[發(fā)明專利]基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法及裝置

在審

• 申請?zhí)枺?/td>: 202011484244.3
• 申請日: 2020-12-15
• 公開（公告）號: CN112613032A
• 公開（公告）日: 2021-04-06
• 發(fā)明（設(shè)計(jì)）人: 蔡利君;王丹丹;馬建剛;趙力欣;于愛民;孟丹
• 申請（專利權(quán)）人: 中國科學(xué)院信息工程研究所
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 馬瑞

1.一種基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，包括：

對各系統(tǒng)調(diào)用序列進(jìn)行深度嵌入，構(gòu)建各系統(tǒng)調(diào)用的詞嵌入向量；

基于n-gram算法將所述各系統(tǒng)調(diào)用序列切分成短序列的輸入輸出樣本對；

基于各系統(tǒng)調(diào)用的詞嵌入向量確定的詞向量矩陣和所述短序列的輸入輸出樣本對，確定各系統(tǒng)調(diào)用之間的依賴關(guān)系；

基于各系統(tǒng)調(diào)用之間的依賴關(guān)系確定各短序列的概率值；

將各短序列的概率值確定的共現(xiàn)概率作為異常因子，采用閾值判斷法確定各系統(tǒng)調(diào)用序列的檢測結(jié)果；所述檢測結(jié)果包括正常或異常。

2.根據(jù)權(quán)利要求1所述的基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，所述對各系統(tǒng)調(diào)用序列進(jìn)行深度嵌入，構(gòu)建各系統(tǒng)調(diào)用的詞嵌入向量，具體包括：

對各系統(tǒng)調(diào)用序列進(jìn)行深度嵌入，基于Glove詞嵌入模型構(gòu)建各系統(tǒng)調(diào)用的詞嵌入向量；所述Glove詞嵌入模型包括共現(xiàn)詞嵌入和中心詞嵌入。

3.根據(jù)權(quán)利要求2所述的基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，所述對各系統(tǒng)調(diào)用序列進(jìn)行深度嵌入，基于Glove詞嵌入模型構(gòu)建各系統(tǒng)調(diào)用的詞嵌入向量，具體包括：

構(gòu)建各系統(tǒng)調(diào)用序列的共現(xiàn)矩陣；

采用第一關(guān)系模型構(gòu)建詞向量和所述共現(xiàn)矩陣的近似關(guān)系；所述第一關(guān)系如下：

其中，和表示最終要求解的詞向量，b_i和是兩個(gè)詞向量的偏置項(xiàng)，log(X_ij)表示詞向量和所述共現(xiàn)矩陣的近似關(guān)系，i和j表示系統(tǒng)調(diào)用表中的任意兩個(gè)系統(tǒng)調(diào)用號；

采用第二關(guān)系模型構(gòu)建損失函數(shù)，所述第二關(guān)系如下：

其中，f(X_ij)是權(quán)重函數(shù)，使得共現(xiàn)頻率高的單詞的權(quán)重大于共現(xiàn)頻率低的單詞的權(quán)重，J表示損失函數(shù)，N表示系統(tǒng)調(diào)用表中的不同的系統(tǒng)調(diào)用號的數(shù)量；

基于AdaGrad梯度下降算法優(yōu)化所述損失函數(shù)，得到滿足需求的詞嵌入向量。

4.根據(jù)權(quán)利要求1所述的基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，所述基于各系統(tǒng)調(diào)用的詞嵌入向量確定的詞向量矩陣和所述短序列的輸入輸出樣本對，確定各系統(tǒng)調(diào)用之間的依賴關(guān)系，具體包括：

基于各系統(tǒng)調(diào)用的詞嵌入向量確定的詞向量矩陣和所述短序列的輸入輸出樣本對，采用GRU和attention注意力機(jī)制確定各系統(tǒng)調(diào)用之間的依賴關(guān)系；其中，所述GRU為GatedRecurrent Unit算法。

5.根據(jù)權(quán)利要求1所述的基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，還包括：

基于第三關(guān)系模型根據(jù)鏈?zhǔn)椒▌t，取共現(xiàn)概率的負(fù)對數(shù)進(jìn)行異常檢測；所述異常檢測是指通過對負(fù)對數(shù)L施加閾值θ；所述第三關(guān)系模型如下：

其中，P(x_i|x_1:i-1)代表下一個(gè)值預(yù)測出現(xiàn)的概率，L表示異常因子，θ表示閾值，l表示輸入輸出樣本對的數(shù)量。

6.根據(jù)權(quán)利要求1所述的基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測方法，其特征在于，所述基于n-gram算法將所述各系統(tǒng)調(diào)用序列切分成短序列的輸入輸出樣本對，具體包括：

基于n-gram算法將所述各系統(tǒng)調(diào)用序列切分為n個(gè)定長的短序列；

基于所述短序列構(gòu)成輸入輸出樣本對。

7.一種基于系統(tǒng)調(diào)用序列的主機(jī)入侵檢測裝置，其特征在于，包括：

詞嵌入模塊，用于對各系統(tǒng)調(diào)用序列進(jìn)行深度嵌入，構(gòu)建各系統(tǒng)調(diào)用的詞嵌入向量；

切分模塊，用于基于n-gram算法將所述各系統(tǒng)調(diào)用序列切分成短序列的輸入輸出樣本對；

第一確定模塊，用于基于各系統(tǒng)調(diào)用的詞嵌入向量確定的詞向量矩陣和所述短序列的輸入輸出樣本對，確定各系統(tǒng)調(diào)用之間的依賴關(guān)系；

第二確定模塊，用于基于各系統(tǒng)調(diào)用之間的依賴關(guān)系確定各短序列的概率值；

第三確定模塊，用于將各短序列的概率值確定的共現(xiàn)概率作為異常因子，采用閾值判斷法確定各系統(tǒng)調(diào)用序列的檢測結(jié)果；所述檢測結(jié)果包括正常或異常。