[发明专利]基于主机序列嵌入表示的异常检测方法、装置及设备

说明书

本发明涉及一种基于主机序列嵌入表示的异常检测方法，包括步骤：获取待检测的系统调用序列，对所述系统调用序列中的每一系统调用命令分别进行词嵌入操作，得到每一所述系统调用命令对应的命令嵌入向量，所有所述命令嵌入向量构建为命令嵌入向量矩阵；对所述命令嵌入向量矩阵中关键命令所对应的命令嵌入向量进行加权，得到序列向量；对所述序列向量进行分类识别，得到主机入侵检测结果。本发明相对现有技术能够降低误报率，且算法简洁轻量，对终端算力要求低。

技术领域

本发明涉及主机入侵检测技术领域，尤其是涉及一种基于主机序列嵌入表示的异常检测方法、装置、设备及存储介质。

背景技术

在入侵检测领域中，一种基于主机的IDS(intrusion detection system，入侵检测系统)从系统调用序列(即主机序列)数据中检测异常的恶意行为，系统调用序列是由一个进程在一个给定的时间窗口内发起的一连串调用，通常被记录在系统日志当中。部分IDS(intrusion detection system，入侵检测系统)产品在单一特定的攻击类型中，如僵尸网络等，经测试误报率可低至千分之一。但实际上，据IDC对350位安全人员开展的另一项调查表明，不同解决方案发出的大量错误警报正引发警报疲劳现象，其中安全警报误报率达到45％，致使35％的调查群体选择忽略警报。这是由于网络安全中同时存在多种攻击类型，这对于IDS的复杂性处理能力具有较高要求。

现有技术中，一种基于主机序列嵌入表示的异常检测方法，通过对主机序列中的命令进行嵌入表示，得到系统调用序列向量表示，根据系统调用序列向量表示通过LSTM-FNN进行分类，得到入侵检测结果。这种检测方法的TPR(True Positive Rate，真阳率)为92％，而FPR(False Positive Rate，假阳率)高达17％。并且，传统的基于主机序列嵌入表示的异常检测方法对处理终端有较高的算力要求，而在物联网、个人PC终端的运行环境中，终端算力资源有限，难以实施主机入侵检测。

发明内容

本发明的目的在于克服现有技术的缺点与不足，提供一种基于主机序列嵌入表示的异常检测方法，能够降低误报率，且算法简洁轻量，对终端算力要求低。

本发明是通过以下技术方案实现的：一种基于主机序列嵌入表示的异常检测方法，包括步骤：

获取待检测的系统调用序列，对所述系统调用序列中的每一系统调用命令分别进行词嵌入操作，得到每一所述系统调用命令对应的命令嵌入向量，所有所述命令嵌入向量构建为命令嵌入向量矩阵；

对所述命令嵌入向量矩阵中关键命令所对应的命令嵌入向量进行加权，得到序列向量；

对所述序列向量进行分类识别，得到主机入侵检测结果。

相对于现有技术，本发明将系统调用命令语义化，提取其语义特征，并对关键命令的命令嵌入向量加权构建序列向量，来作为系统调用序列的表示，由此，在基于系统调用序列的主机入侵检测中，令系统调用序列中的异常序列能够更易于被轻量级的分类方法识别，对终端算力要求低，且检出率高、误报率低。

进一步地，对所述命令嵌入向量矩阵中关键命令所对应的命令嵌入向量进行加权，包括步骤：

将所述系统调用序列转换为有向有权图G；

若第i个系统调用命令x_i的前序系统调用命令x_j的权值WS高，则系统调用命令x_i的权值WS增大；

获取第i个系统调用命令x_i与前序系统调用命令x_j在有向有权图G中的上下文权重ω_ji；若第i个系统调用命令x_i与前序系统调用命令x_j间的上下文权重ω_ji占系统调用命令x_j的出度Out(X_i)比例较大，则系统调用命令x_i的权值WS增大；