异常检测 (Anomaly Detection)<\/strong><\/p>

这是主机防火墙与HIPS中实现主动防御的关键技术之一。它的核心思想是建立一个系统正常行为的基准模型，通过持续监控并与这个基准进行对比，来识别出偏离正常范围的、可能具有恶意的活动。<\/p>

第一步：理解核心理念与前提<\/strong>
异常检测的运作基于一个基本前提：正常行为是可定义且相对稳定的，而恶意行为会表现出与这种正常模式的显著偏差。<\/strong> 这与基于签名的检测（需要已知攻击特征）截然不同。它的目标是发现“未知的”或“零日”攻击，因为这些攻击虽然行为模式未知，但其操作（如异常高频的文件访问、奇怪的系统调用序列）会打破系统的常规运行节奏。<\/p>

第二步：建立行为基准模型<\/strong>
这是异常检测的基础工作，通常在“学习模式”下完成。系统会在一段设定的时间（如一周）内，监控和收集主机上各种实体的行为数据，包括：<\/p>

用户行为：<\/strong> 登录时间、常用命令、访问的文件目录。<\/li>
应用程序行为：<\/strong> 正常运行时启动的进程、加载的DLL\/so库、发起的网络连接（IP、端口、协议）、访问的系统资源（注册表、文件）。<\/li>
系统资源使用模式：<\/strong> CPU、内存、网络流量的时间规律性波动。<\/li> <\/ul>
收集这些数据后，系统会使用统计方法、机器学习算法等构建一个“正常行为档案”或“基准线”。这个模型会量化“正常”的范围，例如，“某进程通常在办公时间启动，网络流量峰值不超过100KB\/s”。<\/p>
第三步：实时监控与偏差分析<\/strong>
当系统切换到“防护模式”后，它会持续监控当前活动，并将实时行为数据与第二步建立的基准模型进行比对。比对过程会计算当前行为与“正常”状态的偏离度。这个分析可以针对多个维度：<\/p>

统计异常：<\/strong> 某指标超出历史统计范围，如某个服务进程的网络出站流量在凌晨3点突然激增至正常峰值的100倍。<\/li>
行为序列异常：<\/strong> 进程执行的系统调用顺序违反了常规模式。例如，一个文本编辑器进程正常行为是“打开文件 -> 读写文件”，如果它出现了“打开文件 -> 创建远程线程 -> 连接陌生IP”的序列，则被标记为异常。<\/li>
资源访问异常：<\/strong> 应用程序尝试访问其通常从不接触的系统资源，如一个图片查看器去修改系统关键配置注册表项。<\/li> <\/ol>
第四步：告警与响应<\/strong>
当实时行为的偏离度超过了预设的阈值（敏感度），异常检测引擎便会触发告警。根据HIPS或主机防火墙的策略配置，可以产生以下响应：<\/p>

生成安全事件日志<\/strong>，供管理员分析。<\/li>
弹出交互式提示<\/strong>，询问用户是否允许该异常行为。<\/li>
执行自动阻断<\/strong>，直接终止可疑进程或拦截相关网络连接、文件操作。<\/li> <\/ul>
第五步：模型的更新与调优<\/strong>
行为基准模型不是一成不变的。随着业务应用更新、用户习惯改变，正常行为也会演变。因此，成熟的异常检测系统需要支持：<\/p>

模型重新学习：<\/strong> 定期或在业务变更后，重新运行学习模式，更新基准。<\/li>
自适应调整：<\/strong> 在可接受的偏差发生时，能逐步将其吸收为新的“正常”范围的一部分。<\/li>
白名单机制：<\/strong> 将已验证合法的异常行为（如计划内的系统维护任务）加入白名单，避免持续误报。<\/li> <\/ul>
关键特点与挑战：<\/strong><\/p>

优势：<\/strong> 能有效检测未知威胁、零日攻击和内部恶意活动。<\/li>
挑战：<\/strong> 初期可能存在较高误报率（将正常变化识别为攻击），建立准确、全面的基准模型需要时间和专业调优。攻击者也可能采用“低速慢速”攻击，使其行为尽量贴近正常基线，以逃避检测。<\/li> <\/ul>