以視窗登錄機碼為基礎之使用者行為異常偵測方法

Abstract

微軟視窗作業系統是所有作業系統平台中最普遍被使用的作業系統，由於它的普遍性，進而引發了許多對於此作業系統的安全研究。對於電腦使用者來說，若能了解電腦目前是處於正常或異常狀態，將能有效的防範可能存在的惡意行為。視窗登錄機碼 (Windows Registry) 是建置在微軟Windows 系列作業系統之中，存放許多用於設置系統、應用程式以及硬體的資訊，因此大部分系統相關活動皆會存取到視窗登錄機碼，本篇論文利用視窗登錄機碼與支援向量機(Support Vector Machine, SVM)分類器來偵測使用者行為是正常或異常。我們的方法為藉由記錄視窗登錄機碼的活動，可取得使用者正常行為下的活動資料，若再將這些活動資料視為訓練資料，並投入 SVM 做正常模型的訓練，則可以加以判別使用者的行為是否有異常狀態產生。此外，我們也對於視窗登錄機碼與 SVM 的結合做適性的調整，以減少儲存資料的空間，並降低 SVM 所需的訓練時間。我們已開發出一套使用者行為異常偵測系統雛形，並透過情境模擬實驗，可證明我們的系統能判斷異常行為的發生。