云环境基于系统调用向量空间的进程异常检测

来源：计算机研究与发展杂志2019年第12期北京时间：

作者：陈兴蜀,陈佳昕,金鑫,葛龙,

摘要：传统主机领域下基于系统调用的入侵检测方案，往往针对单一特权进程的运行行为进行监控，而在云计算环境下引入了更多的安全风险，采用主机入侵检测方案难以有效检测虚拟机进程异常行为，对此，提出了一种基于系统调用向量空间的虚拟机进程行为检测模型.模型采用了无代理监控技术透明的采集虚拟机进程系统调用数据，引入了TF-IDF(termfrequency-inversedocumentfrequency)算法思想为进程系统调用数据进行加权，用于区分租户虚拟机中运行的不同服务，识别异常进程行为.此外，为优化检测算法效率，设计了行格式存储法(compressedsparserow,CSR)稀疏矩阵与KD树(k-dimensiontree)相结合的存储策略.最后在KVM(kernel-basedvirtualmachine)虚拟化平台下设计并实现了VMPBD(virtualmachineprocessbehaviordetecting)原型系统，针对Linux与Windows虚拟机进行了功能测试和性能测试.实验结果表明：VMPBD能有效检出虚拟机进程异常行为，检测误报率与系统性能开销在可接受范围以内.

关键词：虚拟化, 异常检测, 系统调用分析, 向量空间, 基于内核的虚拟机,