來(lái)記錄S中的第i個(gè)短序列與各種類型進(jìn)程的匹配情況，match_L[]長(zhǎng)度為規(guī)則集中進(jìn)程類型數(shù)T。當(dāng)該短序列匹配到第t類進(jìn)程時(shí)，match_L[t]＝1，否則為0；用unmatch來(lái)記錄未匹配到任何類型進(jìn)程的短序列數(shù)量，初始為0，如果數(shù)組match_L[]各元素均為0，則unmatch加1；

2)用長(zhǎng)度為T的數(shù)組count[]記錄S中的短序列與進(jìn)程匹配規(guī)則集的匹配情況。則count[t]表示匹配到第t類進(jìn)程的短序列個(gè)數(shù)；

3)計(jì)算進(jìn)程匹配支持度Sup＝1-unmatch/|S|；

4)用長(zhǎng)度為T的數(shù)組Conf[]來(lái)記錄匹配到各類進(jìn)程的可信度，計(jì)算該未知進(jìn)程匹配到第t類進(jìn)程的可信度Conf[t]＝(count[t])/(|S|-unmatch)；

5)判斷待檢測(cè)進(jìn)程的類別，確定是否為入侵進(jìn)程。設(shè)定支持度閾值V_sup可信度閾值Y_conf；若Sup＜V_sup，則判定待測(cè)進(jìn)程為新的未知類型的異常，執(zhí)行6)；否則，尋找最大Conf[t]，若Conf[t]＜V_conf，則待測(cè)進(jìn)程仍然判定為新的未知類型的異常，執(zhí)行6)；否則，該進(jìn)程的類型為t，執(zhí)行7)；

6)提示進(jìn)程未識(shí)別，執(zhí)行8)；

7)提示進(jìn)程類型，給出是否屬入侵進(jìn)程的判斷結(jié)果，執(zhí)行8)；

8)結(jié)束。