多协议交叉的HMM协议异常检测算法

来源：计算机工程与应用杂志2020年第8期北京时间：

作者：吴楚田，陈永乐，陈俊杰

单位：太原理工大学 信息与计算机学院，太原 030024

摘要：随着网络攻击的不断多样化，现有的协议异常检测工作在准确率和实时性方面面临新的挑战。针对目前的协议异常检测方法只面向单一协议的恶意攻击而未考虑协议之间的关联，提出一种基于HMM的协议异常交叉检测算法。使用多个协议的语义关键词和时间标记来构造报文序列作为模型的训练集，提出协议报文语义合并算法并结合Baum-Welch算法构建多协议交叉的HMM，在序列化协议报文的同时收集子序列重复数来进一步校验HMM对存在大量循环操作的攻击行为的检测。通过在视频监控网络中进行仿真实验，证明该检测算法同现有的HMM异常检测方法相比，可以更准确地检测多种恶意攻击，同时具有一定的通用性。

关键词：异常检测,协议行为建模,协议交叉检测,隐马尔可夫模型（HMM）