[发明专利]基于系统调用序列的主机入侵检测方法及装置

权利要求书

1.一种基于系统调用序列的主机入侵检测方法，其特征在于，包括：

对各系统调用序列进行深度嵌入，构建各系统调用的词嵌入向量；

基于n-gram算法将所述各系统调用序列切分成短序列的输入输出样本对；

基于各系统调用的词嵌入向量确定的词向量矩阵和所述短序列的输入输出样本对，确定各系统调用之间的依赖关系；

基于各系统调用之间的依赖关系确定各短序列的概率值；

将各短序列的概率值确定的共现概率作为异常因子，采用阈值判断法确定各系统调用序列的检测结果；所述检测结果包括正常或异常。

2.根据权利要求1所述的基于系统调用序列的主机入侵检测方法，其特征在于，所述对各系统调用序列进行深度嵌入，构建各系统调用的词嵌入向量，具体包括：

对各系统调用序列进行深度嵌入，基于Glove词嵌入模型构建各系统调用的词嵌入向量；所述Glove词嵌入模型包括共现词嵌入和中心词嵌入。

3.根据权利要求2所述的基于系统调用序列的主机入侵检测方法，其特征在于，所述对各系统调用序列进行深度嵌入，基于Glove词嵌入模型构建各系统调用的词嵌入向量，具体包括：

构建各系统调用序列的共现矩阵；

采用第一关系模型构建词向量和所述共现矩阵的近似关系；所述第一关系如下：

其中，和表示最终要求解的词向量，b_i和是两个词向量的偏置项，log(X_ij)表示词向量和所述共现矩阵的近似关系，i和j表示系统调用表中的任意两个系统调用号；

采用第二关系模型构建损失函数，所述第二关系如下：

其中，f(X_ij)是权重函数，使得共现频率高的单词的权重大于共现频率低的单词的权重，J表示损失函数，N表示系统调用表中的不同的系统调用号的数量；

基于AdaGrad梯度下降算法优化所述损失函数，得到满足需求的词嵌入向量。

4.根据权利要求1所述的基于系统调用序列的主机入侵检测方法，其特征在于，所述基于各系统调用的词嵌入向量确定的词向量矩阵和所述短序列的输入输出样本对，确定各系统调用之间的依赖关系，具体包括：

基于各系统调用的词嵌入向量确定的词向量矩阵和所述短序列的输入输出样本对，采用GRU和attention注意力机制确定各系统调用之间的依赖关系；其中，所述GRU为GatedRecurrent Unit算法。

5.根据权利要求1所述的基于系统调用序列的主机入侵检测方法，其特征在于，还包括：

基于第三关系模型根据链式法则，取共现概率的负对数进行异常检测；所述异常检测是指通过对负对数L施加阈值θ；所述第三关系模型如下：

其中，P(x_i|x_1:i-1)代表下一个值预测出现的概率，L表示异常因子，θ表示阈值，l表示输入输出样本对的数量。

6.根据权利要求1所述的基于系统调用序列的主机入侵检测方法，其特征在于，所述基于n-gram算法将所述各系统调用序列切分成短序列的输入输出样本对，具体包括：

基于n-gram算法将所述各系统调用序列切分为n个定长的短序列；

基于所述短序列构成输入输出样本对。

7.一种基于系统调用序列的主机入侵检测装置，其特征在于，包括：

词嵌入模块，用于对各系统调用序列进行深度嵌入，构建各系统调用的词嵌入向量；

切分模块，用于基于n-gram算法将所述各系统调用序列切分成短序列的输入输出样本对；

第一确定模块，用于基于各系统调用的词嵌入向量确定的词向量矩阵和所述短序列的输入输出样本对，确定各系统调用之间的依赖关系；

第二确定模块，用于基于各系统调用之间的依赖关系确定各短序列的概率值；

第三确定模块，用于将各短序列的概率值确定的共现概率作为异常因子，采用阈值判断法确定各系统调用序列的检测结果；所述检测结果包括正常或异常。