一种增强的程序行为异常检测方法

编号 zgly0000642628

文献类型 期刊论文

文献题名 一种增强的程序行为异常检测方法

作者 谢丰  谢丽霞 

作者单位 中国信息安全测评中心  中国民航大学计算机学院 

母体文献 计算机科学 

年卷期 2010(3)

页码 64-66,101

年份 2010 

分类号 TP393.08  S41 

关键词 L-Call  切比雪夫不等式  异常度量化  LC-ADS 

文摘内容 程序行为异常检测是保护应用程序的重要方法。针对异常检测的数据源选择问题，提出一种细粒度的安全审计事件L-Call，用来刻画程序行为，该事件本质上是一种具有位置属性的系统调用。为了评估程序行为偏离程度，提出一种基于切比雪夫不等式的异常度量化方法，用以在序列概率分布未知情况下估算异常强度。最后实现了基于马尔科夫模型的检测原型系统LC-ADS。试验结果表明，提出的新安全事件和异常度量化方法可较好地反映程序行为变化，LC-ADS取得了更高的检测率和更低的误报率。