基于粗糙集值約簡改進(jìn)算法的進(jìn)程異常檢測

摘 要:提出一種新的基于粗糙集值約簡和系統(tǒng)調(diào)用的進(jìn)程異常檢測方法。為了提高約簡效率，改進(jìn)了基于差別矩陣的粗糙集值約簡算法。另外創(chuàng)建了一種新的檢測模型，能在判斷進(jìn)程是否異常的基礎(chǔ)上進(jìn)一步識(shí)別異常種類。它以系統(tǒng)調(diào)用短序列中k個(gè)位置作為條件屬性集，以進(jìn)程類型作為決策屬性，建立決策表;然后使用改進(jìn)的值約簡算法提取規(guī)則集，并對規(guī)則匹配的結(jié)果作統(tǒng)計(jì);最后判斷進(jìn)程類別。實(shí)驗(yàn)表明該方法能高效準(zhǔn)確地識(shí)別異常進(jìn)程的種類。

關(guān)鍵詞:系統(tǒng)調(diào)用;粗糙集;約簡;異常檢測

中圖分類號(hào):TP393.08 文獻(xiàn)標(biāo)志碼:A

文章編號(hào):1001-3695(2010)03-1064-04

doi:10.3969/j.issn.1001-3695.2010.03.072

Abnormal detection of processes based onimproved rough set value reduction algorithm

WANG Hui，LIU Feng，ZHAO Zhi-hong，LUO Bin

(Software Institute， Nanjing University， Nanjing 210093， China)

Abstract:This paper proposed a new method for abnormal detection of processes based on RS value reduction and system calls.Improved the algorithm of rough set value reduction based on discernibility matrix to increase the reduction efficiency.And built a new detection model.It could not only tell whether the process was normal or abnormal， but also identified the type of the abnormality.First，made a decision table by using the k positions in the short sequences of system calls as the conditional attributes and the type of the process as the decision attribute.Then applied the new RS value reduction algorithm to extract a rule set.At last，identified the type of the process by the statistical figures of comparison between the process’ sequences of system calls and the rule set.The experiment shows that this method can identify the processes’ types efficiently and correctly.

Key words:system calls; rough set; reduction; abnormal detection

0 引言

入侵檢測是對惡意破壞計(jì)算機(jī)和網(wǎng)絡(luò)資源的行為進(jìn)行識(shí)別和警報(bào)的過程，是計(jì)算機(jī)安全領(lǐng)域研究的熱點(diǎn)課題之一。根據(jù)被檢測的數(shù)據(jù)源，它可以分為主機(jī)入侵檢測和網(wǎng)絡(luò)入侵檢測;按照數(shù)據(jù)分析方法，又可以分為誤用檢測和異常檢測。

基于系統(tǒng)調(diào)用序列的進(jìn)程異常檢測是主機(jī)入侵檢測的重要內(nèi)容。1996年，F(xiàn)orrest等人[1，2]發(fā)現(xiàn)利用進(jìn)程運(yùn)行時(shí)產(chǎn)生的系統(tǒng)調(diào)用流可以精確地刻畫進(jìn)程的運(yùn)行狀態(tài)，從而提出了時(shí)延嵌入序列法(tide)。它通過構(gòu)造一系列定長的系統(tǒng)調(diào)用短序列來描述進(jìn)程的正常行為輪廓，然后計(jì)算目標(biāo)進(jìn)程和正常輪廓的不匹配程度，進(jìn)而分辨出該進(jìn)程是否異常。之后，Warrender等人[3]又根據(jù)異常短序列的局域特征提出了序列tide法(stide)，并進(jìn)一步擴(kuò)展為基于頻率閾值的stide法(t-stide)。此外，還可以基于神經(jīng)網(wǎng)絡(luò)[4]、HMM[5]等工具進(jìn)行主機(jī)入侵檢測，這些方法檢測率高，但訓(xùn)練時(shí)間更長。

文獻(xiàn)[6]提出一種基于粗糙集約簡的系統(tǒng)調(diào)用序列異常檢測方法，其基本思想是利用粗糙集約簡對第k個(gè)系統(tǒng)調(diào)用位置進(jìn)行預(yù)測，把前k-1個(gè)位置視為條件屬性集，第k個(gè)位置視為決策屬性，通過rough集約簡方法得到一組預(yù)測第k個(gè)系統(tǒng)調(diào)用位置的最小規(guī)則集，進(jìn)而用于對實(shí)際進(jìn)程的異常檢測。這種方法可準(zhǔn)確分辨出進(jìn)程是否異常，但不能識(shí)別異常類型。所以本文提出一種新的基于粗糙集和系統(tǒng)調(diào)用的異常檢測方法，即以系統(tǒng)調(diào)用短序列中k個(gè)位置作為條件屬性集，以進(jìn)程異常類型作為決策屬性，使用粗糙集約簡得到最小規(guī)則集，再進(jìn)行異常檢測。與文獻(xiàn)[6]相比，它不僅能分辨出進(jìn)程是否異常，而且可以準(zhǔn)確識(shí)別異常類型。這使得后續(xù)的入侵告警更為精確，并且在受到攻擊時(shí)，系統(tǒng)可以根據(jù)異常類型和針對該類型預(yù)設(shè)的解決方案自動(dòng)采取措施，使入侵造成的損失最小化。

本文使用UNM的合成sendmail系統(tǒng)調(diào)用數(shù)據(jù)進(jìn)行實(shí)驗(yàn)，成功地識(shí)別各種異常類型，結(jié)果較為理想。

1 粗糙集相關(guān)原理

粗糙集(rough set)理論是由Pawlak[7]在1982年提出的一種決策分析工具，主要用來解決不精確、不確定、不完全信息的分類問題。在數(shù)據(jù)集規(guī)模有限的情況下，它可以充分挖掘數(shù)據(jù)屬性之間的關(guān)系，提取出一組關(guān)鍵規(guī)則集來反映數(shù)據(jù)的本質(zhì)特征。粗糙集相關(guān)理論比較豐富，下面簡要介紹與本文相關(guān)的一些概念，其他內(nèi)容可以參考文獻(xiàn)[7，8]。

定義1 稱四元組DT=(U，C∪D，V， f)為一個(gè)決策表。其中:U為論域;C為條件屬性集;D為決策屬性集;V為屬性值域;f為U×(C∪D)→V的一個(gè)映射，稱為信息函數(shù)，指定U中決策項(xiàng)x在屬性集C、D上對應(yīng)的值。

定義2 給定決策表DT=(U，C∪D，V， f)，U={x1，x2，…，xn}，|U|=n，則定義Mn×n=(cij)n×n為決策表的差別矩陣。其中:

cij={a|(a∈C)∧(fa(xi)≠fa(xj))} fD(xi)≠fD(xj)

-fD(xi)=fD(xj)

式中:i， j=1，2，…，n;fa(x)表示x在屬性a上的值; fD(x)表示x在決策屬性集D上的值。若Mn×n中存在cij=，則DT為不相容決策表;否則為相容決策表。

定義 3 設(shè)決策表DT=(U，C∪D，V，f)為相容決策表，則對決策項(xiàng)x∈U，有[x]C[x]D。其中:[x]C為x在條件屬性集C上的等價(jià)類;[x]D為x在決策屬性集D上的等價(jià)類。r∈C，若[x]C\\{r}[x]D，則稱r為必要的;反之，r為不必要的。設(shè)RC，[x]R[x]D，若不存在r∈R，使得[x]R\\{r}[x]D，則R為x的一個(gè)屬性值約簡。

2 異常檢測模型

在類UNIX系統(tǒng)中，程序運(yùn)行時(shí)會(huì)產(chǎn)生一系列按時(shí)間順序排列的系統(tǒng)調(diào)用，稱為系統(tǒng)調(diào)用流或跡[1](trace)。跡刻畫了進(jìn)程在整個(gè)生命周期中的運(yùn)行狀態(tài)，可以用來區(qū)分不同類型的進(jìn)程。正常進(jìn)程與異常進(jìn)程所產(chǎn)生的跡不一樣，不同類型的異常進(jìn)程所產(chǎn)生的跡也不一樣，因此可以用跡來檢測異常，并識(shí)別異常類型。本文分兩步構(gòu)造異常檢測模型:a)把跡轉(zhuǎn)換為決策表;b)使用改進(jìn)的粗糙集值約簡方法提取規(guī)則集。

2.1 建立決策表

設(shè)訓(xùn)練集共有n個(gè)跡，第i個(gè)跡Ti={Ci1，Ci2，…，Cini}，長度為ni，Cij為第i個(gè)跡中按時(shí)間順序排列的第j個(gè)系統(tǒng)調(diào)用。使用寬度為k的滑窗在跡Ti上移動(dòng)，步長為1，可得到系統(tǒng)調(diào)用短序列集合Di={Si1，Si2，…，Sini-k+1}。其中短序列Sim={Cim，Cim+1，…，Cim+k-1}。令異常類型數(shù)組為W，設(shè)跡Ti屬于類型W[li]，正常也屬于其中一種特殊類型，記為W[0]。則以Sim中k個(gè)位置作為k個(gè)條件屬性，異常類型W的序號(hào){li}作為決策屬性，為Ti建立決策表DTi。DTi含有ni-k+1項(xiàng)。其中第m項(xiàng)表示為Cim，

Cim+1，…，Cim+k-1，{li}，決策屬性值{li}為含有一個(gè)元素li的集合。把n個(gè)跡產(chǎn)生的決策表合并在一起，得到總決策表DT=∪ni=1DTi。

DT為不相容決策表，并且存在大量冗余信息，因此需要進(jìn)行預(yù)處理。方法如下:對任意xi，xj∈U，若fC(xi)=fC(xj)，即條件屬性值相同，則使fD(xi)=fD(xi)∪fD(xj)，然后刪除xj。該方法同時(shí)處理了相同決策項(xiàng)和不相容決策項(xiàng)，使DT中不存在條件屬性值完全相同的兩項(xiàng)。經(jīng)過預(yù)處理后，DT轉(zhuǎn)換為一個(gè)數(shù)據(jù)量相對較少的相容決策表，提高了后續(xù)處理的效率。

2.2 粗糙集值約簡改進(jìn)算法

粗糙集約簡包含屬性約簡[9，10]和值約簡[11]兩個(gè)步驟。屬性約簡的目的是去除冗余屬性，但DT中的條件屬性為系統(tǒng)調(diào)用排列的位置，重要程度不可區(qū)分，都需要保留，因此本文直接進(jìn)行屬性值約簡。

文獻(xiàn)[11]提出了一種基于差別矩陣的屬性值約簡算法。該算法效率高，方便程序?qū)崿F(xiàn)。本文在此基礎(chǔ)上改進(jìn)，提高了約簡效率。設(shè)對第i個(gè)決策項(xiàng)xi∈U進(jìn)行屬性值約簡，差別矩陣為Mn×n=(cij)n×n。其中第i行元素的集合為Ci={cij|cij≠∧cij≠-，1≤j≤|U|}。文獻(xiàn)[11]通過三個(gè)步驟對xi進(jìn)行值約簡并提取規(guī)則集:a)取得Ci最小元素集合δi。一個(gè)集合的最小元素指集合中沒有元素是它的真子集。b)從δi的每個(gè)集合元素中任取一個(gè)屬性組成一個(gè)組合，所有組合的集合記為redi。c)根據(jù)redi對xi進(jìn)行值約簡，即保留組合中的屬性對應(yīng)的屬性值，刪除其余屬性值，形成規(guī)則，并加入規(guī)則集。

該方法存在的問題是redi中存在不必要的組合，導(dǎo)致最后的結(jié)果并不都是值約簡。事實(shí)上只有redi中的最小元素才是符合值約簡要求的組合。所以正確的方法是在b)之后對redi再進(jìn)行一次尋找最小元素集的過程。由于redi中的最小元素可能不惟一，為了減少規(guī)則數(shù)，本文取條件屬性數(shù)最小的一個(gè)元素作為惟一保留的組合。

在尋找最小元素集δi時(shí)，文獻(xiàn)[11]采用先按元素大小排序，然后由小到大刪除非最小元素的方法。本文在保持算法復(fù)雜度的基礎(chǔ)上直接刪除非最小元素，省略了排序的步驟。下列算法演示了對差別矩陣第i行Ci求最小元素集δi的過程，對redi也采用同樣的方法求最小元素。

in:Ci={cij|cij≠∧cij≠-，1≤j≤|U|}

out:最小元素集δi

begin:

δi=

while Ci≠ do

min=1

for k=2 to |Ci|

if bits(min)==bit(k)|bit(min)

then Ci=Ci-C(min);k++;min=k;

end if

end for

for k=|Ci| to 2

if bit(k)==bit(k)|bit(min)

then Ci=Ci-C(k);k--;

end if

end for

δi=δi∪{C(min)};

Ci=Ci-C(min);

end while

end

2.3 算法分析

算法中C(k)表示Ci中第k個(gè)元素。為提高效率，使用位圖函數(shù)bit(k)表示C(k)中所含的條件屬性集，則bit(k)==bit(k)|bit(min)表示C(min)C(k)。該算法在第一次for循環(huán)中找出一個(gè)最小元素C(min)，然后在第二次for循環(huán)中刪除包含C(min)的元素。第一遍for循環(huán)的作用與排序相似，但期間也進(jìn)行刪除操作，所以總循環(huán)次數(shù)也會(huì)減少。在尋找δi的過程中，比較兩個(gè)集合元素是否存在包含關(guān)系是最主要的操作，可以用來衡量算法復(fù)雜度。設(shè)n=|Ci|，則文獻(xiàn)[11]中的算法與該算法的復(fù)雜度均為Θ(n2)。但由于本文算法利用比較代替了排序，同時(shí)引入了比特操作，效率得到提高。

3 異常檢測

在檢測階段，可以用上述粗糙集約簡得到的規(guī)則來識(shí)別當(dāng)前進(jìn)程的類別。主要包括以下四部分:

a)獲取被檢測進(jìn)程所產(chǎn)生的跡。T={C1，C2，…，Cn}，跡長為n，Cj為按時(shí)間順序排列的第j個(gè)系統(tǒng)調(diào)用。使用寬度為k的滑窗在跡T上移動(dòng)，步長為1，得到系統(tǒng)調(diào)用短序列集合D={S1，S2，…，Sn-k+1}。其中短序列Sm={Cm，Cm+1，…，Cm+k-1}。

b)對D中每一個(gè)短序列，使用由粗糙集約簡得到的規(guī)則集進(jìn)行匹配。若規(guī)則中的條件屬性值與短序列相對應(yīng)位置的屬性值相同，則匹配成功。記短序列Sm與規(guī)則集中所有規(guī)則的匹配結(jié)果為

resm[l]=00≤l≤|W|-1

1l=|W|

resm[|W|]為1，表示沒有找到匹配的規(guī)則。假設(shè)規(guī)則r與Sm匹配成功，則置resm[|W|]為0，并對任意l∈fD(r)，置resm[l]為1。

c)統(tǒng)計(jì)匹配結(jié)果。令res[l]=1nnm=1resm[l]，定義測試結(jié)果的支持度為sup=1-res[|W|]，即被規(guī)則匹配的短序列所占比例。定義被測進(jìn)程是類型W[l]的可信度為

conf[l]=res[l]1-res[|W|];0≤l≤|W|-1

設(shè)定支持度門限為Vsup，可信度門限為Vconf。

d)判決。尋找max，使l=max時(shí)conf[l]最大。若conf[max]<Vconf或sup<Vsup，則該進(jìn)程為新未知異常;否則該進(jìn)程的類型為W[max]。W[0]表示正常進(jìn)程。

4 實(shí)驗(yàn)設(shè)計(jì)與結(jié)果分析

本文使用美國新墨西哥大學(xué)(UNM)公開發(fā)布的sendmail程序?qū)嶒?yàn)數(shù)據(jù)集[1]進(jìn)行實(shí)驗(yàn)。該數(shù)據(jù)集包含7條正常序列、5條fwd loops錯(cuò)誤序列、3條sscp攻擊序列、4條syslog攻擊序列、2條decode攻擊序列、2條不成功入侵序列。本文選擇其中2條正常序列、3條fwd loops序列、2條sscp序列、2條syslog序列、1條decode序列作為訓(xùn)練數(shù)據(jù)集，其余作為測試數(shù)據(jù)集。滑動(dòng)窗口長度k=11、20時(shí)，訓(xùn)練集共產(chǎn)生3 375、4 750條短序列，預(yù)處理后剩下1 981、3 142條，條件屬性值總數(shù)為21 791、62 840個(gè)，差別矩陣大小為1 9812、3 1422，約簡后規(guī)則集的條件屬性值總數(shù)為7 292、13 728個(gè)。實(shí)驗(yàn)結(jié)果如表1、2所示。

表1 k=20時(shí)支持度、可信度比較%

trace(support)\ypenormalfwd loopssscpsyslogdecode

norm-bounce(100)10034.630.075.959.0

unknown-sm5x(66.6)94.917.913.659.247.9

unknown-sm565(85.5)78.764.338.370.673.2

fwd-loops-3(95.0)74.997.962.242.351.4

fwd-loops-4(97.2)71.899.761.944.153.3

sscp-sm-10814(100)64.367.810036.752.5

syslog-local-2(100)74.544.542.598.860.9

syslog-remote-2(99.4)70.841.039.010057.7

decode-sm-314(98.7)89.340.334.771.499.8

表2 k=11時(shí)支持度、可信度比較%

trace(support)\ypenormalfwd loopssscpsyslogdecode

norm-bounce(100)10056.649.385.675.9

unknown-sm5x(83.0)96.343.536.368.265.7

unknown-sm565(91.6)86.981.752.480.285.7

fwd-loops-3(98.0)83.597.672.757.962.8

fwd-loops-4(98.4)81.399.773.459.765.0

sscp-sm-10814(100)72.773.510049.058.0

syslog-local-2(100)82.760.556.999.972.9

syslog-remote-2(99.8)77.254.951.710067.5

decode-sm-314(99.1)94.860.553.883.9100

表1、2中列代表異常類型，行代表系統(tǒng)調(diào)用流。表中數(shù)字指某系統(tǒng)調(diào)用流被識(shí)別為某類型的可信度，系統(tǒng)調(diào)用流名稱后的數(shù)字表示相應(yīng)支持度。從表1可以看出，在滑窗長度k=20時(shí)，若設(shè)Vsup=90%，Vconf=95%，則正常進(jìn)程bounce被正確識(shí)別，其支持度為100%，可信度為100%。未知類型的異常進(jìn)程(sm5x和sm565a)被正確識(shí)別，支持度小于90%。已知類型的異常進(jìn)程也被正確識(shí)別，支持度均大于90%，識(shí)別為正確異常類型的可信度大于95%。同樣，k=11時(shí)，設(shè)Vsup=95%，Vconf=97%，所有進(jìn)程也都被正確分類。

從表1、2可以觀察出normal列的值相對較高，說明異常序列被識(shí)別為正常類型的可信度普遍較高。例如k=11時(shí)，decode異常序列sm-314被識(shí)別為normal的可信度高達(dá)94.8%。這是因?yàn)楫惓＿M(jìn)程由部分正常序列和部分異常序列混合組成，與正常進(jìn)程有一定的相似性。但其程度不會(huì)大于它與同類型異常之間的相似度，實(shí)驗(yàn)中k=11時(shí)sm-314被正確識(shí)別為decode異常的可信度為100%，驗(yàn)證了該結(jié)論。此外較短的進(jìn)程也不容易識(shí)別，這是因?yàn)橄到y(tǒng)調(diào)用序列越短，包含的信息也越少，識(shí)別越困難。

比較表1、2可以發(fā)現(xiàn)，隨著滑動(dòng)窗口變大，進(jìn)程被正確識(shí)別的可信度基本保持不變，在98%左右，被錯(cuò)誤識(shí)別的可信度卻大幅降低;同時(shí)已知類型和未知類型的進(jìn)程在支持度上的差距也變大，可信度閾值和支持度閾值可取范圍更廣，因此加大滑窗長度更有利于提高異常檢測的準(zhǔn)確度。產(chǎn)生這種現(xiàn)象的原因是，窗口長度越大，系統(tǒng)調(diào)用短序列的種類就越豐富，提取出來的規(guī)則對該進(jìn)程的描述更完整，與其他進(jìn)程的差異也就越大。

然而滑動(dòng)窗口的長度也影響著訓(xùn)練和檢測的效率。粗糙集值約簡是一個(gè)減少?zèng)Q策表?xiàng)l件屬性值數(shù)量的過程。約簡時(shí)需要作大量的屬性值比較操作，數(shù)量越大，約簡消耗的資源越多。圖1中，隨著窗口長度變大，決策表?xiàng)l件屬性值總量大幅增加，系統(tǒng)負(fù)荷快速上升，致使圖2中訓(xùn)練時(shí)間也急劇增加。另外，約簡后規(guī)則集的條件屬性值總量也隨長度變大而緩慢增加，由于異常檢測的主要工作是進(jìn)行屬性值匹配，效率隨之降低，圖2表明檢測時(shí)間也相應(yīng)地平緩增加。同時(shí)從圖1還可以發(fā)現(xiàn)，利用本文提出的粗糙集屬性值約簡算法可以去除大量冗余屬性，效果較為顯著。

綜上所述，對窗口大小的選擇需要綜合考慮用戶對檢測結(jié)果準(zhǔn)確度的要求以及訓(xùn)練、檢測系統(tǒng)的性能等因素，根據(jù)實(shí)際情況進(jìn)行取舍。

由于其他進(jìn)程檢測方法都使用異常度[12]來衡量有效性，為了方便比較，本文定義異常度為abn=1-sup×conf(0)。其中conf(0)代表識(shí)別為正常類型的可信度;abn表示未能獲得匹配或匹配結(jié)果為異常類型的短序列占序列總數(shù)的比例。表3列出了窗口長度為11時(shí)三種檢測方法得出的異常度。

表3 k=11時(shí)異常度比較

trace\\method本文文獻(xiàn)[1]文獻(xiàn)[6]

norm-bounce 000.71

unknown-sm5x 20.11.722.5

unknown-sm56520.40.414.8

sscp-sm-1081427.34.145.8

syslog-local-217.33.439.7

syslog-remote-2231.544.9

decode-sm-3146.10.37.2

由表3可見，本文檢測方法得出的異常度遠(yuǎn)高于文獻(xiàn)[1]的方法，但低于文獻(xiàn)[6]的方法。文獻(xiàn)[6]采用了三種推理方法作短序列匹配，且利用異常序列的局域特征減小了噪聲和隨機(jī)錯(cuò)誤的影響。事實(shí)上異常度只表示異常進(jìn)程與正常進(jìn)程之間的區(qū)分度，而本文需要得到異常進(jìn)程與所有類別進(jìn)程的區(qū)分度。因此，為提高全局效率，只用簡單的匹配統(tǒng)計(jì)。

5 結(jié)束語

基于系統(tǒng)調(diào)用的進(jìn)程異常檢測一般以判定是否異常為最終結(jié)論，而本文在此基礎(chǔ)上提出了以識(shí)別異常類型為目標(biāo)的方法，這不僅使入侵警報(bào)更準(zhǔn)確，而且方便IDS根據(jù)異常類型采取相應(yīng)措施保護(hù)系統(tǒng)，因此更有實(shí)際意義。本文基于UNM合成sendmail系統(tǒng)調(diào)用數(shù)據(jù)進(jìn)行實(shí)驗(yàn)，結(jié)果表明該方法能高效、準(zhǔn)確地識(shí)別出異常進(jìn)程的種類。但是，目前該方法還不能應(yīng)用于在線檢測，而且對于短進(jìn)程的識(shí)別效果不理想，還有待進(jìn)一步研究。

參考文獻(xiàn):

[1]FORREST S，HOFMEYR S A，SOMAYAJI A，et al.A sense of self for Unix processes[C]//Proc of IEEE Symposium on Security and Privacy. Los Alamitos， CA:IEEE Computer Society Press，1996:120-128.

[2]HOFMEYR S A，F(xiàn)ORREST S，SOMAYAJI A.Intrusion dection using sequences of system calls[J].Journal of Computer Security，1998，6(3):151-180.

[3]WARRENDER C，F(xiàn)ORREST S，PEARLMUTTER B.Detecting intrusions using system calls:alternative data models[C]//Proc of IEEE Symposium on Security and Privacy.Los Alamitos，CA:IEEE Computer Society Press，1999:133-145.

[4]FOX K，HENNING R，REED J，et al.A neural network approach towards intrusion detection[C]//Proc of the 13th National Computer Security Conference.1990:125-134.

[5]王志剛，錢興坤，王東亮.基于HMM的系統(tǒng)調(diào)用序列異常入侵檢測[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2006(7):20-22.

[6]鮮明，張義榮，肖順平，等.基于粗糙集約簡的進(jìn)程系統(tǒng)調(diào)用序列異常檢測方法研究[J].計(jì)算機(jī)科學(xué)，2006，33(8):281-285.

[7]PAWLAK Z.Rough sets:theoretical aspects of reasoning about data[M].Boston:Kluwer Academic Publishers，1991.

[8]苗奪謙，李道國.粗糙集理論、算法與應(yīng)用[M].北京:清華大學(xué)出版社，2008:174-218.

[9]常犁云，王國胤，吳渝.一種基于Rough Set理論的屬性約簡及規(guī)則提取方法[J].軟件學(xué)報(bào)，1999，10(11):1206-1211.

[10]管禮和.基于可辨識(shí)矩陣的屬性約簡算法[J].計(jì)算機(jī)工程，2008，34(3):2-5.

[11]顧俊華，周艷聰，宋潔，等.一種新的求解屬性值約簡算法[J].南開大學(xué)學(xué)報(bào)，2003，36(4):38-42.

[12]季賽，袁慎芳，鄭關(guān)勝，等.基于粗糙集和系統(tǒng)調(diào)用的入侵檢測研究[J].計(jì)算機(jī)工程與應(yīng)用，2007，43(14):120-123.