Detecção de intrusões usando chamadas de sistema: modelos de dados alternativos

Sistemas de detecção de intrusões dependem de uma ampla variedade de dados observáveis para distinguir entre atividades legítimas e ilegítimas. Estudamos uma dessas sequências observáveis de chamadas de sistema no núcleo de um sistema operacional. Usando conjuntos de dados de chamadas de sistema gerados por vários programas diferentes, comparamos a capacidade de diferentes métodos de modelagem de dados para representar o comportamento normal com precisão e reconhecer intrusões. Comparamos os seguintes métodos: enumeração simples de sequências observadas; comparação de frequências relativas de diferentes sequências; uma técnica de indução de regras; e modelos ocultos de Markov (HMMs). Discutimos os fatores que afetam o desempenho de cada método e concluímos que, para este problema específico, métodos mais fracos do que os HMMs são provavelmente suficientes.