92、基于行为的入侵检测系统：表达性、效率与抗混淆能力

基于行为的入侵检测系统：表达性、效率与抗混淆能力

1. 引言

基于行为的入侵检测系统（BIDS）是应对现代恶意软件的有效解决方案。然而，其成功受到三个相互关联因素的限制：签名表达性、对行为混淆的脆弱性以及签名匹配效率。签名表达性决定了IDS检测同一恶意软件新变体的能力，而行为混淆是未来恶意软件可能具备的标准特征。

为解决这些问题，我们开发了一种新的系统调用域IDS。通过抽象活动图（AD）来增强签名表达性，研究了进程间和进程内的行为混淆方法，并提出了规范泛化的概念来提高对混淆的抗性。最后，利用有色Petri网（CPN）在系统调用级别进行功能识别，并开发了将AD自动转换为CPN的程序。

该IDS的架构如下：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A[学习阶段]:::process --> B[专家设计AD]:::process
    B --> C[规范泛化器]:::process
    C --> D[CPN构造器]:::process
    D --> E[生成低/高级CPN]:::process
    F[检测阶段]:::process --> G[低级CPN识别操作]:::process
    G --> H[高级CPN检测功能]:::process
    H --> I[信息流跟踪器提供数据依赖]:::process

本文的主要贡献包括：
- 在系统对象级别通过AD进行正