42、基于HMM的临时云IaaS虚拟机异常检测系统

基于HMM的临时云IaaS虚拟机异常检测系统

1. 研究背景与动机

在云环境中，保障虚拟机（VM）的安全至关重要。本研究聚焦于IaaS云模型下短生命周期虚拟机的异常检测，仅监测系统调用，原因有二：一是过往研究表明，监测系统调用在主机异常检测方面具有较高的效率和效能；二是监测硬件状态或应用日志文件需在VM中安装代理或了解VM操作系统结构，这与云主机入侵检测系统（HIDS）的要求相悖，而VM调用的系统调用会发送到主机系统，可被HIDS拦截用于构建VM身份并检测异常。

2. 假设、前提和要求

• 主要假设 ：通过为IaaS云模型中的每个VM构建正常行为配置文件（使用隐马尔可夫模型HMM），可以生成强大的异常信号。当使用生成的模型评估系统调用的异常序列时，会产生该异常信号，且此模型足以覆盖短生命周期的VM。
• 前提假设 ：假设VM从一开始并非恶意的，以便收集正常数据来训练分类器。若监测的VM从一开始就是恶意的，这涉及到认证机制和新VM启动过程，不在本研究范围内。
• 系统要求 ：
  • 训练分类器所需的数据量应最小化，以便在可接受的时间内为短生命周期的VM构建配置文件。
  • 模型应提供可接受的准确性、检测率和误报率，并在效率和效能之间取得平衡。

3. 研究方法

• 数据收集 ：数据来自基于KVM虚拟机管理程序的IaaS云环境，收集了正常和恶