摘要：异常检测是目前入侵检测系统（IDS）研究的主要方向。该文提出一种基于shell命令和Markov链模型的用户行为异常检测方法，该方法利用-阶齐次Markov链对网络系统中合法用户的正常行为进行建模，将Markov链的状态与用户执行的shell命令联系在一起，并引入一个附加状态；Markov链参数的计算中采用了运算量较小的命令匹配方法；在检测阶段，基于状态序列的出现概率对被监测用户当前行为的异常程度进行分析，并提供了两种可选的判决方案。文中提出的方法已在实际入侵检测系统中得到应用，并表现出良好的检测性能。

关键词：入侵检测 shell命令 markov链 异常检测 行为轮廓 

单位：北京交通大学计算技术研究所; 北京100029; 国防科技大学电子科学与工程学院; 长沙410073