54、利用词网络进行模仿攻击检测

利用词网络进行模仿攻击检测

1. 引言

在网络安全领域，模仿攻击的检测是一项具有挑战性的任务。本文介绍了一种基于主机的误用入侵检测系统（MIDS），它能够成功检测多种模仿攻击。该方法利用了词网络技术，词网络将模式匹配问题分解为一系列更小、更具容错性的模式匹配器，从而使问题更易于处理。

2. 序列分析

2.1 隐马尔可夫模型（HMM）

隐马尔可夫模型是一种概率生成模型，它以概率方式捕获隐藏的内部事件，这些事件产生可观察的外部行为。HMM通过时间索引的马尔可夫决策在离散状态空间中输出字符串。在任何时刻，当前状态根据概率规则生成一个符号。HMM有两个重要参数：转移概率和发射概率。转移概率决定HMM应转移到哪个状态，发射概率决定应输出哪个符号。

HMM有一个或多个起始和终止状态，可能的转移从起始状态依次进行到终止状态。给定一个输入序列，HMM计算所有可能产生该序列的转移路径，并为每个路径分配一个路径概率。路径概率通过将路径转移概率和发射概率相乘得到。转移和发射概率使用Baum - Welch算法计算。所有路径似然的总和被视为该序列由HMM生成的总体似然，称为序列的评估，评估使用Viterbi算法进行。

HMM已广泛应用于异常检测。通常，为普通系统用户输出的系统调用序列构建一个HMM，然后让该HMM评估未见过的系统调用序列。根据输出概率，可以确定该序列是正常的还是异常的。

2.2 词网络

词网络是一种专门用于识别语音的模式匹配技术，通过有向图实现。每个节点是一个HMM，旨在检测一个单词或音素；节点转移捕获单词依赖关系。使用词网络，语法结构的分析与单词检测过程相互独立。每个HMM旨