[发明专利]异常检测方法及装置

摘要

本发明提供了一种异常检测方法及装置。其中，包括获取系统调用序列的模糊特征模式，并将模糊特征模式添加至特征模式库中，其中，模糊特征模式为包括确定模式和模糊模式的特征模式，确定模式表示通过多个系统调用按照确定顺序组成的特征模式，模糊模式表示一类系统调用序列的特征模式；将训练集的系统调用序列与特征模式库中所包括的特征模式进行匹配，依据与匹配结果对应的规则获取训练集的系统调用序列对应的状态序列；用状态序列训练马尔可夫模型，得到训练后的马尔可夫模型；使用训练后的马尔可夫模型，检测待检测系统调用序列的异常。通过本发明，解决了相关技术中通过确定的特征模式进行异常检测所导致的可识别模式种类较少的问题。

主权项

一种异常检测方法，其特征在于，包括：获取系统调用序列的模糊特征模式，并将所述模糊特征模式添加至特征模式库中，其中，所述模糊特征模式为包括确定模式和模糊模式的特征模式，所述确定模式表示通过多个系统调用按照确定顺序组成的特征模式，所述模糊模式表示一类系统调用序列的特征模式；将训练集的系统调用序列与所述特征模式库中所包括的特征模式进行匹配，依据与匹配结果对应的规则获取所述训练集的系统调用序列对应的状态序列；用所述状态序列训练马尔可夫模型，得到训练后的马尔可夫模型；使用所述训练后的马尔可夫模型，检测待检测系统调用序列的异常。