[发明专利]伪装攻击检测中的模型训练方法和检测方法

权利要求书

1.一种伪装攻击检测中的模型训练方法，包括：

步骤1）、由合法用户正常行为的训练数据中的shell命令短序列生成 W个具有不同长度的shell命令短序列流，W为大于1的整数；一个所述shell 命令短序列流包括有具有相同长度的shell命令短序列，所述shell命令短序 列的长度为所述shell命令短序列中所含shell命令符号的个数；

步骤2）、在各个shell命令短序列流中计算所含shell命令短序列在所在 短序列流中的支持度；所述支持度的计算采用如下公式：

support(S+i)=number(S+i)/(r-l(i)+1)]]>

其中，表示shell命令短序列在shell命令短序列流Sⁱ的 r-l(i)+1个shell命令短序列中的出现次数；表示短序列在Sⁱ中 的支持度，r表示所述训练数据中shell命令符号的个数，i是区间[1，W] 中的自然数，l(i)表示第i个shell命令短序列流中shell命令短序列的长度；

步骤3）、将shell命令短序列的支持度大小与所在shell命令短序列流的 最小支持度参数进行比较，去除各个shell命令短序列流中支持度小于最小 支持度参数的shell命令短序列，从而得到用于描述合法用户正常行为的序 列库。

2.根据权利要求1所述的伪装攻击检测中的模型训练方法，其特征 在于，所述的步骤1）包括：

步骤1-1）、设定滑动窗口的大小；

步骤1-2）、利用所述滑动窗口在所述训练数据的shell命令短序列中逐 步截取shell命令符号，得到具有相同长度的shell命令短序列，组成所述的 shell命令短序列流；

步骤1-3）、改变滑动窗口的大小后重新执行步骤1-2），直到滑动窗口的 大小已经涵盖所有shell命令短序列的长度。