基于系统调用计数向量序列的进程监控

我们介绍了一种用于高效监控企业网络中主机上运行进程的方法。该方法基于收集主机上所有或选定进程产生的系统调用流，并通过网络将其发送到监控服务器，在那里使用机器学习算法来识别由于恶意活动、硬件故障或软件错误导致的进程行为变化。该方法使用系统调用计数向量序列作为数据格式，可以处理大量且变化的数据量。与以前的方法不同，本文介绍的方法适用于大型企业网络中数据的分布式收集和处理。我们在实验室环境中对实际设置进行了评估，并提供了表征该方法性能和准确性的统计数据。