基于HMM的CPU行为模型及其在系统主动防御中的应用

传统的系统防御方法是基于特征库的被动防御，它们无法实时发现零日攻击。本文基于隐马尔科夫模型建立描述系统CPU行为的模型。该方法根据系统用户的行为习惯动态调整模型参数，利用观测序列相对于代表正常行为轮廓的模型的似然概率衡量系统CPU行为的正常度。由于该方法不需要特征库，可以更有效地应用于未知主机威胁的早期检测。