基于相似性搜索的异常用电行为识别方法

传统异常用电行为识别方法浪费大量人力与物力，且准确率较低、效果不佳，本文在大数据背景下，提出一种基于相似性搜索的商业园区异常用电行为自动识别方法。通过分析相似性搜索方法获得用户用电时间序列，采用趋势性指标、变化性指标、波动性指标以及其他指标分析商业园区异常用电行为，引用主分量分析与因子分析方法提取异常用电行为特征，凭借误差矩阵自动规整化数据，设定欧氏距离阈值实现商业园区异常用电行为自动识别。实验结果表明方法可降低计算难度，高效识别出异常用电数据，保证商业园区正常用电。     

基于相关特征矩阵和神经网络的异常检测研究

文章描述了一个基于相关特征矩阵和神经网络的异常检测方法。该方法首先创建用户轮廓以定义用户正常行为,然后比较当前行为与用户轮廓的相似度,判断输入是正常或入侵。为了避免溢出和减少计算负担,使用主成分分析法提取用户行为的主要特征,而神经网络用于识别合法用户或入侵者。在性能测试实验中,系统的检测率达到74.6%,而误报率为2.9%。在同样的数据集和测试集的情况下,与其它方法相比,此方法的检测性能最优。     

一种基于聚类和主成分分析的异常检测方法

提出了一种基于聚类和主成分分析的异常检测方法,该方法利用聚类分析将训练数据划分为不同的子集,从而得到正常模式在特征空间中的分布,然后利用主成分分析来提取各行为子集的特征轮廓,最后利用各子集的PCA变换矩阵进行检测。实验结果证明了基于主成分分析的异常检测方法的有效性。     

用户行为异常检测在安全审计系统中的应用

提出一种基于数据挖掘的用户行为审计方法,通过对正常审计数据进行分类预处理获取其他传统方法容易遗漏的正常模式,结合使用关联规则以及序列模式挖掘技术对用户行为进行模式挖掘,根据模式相似度比较来检测用户行为的异常。将此方法应用于实际的安全审计系统,得到了较好的效果。     

基于行为特征分析的微博恶意用户识别

近年来,社交网络数据挖掘作为物理网络空间数据挖掘的一大热点,目前在用户行为分析、兴趣识别、产品推荐等方面都取得了令人可喜的成果。随着社交网络商业契机的到来,出现了很多恶意用户及恶意行为,给数据挖掘的效果产生了极大的影响。基于此,提出基于用户行为特征分析的恶意用户识别方法,该方法引入主成分分析方法对微博网络用户行为数据进行挖掘,对各维度特征的权重进行排序,选取前六维主成分特征可以有效识别恶意用户,主成分特征之间拟合出的新特征也能提升系统的识别性能。实验结果表明,引入的方法对微博用户特征进行了有效的排序,很好地识别出了微博社交网络中的恶意用户,为其他方向的社交网络数据挖掘提供了良好的数据清洗技术。     

面向电子商务的用户异常行为检测研究

针对电子商务中用户异常交易行为的检测问题,文章首先根据用户行为日志数据的特点将其分割为静态属性集和操作序列集,然后利用基于轴属性的Apriori算法和GSP序列模式挖掘算法分别对这两种类型的数据集进行模式挖掘,在此基础上建立用户的正常行为模式,最后使用基于先后顺序的模式比较方法将用户当前的行为模式与其历史正常行为模式进行匹配,以此来判断该用户的交易行为是否异常。在真实数据集上的实验表明,该方法能有效发现电子商务中用户的异常行为。     

面向Unix和Linux平台的网络用户伪装入侵检测

基于主机的入侵检测是目前网络安全领域研究的热点内容。提出了一种基于数据挖掘和变长序列匹配的用户伪装入侵检测方法,主要用于Unix或Linux平台上以shell命令为审计数据的主机型入侵检测系统。该方法针对用户行为复杂多变的特点以及审计数据的短时相关性,利用多种长度不同的shell命令短序列来描述用户行为模式,并基于数据挖掘技术中的序列支持度在用户界面层对网络合法用户的正常行为进行建模;在检测阶段,采用了基于变长序列匹配和判决值加权的检测方案,通过单调递增相似度函数赋值和加窗平滑滤噪对被监测用户当前行为的异常程度进行精确分析,能够有效降低误报率,增强了检测性能的稳定性。实验表明,同目前典型的伪装入侵检测方法相比,该方法在检测准确度和计算成本方面均具有较大优势,特别适用于在线检测。     

西澳大利亚伊尔加恩金矿遥感找矿模型

针对利用主成分分析法提取围岩矿化蚀变信息中信息量较少的问题,提出了一种基于局部约束的主成分分析方法。该方法根据已知背景知识选取矿产资源较为集中的区域,以样本区方式计算主成分变换参数,以此获取较强的围岩矿化蚀变信息增强模式,进而推广至整个研究区建立找矿模型。将本文方法应用在西澳大利亚南部伊尔加恩地块的中东部北北东向密集成束的裂谷相绿岩地层,使用ASTER数据提取了含羟基矿物蚀变(绿泥石化、绢云母化)和铁染蚀变,并在此基础上建立金矿找矿模型,划定了20个矿化蚀变异常区域,并对其分布特征、地质背景及矿产资源相关关系进行了分析与总结。最终综合分析该研究区内典型绿岩型金矿的岩性、构造及蚀变异常分布等特征,圈定了4处找矿靶区。     

基于遗传神经网络分析的内网用户行为审计系统

安全审计技术是继防火墙、入侵检测技术之后出现的能有效保障大规模网络安全的一种重要手段。目前,安全审计系统多是基于广域网网络数据的审计,对于内网用户行为审计甚少,而且还处于研究初级阶段。针对这一点,本文首先分析了用户行为审计要点,提出了一种基于用户行为的内网分布式安全审计系统,并将基于遗传算法的神经网络用于审计日志分析及异常检测。实验结果证明该模型能够有效地检测出用户异常行为。     

云环境下基于秘密共享的安全外包主成分分析方案北大核心CSCD

主成分分析技术的计算开销较大,本地设备一般无法负担,常需要将计算任务进行外包,而外包计算的数据安全问题已成为云计算安全领域的一个研究热点。文章提出一种云环境下基于秘密共享的安全外包主成分分析方案,该方案基于加法秘密共享技术,设计了安全除法和安全平方根计算协议。通过两台云服务器协同执行协方差矩阵、Lanczos、Householder等安全协议计算,实现了主成分分析安全外包计算。与其他安全外包计算方案相比,文章所提方案可以更好地支持客户端离线和多方数据聚合,其计算开销更小,并通过实验验证了方案的有效性。     

主成分分析在网络流量异常检测中的应用研究

文章阐述了在网络流量异常检测中应用主成分分析的应用范畴、主成分分析的常用算法等主成分分析的方法,针对网络流量数据源特点设计出了符合大规模网络安全态势分析实际应用的异常检测算法,在对原方法进行了适当调整并建立模型的同时,着重论述了主成分分析方法的检测评估过程,并对主成分分析方法在网络流量异常检测中的应用作了比较详细的描述。     

Fraud and financial crime detection model using malware forensics

Recently various electronic financial services are provided by development of electronic devices and communication technology. By diversified electronic financial services and channels, users of none face-to-face electronic financial transaction services continuously increase. At the same time, under financial security environment, leakage threats of inside information and security threats against financial transaction users steadily increase. Accordingly, in this paper, based on framework standards of financial transaction detection and response, digital forensics techniques that has been used to analyze system intrusion incidents traditionally is used to detect anomaly transactions that may occur in the user terminal environment during electronic financial transactions. Particularly, for the method to analyze user terminals, automated malware forensics techniques that is used as supporting tool for malware code detection and analysis is used, and for the method to detect anomaly prior behaviors and transaction patterns of users, moving average based on the statistical basis is applied. In addition, the risk point calculation model is proposed by scoring anomaly transaction cases in the detection step by items. This model logs calculated risk point results as well as maintains incident accountability, which can be utilized as basic data for establishing security incident response and security policies.     

基于Shell命令和共生矩阵的用户行为异常检测方法

用户行为异常检测是当前网络安全领域研究的热点内容.提出一种新的基于共生矩阵的用户行为异常检测方法,主要用于Unix或Linux平台上以shell命令为审计数据的入侵检测系统.该方法在训练阶段充分考虑了用户行为复杂多变的特点和审计数据的时序相关属性,依据shell命令的出现频率并利用阶梯式的数据归并方法来确定事件,然后构建模型矩阵来刻画用户的正常行为.在检测阶段,首先为每一个当前事件序列构建一个部分正则化共生矩阵,然后根据矩阵2范数计算这些矩阵与模型矩阵的距离,得到距离流,最后通过平滑滤噪处理距离流来判决用户行为.在Purdue大学实验数据和SEA实验数据上的两组实验结果表明,该方法具有很高的检测性能,其可操作性也优于同类方法.     

一种改进的IDS异常检测模型

基于机器学习的异常检测是目前IDS研究的一个重要方向．该文对一种基于机器学习的用户行为异常检测模型进行了描述，在此基础上提出一种改进的检测模型．该模型利用多种长度不同的shell命令序列表示用户行为模式，建立多个样本序列库来描述合法用户的行为轮廓，并在检测中采用了以shell命令为单位进行相似度赋值的方法．文中对两种模型的特点和性能做了对比分析，并介绍了利用UNIX用户shell命令数据进行的实验．实验结果表明，在虚警概率相同的情况下改进的模型具有更高的检测概率．     

基于PLS特征提取的网络异常入侵检测CVM模型

为改善网络安全防护水平,提出一种基于偏最小二乘(PLS)法和核向量机(CVM)的组合式异常入侵检测方法.首先,采用PLS算法提取网络数据的主成分,构建特征集;然后,利用CVM构建特征集的异常入侵检测模型,进而完成异常入侵检测和判定.仿真实验结果表明,所提出的方法具有CVM的大规模数据快速处理能力,而且检测性能与L1-SVM和L2-SVM大致相当,尤其主成分数 为1538时能保持相对较高的检测水平,验证了将其用于异常入侵检测的有效性和可行性.     

Constructing attribute weights from computer audit data for effective intrusion detection

Attributes construction and selection from audit data is the first and very important step for anomaly intrusion detection. In this paper, we present several cross frequency attribute weights to model user and program behaviors for anomaly intrusion detection. The frequency attribute weights include plain term frequency (TF) and various forms of term frequency-inverse document frequency (tfidf), referred to as Ltfidf, Mtfidf and LOGtfidf. Nearest Neighbor (NN) and k-NN methods with Euclidean and Cosine distance measures as well as principal component analysis (PCA) and Chi-square test method based on these frequency attribute weights are used for anomaly detection. Extensive experiments are performed based on command data from Schonlau et al. The testing results show that the LOGtfidf weight gives better detection performance compared with plain frequency and other types of weights. By using the LOGtfidf weight, the simple NN method and PCA method achieve the better masquerade detection results than the other 7 methods in the literature while the Chi-square test consistently returns the worst results. The PCA method is suitable for fast intrusion detection because of its capability of reducing data dimensionality while NN and k-NN methods are suitable for detection of a small data set because of its no need of training process. A HTTP log data set collected in a real environment and the sendmail system call data from University of New Mexico (UNM) are used as well and the results also demonstrate the effectiveness of the LOGtfidf weight for anomaly intrusion detection.     

非结构化文档敏感数据识别与异常行为分析

在海量数据中快速、准确地对数据进行分类分级,快速识别用户异常行为是目前数据安全领域的重要研究内容。在数据分类分级研究领域,自然语言处理技术提升了分类分级的准确率,但是中文语体混杂、无监督学习准确率低、有监督学习样本标注工作量大等问题亟待取得关键突破。本文提出多元中文语言模型和基于无监督算法构建样本,突破数据分类分级领域面临的关键问题。在用户异常行为分析研究领域,由于样本依赖度过高,导致异常行为识别准确率较低,本文提出利用离群点检测方法构建异常行为样本库,解决样本依赖过高问题。为验证方法可行性,进一步构建实验系统开展实验分析,通过实验验证所提出方法可以显著提高数据分类分级和异常行为分析的准确率。     

An Empirical Study of Two Approaches to Sequence Learning for Anomaly Detection

This paper introduces the computer security domain of anomaly detection and formulates it as a machine learning task on temporal sequence data. In this domain, the goal is to develop a model or profile of the normal working state of a system user and to detect anomalous conditions as long-term deviations from the expected behavior patterns. We introduce two approaches to this problem: one employing instance-based learning (IBL) and the other using hidden Markov models (HMMs). Though not suitable for a comprehensive security solution, both approaches achieve anomaly identification performance sufficient for a low-level focus of attention detector in a multitier security system. Further, we evaluate model scaling techniques for the two approaches: two clustering techniques for the IBL approach and variation of the number of hidden states for the HMM approach. We find that over both model classes and a wide range of model scales, there is no significant difference in performance at recognizing the profiled user. We take this invariance as evidence that, in this security domain, limited memory models (e.g., fixed-length instances or low-order Markov models) can learn only part of the user identity information in which we're interested and that substantially different models will be necessary if dramatic improvements in user-based anomaly detection are to be achieved.