human computer interface modeling

8/4/2019 Human Computer Interface Modeling

1/10

H i d d e n M a r k o v M o d e l s f o r H u m a n / C o m p u t e r I n t e r f a c e M o d e l i n g

T e r r a n L a n e

S c h o o l o f E l e c t r i c a l a n d C o m p u t e r E n g i n e e r i n g a n d

C E R I A S

P u r d u e U n i v e r s i t y , W e s t L a f a y e t t e , I N 4 7 9 0 7 - 1 2 8 7

e m a i l : t e r r a n @ e c n . p u r d u e . e d u

A b s t r a c t

A u t o m a t e d m o d e l i n g o f h u m a n b e h a v i o r s i s

u s e f u l i n t h e c o m p u t e r s e c u r i t y d o m a i n o f

a n o m a l y d e t e c t i o n . I n t h e u s e r m o d e l i n g f a c e t

o f t h e a n o m a l y d e t e c t i o n d o m a i n , t h e t a s k i s

t o d e v e l o p a m o d e l o r p r o l e o f t h e n o r m a l

w o r k i n g s t a t e o f a c o m p u t e r s y s t e m u s e r a n d

t o d e t e c t a n o m a l o u s c o n d i t i o n s a s d e v i a t i o n s

f r o m e x p e c t e d b e h a v i o r p a t t e r n s . I n t h i s p a p e r ,

w e e x a m i n e t h e u s e o f h i d d e n M a r k o v m o d e l s

( H M M s ) a s u s e r p r o l e s f o r t h e a n o m a l y d e t e c -

t i o n t a s k . W e f o r m u l a t e a u s e r i d e n t i t y c l a s -

s i c a t i o n s y s t e m b a s e d o n t h e p o s t e r i o r l i k e l i -

h o o d o f t h e m o d e l p a r a m e t e r s a n d p r e s e n t a n

a p p r o x i m a t i o n t h a t a l l o w s t h i s q u a n t i t y t o b e

q u i c k l y e s t i m a t e d t o a h i g h d e g r e e o f a c c u r a c y

f o r s u b s e q u e n c e s o f t h e t o t a l s e q u e n c e o f o b -

s e r v e d d a t a . W e g i v e a n e m p i r i c a l a n a l y s i s o f

t h e H M M a n o m a l y d e t e c t i o n s e n s o r . W e e x a m -

i n e p e r f o r m a n c e a c r o s s a r a n g e o f m o d e l s i z e s

( i . e . n u m b e r o f h i d d e n s t a t e s ) . W e d e m o n s t r a t e

t h a t , f o r m o s t o f o u r u s e r p o p u l a t i o n , a s i n g l e -

s t a t e m o d e l i s i n f e r i o r t o t h e m u l t i - s t a t e m o d -

e l s , a n d t h a t , w i t h i n m u l t i - s t a t e m o d e l s , t h o s e

w i t h m o r e s t a t e s t e n d t o m o d e l t h e p r o l e d u s e r

m o r e e e c t i v e l y b u t i m p o s t e r s l e s s e e c t i v e l y

t h a n d o s m a l l e r m o d e l s . T h e s e o b s e r v a t i o n s a r e

c o n s i s t e n t w i t h t h e i n t e r p r e t a t i o n t h a t l a r g e r

m o d e l s a r e n e c e s s a r y t o c a p t u r e h i g h d e g r e e s

o f u s e r b e h a v i o r a l c o m p l e x i t y . W e d e s c r i b e e x -

t e n s i o n s o f t h e s e t e c h n i q u e s t o o t h e r t a s k s a n d

d o m a i n s .

1 I n t r o d u c t i o n

A u t o m a t e d m o d e l i n g o f h u m a n b e h a v i o r s i s u s e f u l i n t h e

c o m p u t e r s e c u r i t y d o m a i n o f a n o m a l y d e t e c t i o n

A n d e r -

s o n , 1 9 8 0 ; D e n n i n g , 1 9 8 7

]

. I n t h e u s e r m o d e l i n g f a c e t o f

t h e a n o m a l y d e t e c t i o n d o m a i n , t h e t a s k i s t o d e v e l o p a

m o d e l o r p r o l e o f t h e n o r m a l w o r k i n g s t a t e o f a c o m -

p u t e r s y s t e m u s e r a n d t o d e t e c t a n o m a l o u s c o n d i t i o n s

a s d e v i a t i o n s f r o m e x p e c t e d b e h a v i o r p a t t e r n s . A s u b s e t

o f h o s t i l e a c t i v i t i e s c a n t h e n b e d e t e c t e d t h r o u g h t h e i r

a n o m a l o u s b e h a v i o r s . F o r e x a m p l e , r e c u r s i v e l y s e a r c h -

i n g s y s t e m d i r e c t o r y h i e r a r c h i e s b y h a n d o r b r o w s i n g

t h r o u g h a n o t h e r u s e r ' s l e s a r e u n u s u a l b e h a v i o r s f o r

m a n y u s e r s a n d t h e p r e s e n c e o f s u c h a c t i v i t i e s m a y b e

i n d i c a t i v e o f a n i n t r u d e r w h o h a s p e n e t r a t e d t h e a c c o u n t .

A l t e r n a t i v e l y , t h e m a n n e r i n w h i c h s i m i l a r t a s k s a r e c a r -

r i e d o u t m a y b e a c r i t i c a l i n d i c a t o r . F o r e x a m p l e , t h e

s u d d e n p r e s e n c e o f c o m p l e x t o o l s s u c h a s a w k , p e r l , o r

d d i n t h e d a t a o f a u s e r a c c u s t o m e d t o m a k i n g r e p e t i t i v e

l e m o d i c a t i o n s b y h a n d m a y b e a t i p - o t h a t a m o r e

s y s t e m - l i t e r a t e u s e r i s e m p l o y i n g t h e a c c o u n t . T h e o o d

o f d a t a g e n e r a t e d b y a u s e r t h r o u g h s o u r c e s s u c h a s c o m -

m a n d l i n e a n d G U I e v e n t s r e q u i r e s a u t o m a t e d m o d e l i n g

a n d d e t e c t i o n t o u n c o v e r s u c h e v e n t s . W e t a k e a \ p e r -

s o n a l a s s i s t a n t " v i e w o f t h i s d o m a i n , i n w h i c h t h e t a s k

o f t h e a n o m a l y d e t e c t i o n s e n s o r i s t o a u g m e n t t h e s e c u -

r i t y o f a p r i v a t e i n d i v i d u a l ' s c o m p u t e r s y s t e m o r a c c o u n t

b y m o n i t o r i n g u s a g e a c t i v i t y f o r \ s u s p i c i o u s " i n c i d e n t s

t h a t d o n o t c o n f o r m t o k n o w n b e h a v i o r p a t t e r n s o f t h e

a c c o u n t o w n e r ( d e n o t e d t h e v a l i d o r p r o l e d u s e r ) . U n -

d e r t h i s v i e w , b e h a v i o r a l d a t a a r e a s s u m e d t o b e p r i v a t e

a n d a v a i l a b l e o n l y t o t h e v a l i d u s e r ' s a s s i s t a n t . T h u s ,

t r a i n i n g d a t a a r e s i n g l e c l a s s | r e p r e s e n t i n g o n l y t h e

b e h a v i o r s o f t h e p r o l e d u s e r .

W e p r e s e n t a n a n o m a l y d e t e c t i o n s e n s o r t h a t e m p l o y s

h i d d e n M a r k o v m o d e l s ( H M M s ) a s u s e r m o d e l s . A l -

t h o u g h t h e f o c u s o f t h i s p a p e r i s o n t h e a p p l i c a t i o n o f

H M M s a s u s e r m o d e l s f o r a s e c u r i t y d o m a i n , t h e i r p o -

t e n t i a l a s u s e r m o d e l s i s m o r e g e n e r a l . I n S e c t i o n 5 , w e

d i s c u s s o t h e r p o s s i b l e a p p l i c a t i o n s o f t h e t y p e s o f m o d e l s

d e v e l o p e d h e r e .

2 H i d d e n M a r k o v M o d e l s a s U s e r

B e h a v i o r a l M o d e l s

I n t h i s s e c t i o n w e d e s c r i b e a f r a m e w o r k f o r e m p l o y i n g

H M M s a s u s e r b e h a v i o r a l m o d e l s f o r a n o m a l y d e t e c t i o n .

W e d i s c u s s d i e r e n t f o r m u l a t i o n s o f H M M s a s s e q u e n c e -

d a t a l a b e l e r s , a n d d e s c r i b e t h e c l a s s i c a t i o n s t r a t e g y w e

h a v e a d o p t e d .

2 . 1 N o t a t i o n

W e e m p l o y a v a r i a n t o f R a b i n e r ' s H M M n o t a t i o n ,

R a -

b i n e r , 1 9 8 9

]

, i n w h i c h q

t

a n d O

t

a r e v a r i a b l e s d e n o t i n g


2/10

t h e H M M s t a t e a n d o b s e r v e d o u t p u t a t t i m e t , r e s p e c -

t i v e l y , q a n d

O d e n o t e t h e c o m p l e t e s e q u e n c e o f s t a t e s

a n d o u t p u t s f o r t h e w h o l e p e r i o d o f o b s e r v a t i o n ,

i

i s

t h e p r i o r p r o b a b i l i t y o f s t a t e i , a

i j

i s t h e p r o b a b i l i t y o f

t r a n s i t i o n i n g f r o m s t a t e i t o s t a t e j , a n d b

i

( o ) i s t h e p r o b -

a b i l i t y o f g e n e r a t i n g o u t p u t s y m b o l v

o

w h e n t h e H M M i s

i n s t a t e i . T h e m a t r i x f o r m s o f t h e p r o b a b i l i t i e s a r e , A ,

a n d B , r e s p e c t i v e l y , a n d t h e s e t o f a l l H M M p a r a m e t e r s ,

f ; A ; B g i s . T h e n u m b e r o f h i d d e n s t a t e s i n t h e m o d e l

i s K a n d t h e s i z e o f t h e a l p h a b e t o f o b s e r v a b l e s y m b o l s

i s j j . W h i l e t h e p a r t i c u l a r s t a t e t h a t t h e m o d e l i s i n

a t t i m e t i s d e n o t e d q

t

, t h e s t a t e s t h e m s e l v e s a r e l a b e l e d

S

1

; S

2

: : : S

K

. S i m i l a r l y , t h e o u t p u t s y m b o l s a r e l a b e l e d

v

1

; v

2

: : : v

j j

a n d t h e p a r t i c u l a r s y m b o l o b s e r v e d a t t i m e

t i s O

t

.

2 . 2 D o m a i n D e n i t i o n

T h e a n o m a l y d e t e c t i o n t a s k c a n b e r e g a r d e d a s a b i -

n a r y c l a s s i c a t i o n p r o b l e m o f s e l f / n o n - s e l f i d e n t i c a -

t i o n ,

F o r r e s t e t a l . , 1 9 9 6 ; L a n e a n d B r o d l e y , 1 9 9 7 ;

1 9 9 8

]

. T h e p r o b l e m i s t o l a b e l t h e i n c i d e n c e s o f a n o m a -

l o u s b e h a v i o r ( f o r t h i s w o r k , b e h a v i o r s o r i g i n a t i n g w i t h

a p a r t y o t h e r t h a n t h e p r o l e d u s e r ) w i t h i n a t e m p o r a l

s t r e a m o f o b s e r v a t i o n s . B e c a u s e t h e a n o m a l o u s b e h a v -

i o r s c a n , i n p r i n c i p l e , o c c u r a t a n y p o i n t i n t i m e , e a c h

o b s e r v a t i o n m u s t b e a s s i g n e d a l a b e l .

B e c a u s e w e c a n n o t g u a r a n t e e c o v e r a g e o f t h e s p a c e

o f a n o m a l o u s a c t i v i t i e s , a n d f o r p r i v a c y r e a s o n s , w e a s -

s u m e a v a i l a b i l i t y o f d a t a o n l y f r o m t h e p r o l e d u s e r . O u r

d a t a a r e U N I X s h e l l h i s t o r y t r a c e s a n d a r e d e s c r i b e d i n

d e t a i l i n S e c t i o n 3 . 2 . I n d i v i d u a l a l p h a b e t s y m b o l s a r e

w h i t e s p a c e - s e p a r a t e d \ w o r d s " ( o r t o k e n s ) a n d t h e t o t a l

H M M a l p h a b e t i s t h e s e t o f u n i q u e s y m b o l s o c c u r r i n g i n

a l l a v a i l a b l e u s e r d a t a .

2 . 3 H M M s a s S e q u e n c e D a t a C l a s s i e r s

T h e t a s k o f e m p l o y i n g h i d d e n M a r k o v m o d e l s a s t e m p o -

r a l c l a s s i c a t i o n s y s t e m s c a n b e f r a m e d i n a t l e a s t t h r e e

d i e r e n t m a n n e r s . O n e p o p u l a r m e t h o d f o r m u l t i c l a s s

p r o b l e m s i s t o i d e n t i f y t h e c l a s s l a b e l s w i t h t h e h i d d e n

s t a t e s o f a s i n g l e m o d e l . T h e s t a t e s e q u e n c e i n f e r r e d

f r o m o b s e r v e d d a t a v i a t h e V i t e r b i a l g o r i t h m ,

R a b i n e r ,

1 9 8 9

]

, t h e n c o n s t i t u t e s t h e c l a s s i c a t i o n o f t h e t e m p o -

r a l s e q u e n c e d a t a . S u c h a n a p p r o a c h h a s b e e n e m p l o y e d

i n , f o r e x a m p l e , s p e e c h r e c o g n i t i o n

R a b i n e r a n d J u a n g ,

1 9 9 3

]

, p o s i t i o n a l t r a c k i n g a n d p r e d i c t i o n i n u s e r m o d e l -

i n g

O r w a n t , 1 9 9 5

]

, a n d f a u l t m o n i t o r i n g

S m y t h , 1 9 9 4 a ;

1 9 9 4 b

]

. S m y t h d e s c r i b e s t h i s a p p r o a c h a s d i s c r i m i n a -

t i v e , v i e w i n g t h e c l a s s i c a t i o n p r o b l e m a s o n e o f e s t i -

m a t i n g t h e p r o b a b i l i t y o f c l a s s l a b e l s g i v e n t h e d a t a

a n d m o d e l p a r a m e t e r s , p ( q j

O ; ) . H e n o t e s t h a t t h i s

a p p r o a c h m a k e s t h e a s s u m p t i o n s t h a t t h e c l a s s l a b e l s

( s t a t e s ) a r e m u t u a l l y e x c l u s i v e a n d e x h a u s t i v e . W h i l e

t h e r s t c o n d i t i o n c e r t a i n l y h o l d s f o r t h e a n o m a l y d e t e c -

t i o n d o m a i n | a n y g i v e n i n p u t t o k e n c a n b e g e n e r a t e d

b y o n l y a s i n g l e u s e r | t h e l a t t e r p o s e s a c o n s i d e r a b l e

d i c u l t y . I n t h e a n o m a l y d e t e c t i o n d o m a i n w e c l e a r l y

h a v e e x a m p l e s o f t h e v a l i d u s e r ' s b e h a v i o r a l c h a r a c t e r -

i s t i c s , b u t w e l a c k e x a m p l e s o f t h e b e h a v i o r s o f h o s t i l e

u s e r s o r i n t r u d e r s .

1

E v e n g i v e n e x a m p l e s o f h o s t i l e b e -

h a v i o r s , h o w e v e r , t h e p r o b l e m o f d e m o n s t r a t i n g t h a t o u r

t r a i n i n g s e t i s e x h a u s t i v e m a y b e d i c u l t a t b e s t .

I n t h e f a u l t d e t e c t i o n w o r k , S m y t h a d d r e s s e s t h e q u e s -

t i o n o f u n o b s e r v e d c l a s s e s b y a d d i n g a n e x t r a , \ c a t c h -

a l l " , s t a t e t o t h e m o d e l a n d a u g m e n t i n g t h e d i s c r i m -

i n a t i v e m o d e l w i t h a g e n e r a t i v e m o d e l . A g e n e r a t i v e

m o d e l v i e w s t h e H M M a s a d a t a g e n e r a t o r a n d e s t i m a t e s

o b s e r v a t i o n l i k e l i h o o d s , p (

O j ) v i a t h e f o r w a r d s t e p o f

t h e f o r w a r d - b a c k w a r d a l g o r i t h m ,

R a b i n e r , 1 9 8 9

]

. C l a s s

p r o b a b i l i t i e s c a n b e d e r i v e d f r o m i n s t a n t a n e o u s o b s e r v a -

t i o n p r o b a b i l i t i e s , p ( O

t

j q

i

) , v i a B a y e s ' s r u l e . T h e h y b r i d

o f d i s c r i m i n a t i v e a n d g e n e r a t i v e a p p r o a c h e s a l l o w s e s t i -

m a t i o n o f c l a s s p r o b a b i l i t i e s f o r a n a u x i l i a r y s t a t e m o d e l -

i n g u n o b s e r v e d d a t a . T h e c o m b i n a t i o n o f t h e t w o c l a s s e s

o f m o d e l s i n v o l v e s p r i o r d i s t r i b u t i o n a s s u m p t i o n s a b o u t

t h e l i k e l i h o o d o f t h e d a t a u n d e r t h e u n k n o w n c l a s s .

I n t h i s w o r k , w e t a k e a d i e r e n t a p p r o a c h t o t h e c l a s s i -

c a t i o n p r o b l e m . S i m i l a r t o t h e g e n e r a t i v e a p p r o a c h , w e

e m p l o y e s t i m a t i o n s o f d a t a p r o b a b i l i t i e s v i a t h e f o r w a r d -

b a c k w a r d a l g o r i t h m , b u t r a t h e r t h a n a s s o c i a t i n g c l a s s

l a b e l s w i t h m o d e l s t a t e s , w e a s s o c i a t e c l a s s l a b e l s w i t h

i n d i v i d u a l m o d e l s . M o d e l p r o b a b i l i t i e s c a n b e e v a l u a t e d

f r o m p o s t e r i o r o b s e r v a t i o n p r o b a b i l i t i e s v i a B a y e s ' r u l e :

p ( j

O ) =

p (

O j ) p ( )

p (

O )

;

w h e r e p (

O ) i s a n o r m a l i z i n g f a c t o r t h a t i s i d e n t i c a l f o r

a l l c l a s s e s . T h e m o d e l p r i o r p r o b a b i l i t y , p ( ) , c a n b e

s e l e c t e d b y d o m a i n k n o w l e d g e , b u t w e t a k e i t h e r e t o

b e a n o n - i n f o r m a t i v e p r i o r ( i . e . a u n i f o r m p r o b a b i l i t y

d i s t r i b u t i o n f o r a n i t e s e t o f m o d e l s ) . F o r a n N c l a s s

p r o b l e m , a n o b s e r v a t i o n a l s e q u e n c e i s a s s i g n e d t h e c l a s s

l a b e l c o r r e s p o n d i n g t o t h e m a x i m u m l i k e l i h o o d m o d e l ,

c l a s s (

O ) = a r g m a x

i 2 1 : : : N

f p (

i

j

O ) g :

E e c t i v e l y , w e a r e a s s e s s i n g t h e l i k e l i h o o d t h a t e a c h

m o d e l g e n e r a t e d t h e s e q u e n c e i n q u e s t i o n a n d s e l e c t i n g

t h e m o d e l w i t h t h e h i g h e s t l i k e l i h o o d . T h i s f r a m e w o r k

a l l o w s u s t o a s s i g n o n l y a s i n g l e l a b e l t o a n e n t i r e o b -

s e r v a t i o n a l s e q u e n c e , b u t g i v e s u s t h e f r e e d o m t o a s s i g n

\ u n k n o w n " c l a s s l a b e l s . A n y s e q u e n c e j u d g e d i n s u -

c i e n t l y l i k e l y w i t h r e s p e c t t o a l l k n o w n m o d e l s c a n b e

l a b e l e d \ u n k n o w n " . S i m i l a r , \ m o d e l - c l a s s " , a p p r o a c h e s

h a v e b e e n w i d e l y a p p l i e d i n t h e s p e e c h r e c o g n i t i o n c o m -

m u n i t y ,

R a b i n e r , 1 9 8 9

]

. O r w a n t u s e d r e l a t e d a f r a m e -

w o r k t o d e t e r m i n e a u s e r ' s c u r r e n t b e h a v i o r a l s t a t e ( e . g .

\ i d l e " , \ w r i t i n g " , o r \ h a c k i n g " ) ,

O r w a n t , 1 9 9 5

]

, b u t

e m p l o y e d m a n u a l l y c o n s t r u c t e d m o d e l s f o r e a c h c l a s s

a n d i n t e r c o n n e c t e d t h e c l a s s m o d e l s i n t o a \ m e t a - H M M "

1

S u c h d a t a h a s p r o v e d t o b e d i c u l t t o c o m e b y . E x a m -

p l e s ( u s u a l l y s i m u l a t e d ) o f m a c h i n e - l e v e l a t t a c k l o g s ( s u c h a s

n e t w o r k p a c k e t l o g s o r s y s t e m c a l l t r a c e s ) a r e a v a i l a b l e , b u t

t r a c e s o f r e a l a t t a c k s a t t h e h u m a n c o m m a n d l e v e l a r e c o n -

s i d e r a b l y r a r e r . A r e c e n t c a l l f o r e x a m p l e s o f s u c h d a t a b y

t h e C E R I A S s e c u r i t y r e s e a r c h c e n t e r h a s , t o d a t e , y i e l d e d n o

i n s t a n c e s o f s u c h d a t a .


3/10

f r o m w h i c h c l a s s e s w e r e p r e d i c t e d v i a t h e V i t e r b i a l g o -

r i t h m .

T h e c h o i c e o f K i s i m p o r t a n t , a s i t e e c t s t h e p o t e n t i a l

d e s c r i p t i v e n e s s o f t h e H M M . I n t h e d i s c r i m i n a t i v e a n d

g e n e r a t i v e f o r m s o f H M M c l a s s i c a t i o n , t h e d o m a i n p r o -

v i d e s u s w i t h a n a p p r o p r i a t e v a l u e o f K ( t h e n u m b e r o f

c l a s s e s p r e s e n t i n t h e d a t a , a n d p o s s i b l y o n e o r m o r e \ u n -

k n o w n " s t a t e s ) . I n t h e m o d e l - c l a s s f r a m e w o r k , h o w e v e r ,

t h e c l a s s e s a r e n o t d i r e c t l y a s s o c i a t e d w i t h m o d e l s t a t e s

s o w e m u s t s e e k e i t h e r d o m a i n - s p e c i c k n o w l e d g e t o h e l p

c h o o s e K ( e . g . s o m e e s t i m a t e o f t h e n a t u r a l n u m b e r o f

d i s t i n c t b e h a v i o r a l c l a s s e s p r e s e n t i n t h e d a t a ) o r e m p l o y

a n e m p i r i c a l s e a r c h . W e e x a m i n e t h e l a t t e r m e t h o d i n

t h e e x p e r i m e n t a l s e c t i o n o f t h i s p a p e r .

2 . 4 S e q u e n c e L a b e l i n g f o r t h e A n o m a l y

D e t e c t i o n D o m a i n

U n d e r t h e m o d e l - c l a s s f r a m e w o r k o u t l i n e d a b o v e , w e

c o n s t r u c t a s i n g l e H M M ,

v

, t o m o d e l t h e o b s e r v e d b e -

h a v i o r a l p a t t e r n s o f t h e v a l i d u s e r . T h e l i k e l i h o o d s o f

i n c o m i n g d a t a s e q u e n c e s a r e e v a l u a t e d w i t h r e s p e c t t o

v

a n d t h o s e j u d g e d i n s u c i e n t l y l i k e l y v i a a t h r e s h o l d

t e s t a r e l a b e l e d a s a n o m a l o u s . T h e v a l u e o f t h i s \ m i n -

i m u m a c c e p t a b l e l i k e l i h o o d " i s d e n o t e d t

m i n

. A f e a t u r e

o f t h e a n o m a l y d e t e c t i o n d o m a i n i s t h e t h r e a t o f \ r e p l a y

a t t a c k s "

2

. T o a v o i d s u c h a t t a c k s , w e i n t r o d u c e a n u p p e r

t h r e s h o l d , t

m a x

, w h i c h i s u s e d t o a g d a t a w h i c h a r e t o o

s i m i l a r t o h i s t o r i c a l b e h a v i o r s . T h e t h r e s h o l d s , t

m i n

a n d

t

m a x

a r e c h o s e n f r o m t h e u p p e r a n d l o w e r r = 2 q u a n t i l e s

o f t h e n o n - p a r a m e t r i c d i s t r i b u t i o n o f o b s e r v a t i o n l i k e l i -

h o o d s o n a n i n d e p e n d e n t , \ p a r a m e t e r - s e l e c t i o n " , s u b s e t

o f t h e t r a i n i n g d a t a . T h e p a r a m e t e r r c o r r e s p o n d s t o

a n \ a c c e p t a b l e " f a l s e - a l a r m r a t e

3

a n d i t s s e l e c t i o n i s a

s i t e - s p e c i c i s s u e r e l a t e d t o s e c u r i t y p o l i c y .

2 . 5 S e q u e n c e A l i g n m e n t

A s n o t e d a b o v e , t h e m o d e l - c l a s s f r a m e w o r k a s s i g n s c l a s s

l a b e l s o n l y t o e n t i r e s e q u e n c e s , y e t w e w i s h t o b e a b l e

t o l a b e l a r b i t r a r y s u b s e q u e n c e s o f t h e o b s e r v e d d a t a

s t r e a m . W e c a n , o f c o u r s e , r u n t h e f o r w a r d - b a c k w a r d

l i k e l i h o o d e s t i m a t i o n a l g o r i t h m b e t w e e n e v e r y p o s s i b l e

p a i r o f s u b s e q u e n c e s t a r t , s , a n d t e r m i n a t i o n , t , t i m e

s t e p s . T h i s t u r n s o u t t o b e c o m p u t a t i o n a l l y e x p e n s i v e ,

a s t h e c o m p l e x i t y o f t h e F - B a l g o r i t h m i s O ( K

2

l ) f o r a

t i m e s e q u e n c e o f l e n g t h l . M e r e l y t o c o n s i d e r a l l x e d -

l e n g t h s u b s e q u e n c e s ( t s = l f o r s o m e x e d l f o r a l l

t ) w i t h i n a t o t a l d a t a s e q u e n c e o f l e n g t h T r e q u i r e s

O ( K

2

l ( T l ) ) t i m e . T h i s b e c o m e s p r o h i b i t i v e f o r t h e

s u b s e q u e n c e l e n g t h s o f i n t e r e s t i n t h i s d o m a i n ( l > 5 0 ) .

2

A r e p l a y a t t a c k i s o n e i n w h i c h a n a t t a c k e r m o n i t o r s

a s y s t e m a n d r e c o r d s i n f o r m a t i o n s u c h a s u s e r c o m m a n d s .

T h e s e c o m m a n d s c a n t h e n l a t e r b e \ r e p l a y e d " b a c k t o t h e

s y s t e m l i t e r a l l y ( o r w i t h t h e i n c l u s i o n o f a v e r y f e w h o s t i l e

a c t i o n s ) . B e c a u s e t h e v a s t m a j o r i t y o f t h e d a t a w a s , i n f a c t ,

o r i g i n a l l y g e n e r a t e d b y t h e v a l i d u s e r , i t w i l l a p p e a r p e r f e c t l y

n o r m a l t o t h e d e t e c t i o n s e n s o r s u n l e s s s o m e c h e c k i s m a d e f o r

o c c u r r e n c e s w h i c h a r e t o o s i m i l a r t o p a s t b e h a v i o r .

3

R a t e o f i n c o r r e c t l y i d e n t i f y i n g t h e v a l i d u s e r a s a n o m a -

l o u s .

I n s t e a d w e e m p l o y t h e a p p r o x i m a t i o n a l g o r i t h m o b -

t a i n e d b y c o n s i d e r i n g t h e e n d p o i n t s t a t e t r a n s i t i o n s

( t h o s e a t t i m e s t e p s s a n d t ) t o b e s t a t i s t i c a l l y u n c o u -

p l e d f r o m t h e i r a d j a c e n t s t a t e s ( t h o s e a t t i m e s t e p s s 1

a n d t 1 ) . T h a t i s ,

p ( O

s

; O

s + 1

: : : O

t

)

p ( O

1

: : : O

T

)

p ( O

1

: : : O

s 1

) p ( O

t + 1

: : : O

T

)

f o r 1 < s < t < T . B e c a u s e o f t h e e x p o n e n t i a l d e c a y o f

s t a t e i n u e n c e i n t h e M a r k o v f o r m u l a t i o n , t h i s a p p r o x -

i m a t i o n i s r e a s o n a b l y g o o d f o r l a r g e l . F o r e x a m p l e , a

c o m p a r i s o n o f t h e a p p r o x i m a t e d s e q u e n c e l o g - l i k e l i h o o d

t o t h e e x a c t v a l u e f o r o n e o f o u r t e s t e d u s e r s a t l = 1 0 0

( t h e v a l u e u s e d i n o u r e m p i r i c a l i n v e s t i g a t i o n s , S e c t i o n s 3

a n d 4 ) r e v e a l e d t h a t t h e a p p r o x i m a t e d v a l u e h a d a m e a n

d e v i a t i o n o f o n l y 0 : 8 % a n d a m e d i a n d e v i a t i o n o f o n l y

0 : 4 6 % f r o m t h e t r u e v a l u e ( i n d i c a t i n g t h a t t h e d e v i a t i o n s

a r e s k e w e d t o w a r d s 0 ) . T h u s , t h i s a p p r o x i m a t i o n a l l o w s

u s t o c o n s i d e r a l l x e d - l e n g t h s u b s e q u e n c e s f r o m a g l o b a l

t e m p o r a l s e q u e n c e o f l e n g t h T i n t i m e O ( K

2

T + ( T l ) ) ,

w i t h a m a r g i n a l l o s s i n p r e c i s i o n .

2 . 6 A l t e r n a t e A p p r o a c h e s t o S e q u e n c e

L e a r n i n g f o r U s e r M o d e l i n g

M a n y t r a d i t i o n a l a p p r o a c h e s t o l e a r n i n g f r o m t e m p o -

r a l s e q u e n c e d a t a a r e n o t a p p l i c a b l e t o u s e r m o d e l i n g ,

w h e r e t h e b a s e d a t a c o n s i s t s o f d i s c r e t e , u n o r d e r e d ( i . e .

n o m i n a l - v a l u e d ) e l e m e n t s s u c h a s c o m m a n d s t r i n g s . F o r

t i m e s e r i e s o f n u m e r i c v a l u e s , t e c h n i q u e s s u c h a s s p e c -

t r a l a n a l y s i s

O p p e n h e i m a n d S c h a f e r , 1 9 8 9

]

, p r i n c i p l e

c o m p o n e n t a n a l y s i s

F u k u n a g a , 1 9 9 0

]

, l i n e a r r e g r e s s i o n

C a s e l l a a n d B e r g e r , 1 9 9 0

]

, l i n e a r p r e d i c t i v e c o d i n g

R a -

b i n e r a n d J u a n g , 1 9 9 3

]

, n e a r e s t n e i g h b o r m a t c h i n g , a n d

n e u r a l n e t w o r k s

C h e n o w e t h a n d O b r a d o v i c , 1 9 9 6

]

h a v e

p r o v e n f r u i t f u l . S u c h t e c h n i q u e s t y p i c a l l y e m p l o y a E u -

c l i d e a n d i s t a n c e o r a r e l a t e d d i s t a n c e m e a s u r e d e n e d

f o r r e a l - v a l u e d v e c t o r s .

T h e r e a r e a n u m b e r o f l e a r n i n g a l g o r i t h m s t h a t a r e

a m e n a b l e t o l e a r n i n g o n s p a c e s w i t h n o m i n a l - v a l u e d a t -

t r i b u t e s , b u t t h e y t y p i c a l l y e m p l o y a f e a t u r e - v e c t o r r e p -

r e s e n t a t i o n t h a t m a y n o t b e w e l l s u i t e d t o t e m p o r a l d a t a .

F o r e x a m p l e , d e c i s i o n t r e e s

Q u i n l a n , 1 9 9 3

]

a r e e e c t i v e

a t d i s c o v e r i n g d e c i s i o n b o u n d a r i e s o n d i s c r e t e s p a c e s .

T h e b i a s u s e d t o s e a r c h f o r s u c h s t r u c t u r e s g e n e r a l l y

e m p l o y s a g r e e d y s e a r c h t h a t e x a m i n e s e a c h f e a t u r e i n -

d e p e n d e n t o f a l l o t h e r s . S u c h a b i a s i g n o r e s t h e n a t u r a l

o r d e r r e l a t i o n s p r e s e n t i n t e m p o r a l d a t a ( s u c h a s c a u s a l -

i t y o r c o r r e l a t i o n c h a i n s ) .

O n e m e t h o d o f c i r c u m v e n t i n g t h i s d i c u l t y i s t o c o n -

v e r t t h e d a t a t o a n a t e m p o r a l r e p r e s e n t a t i o n i n w h i c h

t h e c a u s a l s t r u c t u r e s a r e r e p r e s e n t e d e x p l i c i t l y . N o r t o n ,

( 1 9 9 4 ) , a n d S a l z b e r g , ( 1 9 9 5 ) , e a c h i n d e p e n d e n t l y u s e d

s u c h a t e c h n i q u e f o r t h e d o m a i n o f l e a r n i n g t o r e c o g -

n i z e c o d i n g r e g i o n s i n D N A f r a g m e n t s . D N A c o d i n g ,

w h i l e n o t t e m p o r a l , d o e s e x h i b i t i n t e r r e l a t i o n s b e t w e e n

p o s i t i o n s t h a t a r e d i c u l t f o r c o n v e n t i o n a l l e a r n i n g s y s -

t e m s t o a c q u i r e d i r e c t l y . T h e f e a t u r e s e x t r a c t e d f r o m

t h e D N A s e q u e n c e s w e r e s e l e c t e d b y d o m a i n e x p e r t s ,


4/10

a n d t h u s c a n n o t b e g e n e r a l i z e d t o o t h e r s e q u e n t i a l d o -

m a i n s . A l t h o u g h s u c h a n a p p r o a c h c o u l d b e a p p l i e d t o

t h e a n o m a l y d e t e c t i o n d o m a i n , i t w o u l d r e q u i r e c o n s i d -

e r a b l e e o r t o n t h e p a r t o f a d o m a i n e x p e r t , a n d t h e d e -

v e l o p e d f e a t u r e s w o u l d a p p l y o n l y t o t h a t d a t a s o u r c e .

W e a r e i n t e r e s t e d i n d e v e l o p i n g t e c h n i q u e s t h a t c a n b e

a p p l i e d a c r o s s d i e r e n t d a t a s o u r c e s a n d t a s k s .

T h e r e a l s o e x i s t l e a r n i n g m e t h o d s e x p l i c i t l y d e v e l -

o p e d t o m o d e l s e q u e n c e d a t a . A l g o r i t h m s f o r d i s c o v -

e r i n g t e m p o r a l r u l e r e l a t i o n s , f o r e x a m p l e , h a v e b e e n

e x a m i n e d b y S r i k a n t a n d A g r a w a l ( 1 9 9 6 ) . M e t h o d s

f o r l e a r n i n g t h e s t r u c t u r e o f d e t e r m i n i s t i c n i t e - s t a t e

a u t o m a t a h a v e b e e n w i d e l y s t u d i e d

A n g u l i n , 1 9 8 7 ;

R i v e s t a n d S c h a p i r e , 1 9 8 9

]

. D F A ' s , h o w e v e r , a r e n o t

w e l l s u i t e d t o m o d e l i n g h i g h l y n o i s y d o m a i n s s u c h a s

h u m a n - g e n e r a t e d c o m p u t e r i n t e r f a c e d a t a . I f t h e d a t a

c a n b e o b s e r v e d b e l o w t h e s h e l l l e v e l , t h e n m a n y s y n -

t a c t i c a n d s e m a n t i c e r r o r s w i l l h a v e b e e n r e m o v e d a n d

t h e d a t a w i l l b e c l e a n e r . Y o s h i d a a n d M o t o d a e m p l o y

I / O r e l a t i o n s a t t h i s l e v e l t o d e v e l o p n i t e - s t a t e g r a p h

m o d e l s o f u s e r b e h a v i o r s ( 1 9 9 6 ) . T h e s i m p l e s t e x t e n -

s i o n o f D F A m o d e l s t o n o i s y d o m a i n s a r e M a r k o v c h a i n

m o d e l s ,

D a v i s o n a n d H i r s h , 1 9 9 8

]

, w h i c h a l l o w s t o c h a s -

t i c s t a t e t r a n s i t i o n s . T h e s e m o d e l s h a v e t h e a d v a n t a g e

t h a t , u n l i k e H M M s , t h e M a x i m u m - L i k e l i h o o d e s t i m a t e

f o r t r a n s i t i o n p r o b a b i l i t i e s h a s a c l o s e d f o r m . M a r k o v

c h a i n m o d e l s t y p i c a l l y e m i t s y m b o l s d e t e r m i n i s t i c a l l y

( e a c h s t a t e o r a r c e m i t t i n g o n l y a s i n g l e s y m b o l ) , r e -

q u i r i n g a s t a t e f o r e a c h s y m b o l o f t h e a l p h a b e t , o r j j

2

t o t a l t r a n s i t i o n p r o b a b i l i t i e s t o b e l e a r n e d f o r a n a l p h a -

b e t o f s i z e j j . W h e n t h e a l p h a b e t i s l a r g e ( i n o u r e m p i r -

i c a l a n a l y s e s , w e h a v e o b s e r v e d a l p h a b e t s o f o v e r 2 5 0 0

u n i q u e s y m b o l s ) , t h e d i m e n s i o n a l i t y o f t h e p a r a m e t e r

s p a c e i s h i g h a n d t h e a m o u n t o f t r a i n i n g d a t a r e q u i r e d

t o a c c u r a t e l y e s t i m a t e l o w p r o b a b i l i t y t r a n s i t i o n s i s v e r y

l a r g e . F i n a l l y , d e t e r m i n i s t i c o u t p u t M a r k o v m o d e l s w i t h

u n i q u e s t a t e s ( i . e . e a c h s y m b o l i s e m i t t e d b y o n l y o n e

s t a t e ) c a n o n l y r e p r e s e n t a s i n g l e c o n t e x t f o r a n y g i v e n

s y m b o l . I n t h e a n o m a l y d e t e c t i o n d o m a i n s y m b o l s c a n

h a v e m u l t i p l e c o n t e x t s . T h e c o m m a n d v i , f o r e x a m p l e ,

c a n b e e m p l o y e d f o r e d i t i n g b o t h s o u r c e c o d e a n d c o n -

f e r e n c e p a p e r s .

3 E m p i r i c a l A n a l y s i s

H e r e w e p r e s e n t t h e s t r u c t u r e o f o u r e x p e r i m e n t a l e v a l -

u a t i o n o f H M M s a s u s e r m o d e l s f o r t h e a n o m a l y d e t e c -

t i o n d o m a i n . W e e x a m i n e p e r f o r m a n c e m e a s u r e s f o r t h i s

t a s k , d i s c u s s i n g a n a l t e r n a t i v e t o t h e c l a s s i c p e r f o r m a n c e

a c c u r a c y . W e d e s c r i b e t h e s o u r c e s a n d f o r m a t t i n g o f t h e

d a t a e m p l o y e d i n o u r e v a l u a t i o n s , a n d n a l l y t h e s t r u c -

t u r e o f t h e e x p e r i m e n t a l p r o c e d u r e .

3 . 1 P e r f o r m a n c e C r i t e r i a

W e e m p l o y t w o m e t h o d s f o r e v a l u a t i n g t h e p e r f o r m a n c e

o f a n o m a l y d e t e c t i o n s y s t e m s . I n a d d i t i o n t o t h e t r a d i -

t i o n a l a c c u r a c y m e a s u r e m e n t s , w e a r g u e t h a t t h e m e a n

t i m e t o g e n e r a t i o n o f a n a l a r m i s a u s e f u l q u a n t i t y t o

c o n s i d e r .

T h e g o a l i n t h e a n o m a l y d e t e c t i o n t a s k i s t o i d e n t i f y

p o t e n t i a l l y m a l i c i o u s o c c u r r e n c e s w h i l e f a l s e l y a g g i n g

i n n o c u o u s a c t i o n s a s r a r e l y a s p o s s i b l e . W e s h a l l d e n o t e

t h e r a t e o f i n c o r r e c t l y a g g i n g n o r m a l b e h a v i o r s a s t h e

f a l s e a l a r m r a t e a n d t h e r a t e o f f a i l i n g t o i d e n t i f y a b n o r -

m a l o r m a l i c i o u s b e h a v i o r s a s t h e f a l s e a c c e p t a n c e r a t e .

U n d e r t h e n u l l h y p o t h e s i s t h a t a l l b e h a v i o r i s n o r m a l ,

t h e s e c o r r e s p o n d t o T y p e I a n d T y p e I I e r r o r s , r e s p e c -

t i v e l y . T h e c o n v e r s e a c c u r a c y r a t e s a r e r e f e r r e d t o a s

t h e t r u e a c c e p t ( a b i l i t y t o c o r r e c t l y a c c e p t t h e p r o l e d

u s e r a s n o r m a l ) r a t e a n d t h e t r u e d e t e c t ( a b i l i t y t o c o r -

r e c t l y d e t e c t a n a n o m a l o u s u s e r ) r a t e . F o r t h e d e t e c t o r

t o b e p r a c t i c a l , i t i s i m p o r t a n t t h a t t h e f a l s e a l a r m r a t e

b e l o w . U s e r s a n d s e c u r i t y o c e r s w i l l q u i c k l y l e a r n t o

i g n o r e t h e \ s e c u r i t y s y s t e m t h a t c r i e d w o l f , " i f i t a g s

i n n o c u o u s b e h a v i o r t o o o f t e n .

D e t e c t i o n a c c u r a c y d o e s n o t , h o w e v e r , r e v e a l t h e c o m -

p l e t e s t o r y . A s e c o n d i s s u e o f i m p o r t a n c e i s t i m e t o

a l a r m ( T T A ) , w h i c h i s a m e a s u r e o f h o w q u i c k l y a n

a n o m a l o u s o r h o s t i l e s i t u a t i o n c a n b e d e t e c t e d . I n t h e

c a s e o f f a l s e a l a r m s , t h e t i m e t o a l a r m r e p r e s e n t s t h e e x -

p e c t e d t i m e u n t i l a f a l s e a l a r m o c c u r s . T h u s , w e w i s h

t h e t i m e t o a l a r m t o b e s h o r t f o r h o s t i l e u s e r s s o t h a t

t h e y c a n b e d e a l t w i t h q u i c k l y a n d b e f o r e d o i n g m u c h

h a r m , b u t l o n g f o r t h e v a l i d u s e r s o t h a t n o r m a l w o r k

i s i n t e r r u p t e d b y f a l s e a l a r m s a s s e l d o m a s p o s s i b l e . T o

t h i s e n d , w e m e a s u r e t h e m e a n r u n - l e n g t h o f \ n o r m a l "

c l a s s i c a t i o n s . T i m e i s m e a s u r e d i n t o k e n c o u n t s r a t h e r

t h a n w a l l c l o c k t i m e b e c a u s e t h e n u m b e r o f t o k e n s e m i t -

t e d i s m o r e c l o s e l y c o r r e l a t e d w i t h t h e a c t i v i t y o f t h e

u s e r t h a n i s p h y s i c a l d u r a t i o n o f t h e s h e l l s e s s i o n .

3 . 2 D a t a

B e c a u s e n o n - s i m u l a t e d h u m a n - l e v e l a t t a c k d a t a h a s

p r o v e n d i c u l t t o o b t a i n , w e h a v e p r o l e d o u r t e c h -

n i q u e s o n t h e u s e r - d i e r e n t i a t i o n p r o b l e m . I n t h i s f o r -

m u l a t i o n , d a t a a r e g a t h e r e d f r o m v a l i d s y s t e m u s e r s

u n d e r n o r m a l w o r k i n g c o n d i t i o n s a n d a u s e r p r o l e i s

c o n s t r u c t e d f o r e a c h . T h e p e r f o r m a n c e o f t h e a n o m a l y

d e t e c t i o n s e n s o r i s e v a l u a t e d w i t h r e s p e c t t o i t s a b i l i t y

t o c o r r e c t l y r e c o g n i z e t h e p r o l e d u s e r a n d d i s c r i m i n a t e

t h e o t h e r u s e r s a s a n o m a l o u s . T h i s f r a m e w o r k s i m u l a t e s

o n l y a s u b s e t o f t h e p o s s i b l e m i s u s e s c e n a r i o s | t h a t o f a

n a i v e i n t r u d e r g a i n i n g a c c e s s t o a n u n a u t h o r i z e d a c c o u n t

| b u t i t a l l o w s u s t o e v a l u a t e t h e a p p r o a c h .

W e g a t h e r e d c o m m a n d t r a c e s f r o m e i g h t U N I X u s e r s

v i a t h e t c s h h i s t o r y m e c h a n i s m o v e r t h e c o u r s e o f m o r e

t h a n t w o y e a r s . T h e c o m m a n d t r a c e s w e r e p a r s e d w i t h

a r e c o g n i z e r f o r t h e t c s h c o m m a n d l a n g u a g e t o c o n v e r t

t h e m i n t o a f o r m a t s u i t a b l e f o r s c a n n i n g w i t h t h e H M M

c l a s s i c a t i o n s e n s o r a n d t o d o f e a t u r e s e l e c t i o n . E a c h

w h i t e s p a c e - d e l i m i t e d \ w o r d " i n t h e i n p u t s t r e a m i s c o n -

s i d e r e d t o b e a s e p a r a t e s y m b o l , o r t o k e n . T h e f e a t u r e

s e l e c t i o n s t e p r e m o v e s l e n a m e s , r e p l a c i n g t h e m w i t h

t h e c o u n t o f t h e n u m b e r o f l e n a m e s o c c u r r i n g i n t h e

c o m m a n d l i n e . R e m o v a l o f l e n a m e s r e d u c e s t h e a l p h a -

b e t f r o m o v e r 3 5 , 0 0 0 u n i q u e t o k e n s t o s l i g h t l y m o r e t h a n

2 , 5 0 0 u n i q u e t o k e n s a n d d r a m a t i c a l l y i m p r o v e s r e c o g n i -

t i o n a c c u r a c y i n e m p i r i c a l t e s t s .


5/10

3 . 3 E x p e r i m e n t S t r u c t u r e

Complete Training Data: 7000 instances

Train 1

Train 2

Train 3

Param 2

Param 1

Param 3

Test 1

Test 2

Test 3

F i g u r e 1 : D i v i s i o n o f t r a i n i n g d a t a i n t o t r a i n , p a r a m e t e r

s e l e c t i o n , a n d t e s t d a t a s e t s .

B e c a u s e u s e r b e h a v i o r s c h a n g e o v e r t i m e , t h e e e c t i v e

l i f e t i m e o f a s t a t i c u s e r p r o l e , a s i s e m p l o y e d i n t h e w o r k

d e s c r i b e d h e r e , i s l i m i t e d . T h u s , w e h a v e c o n s t r u c t e d e x -

p e r i m e n t s t o e v a l u a t e t h e d e t e c t o r ' s p e r f o r m a n c e o v e r a

l i m i t e d r a n g e o f f u t u r e a c t i v i t i e s . T h e s e p a r a t i o n o f t h e

7 , 0 0 0 t o k e n t r a i n i n g d a t a i n t o t h r e e g r o u p s ( o r f o l d s )

o f t r a i n , p a r a m e t e r s e l e c t i o n , a n d t e s t d a t a i s s h o w n i n

F i g u r e 1 . T h e i n i t i a l 1 , 0 0 0 t o k e n s o f e a c h u s e r ' s d a t a

w e r e t a k e n a s t r a i n i n g ( p r o l e c o n s t r u c t i o n ) d a t a , t h e

f o l l o w i n g 1 , 0 0 0 t o k e n s w e r e t a k e n f o r p a r a m e t e r s e l e c -

t i o n d a t a ( u s e d t o s e t t h e d e c i s i o n t h r e s h o l d s t

m a x

a n d

t

m i n

) , a n d 3 , 0 0 0 f o l l o w i n g t o k e n s w e r e t a k e n t o t e s t p e r -

f o r m a n c e f o r t h a t p r o l e . T o g u a r d a g a i n s t i s o l a t e d d a t a

a n o m a l i e s ,

4

t h r e e f o l d s o f t r a i n , p a r a m e t e r s e l e c t i o n , a n d

t e s t d a t a w e r e p r o d u c e d f o r e a c h u s e r . W i t h i n e a c h f o l d ,

v e r a n d o m r e s t a r t s w e r e r u n t o r e d u c e t h e c h a n c e o f

t h e B a u m - W e l c h t r a i n i n g a l g o r i t h m l o c a t i n g a s p u r i o u s l y

p o o r l o c a l m a x i m u m M L p a r a m e t e r e s t i m a t e . A l l t e s t s

w e r e r e p e a t e d f o r e a c h f o l d a n d r e s t a r t , a n d r e s u l t s w e r e

a v e r a g e d a c r o s s r e s t a r t s .

F r o m e a c h t e s t s e t , a p r o l e H M M w a s c o n s t r u c t e d

w i t h l = 1 0 0 ( t h e w i n d o w l e n g t h f o r s e q u e n c e a l i g n -

m e n t , S e c t i o n 2 . 5 ) . T o e x a m i n e t h e i m p a c t o f K o n

s e n s o r p e r f o r m a n c e , w e c o n s t r u c t e d m o d e l s w i t h K 2

f 1 ; 2 ; 1 5 ; 3 0 ; 5 0 g . T h e r e s u l t i n g p r o l e w a s t e s t e d a g a i n s t

t h e c o r r e s p o n d i n g t e s t s e t f o r e a c h u s e r ( a t o t a l o f 8

2

t e s t

p a i r i n g s ) . A \ s e l f " t e s t p a i r i n g | t e s t i n g t h e p r o l e d

u s e r ' s d a t a a g a i n s t h i s o r h e r o w n p r o l e | a l l o w s u s

t o e x a m i n e f a l s e a l a r m r a t e s w h i l e a \ n o n - s e l f " p a i r i n g

a l l o w s u s t o e x a m i n e f a l s e a c c e p t r a t e s .

T h e a c c e p t a b l e f a l s e a l a r m r a t e , r , d e t e r m i n e s h o w

t h e c l a s s i c a t i o n t h r e s h o l d s , t

m a x

a n d t

m i n

, a r e s e t a n d

h a s a s u b s t a n t i a l i m p a c t o n t h e t r a d e o b e t w e e n f a l s e

a l a r m a n d f a l s e a c c e p t e r r o r s . B e c a u s e t h e n o t i o n o f

\ a c c e p t a b l e " f a l s e a l a r m r a t e i s a s i t e - d e p e n d e n t p a -

r a m e t e r , w e w i s h t o c h a r a c t e r i z e t h e p e r f o r m a n c e o f

t h e s y s t e m a c r o s s a s p e c t r u m o f r a t e s . W e t o o k r 2

f 0 : 5 ; 1 ; 2 ; 5 ; 1 0 g % w h i c h y i e l d s a p e r f o r m a n c e c u r v e f o r

e a c h p r o l e / t e s t s e t p a i r . T h i s c u r v e , w h i c h e x p r e s s e s

4

E . g . w e h a v e f o u n d t h a t o u r u s e r s t e n d t o e x p e r i e n c e l a r g e

b e h a v i o r a l c h a n g e s a t t h e b e g i n n i n g o f a c a d e m i c s e m e s t e r s .

T h e b a t c h m o d e d e t e c t i o n s y s t e m p r e s e n t e d h e r e i s h i g h l y

s e n s i t i v e t o s u c h c h a n g e s .

t h e t r a d e o b e t w e e n f a l s e a l a r m a n d f a l s e a c c e p t e r -

r o r s w i t h r e s p e c t t o r , i s k n o w n a s a R e c e i v e r O p e r a t -

i n g C h a r a c t e r i s t i c ( R O C ) c u r v e ,

P r o v o s t a n d F a w c e t t ,

1 9 9 8

]

. A n R O C c u r v e a l l o w s t h e u s e r t o e v a l u a t e t h e

p e r f o r m a n c e o f a s y s t e m u n d e r d i e r e n t o p e r a t i n g c o n -

d i t i o n s o r t o s e l e c t t h e o p t i m a l o p e r a t i n g p o i n t f o r a

g i v e n c o s t t r a d e o i n c l a s s i c a t i o n e r r o r s .

4 E x p e r i m e n t a l R e s u l t s

I n t h i s s e c t i o n w e p r e s e n t t h e r e s u l t s o f o u r e m p i r i c a l

e v a l u a t i o n s o f H M M s a s u s e r m o d e l s . O u r r s t e x p e r -

i m e n t e x p l o r e s t h e p e r f o r m a n c e o f 5 0 s t a t e ( K = 5 0 )

m o d e l s . W e c o m p a r e t h e p e r f o r m a n c e v a l u e s o f t h e s e

m o d e l s t o t h o s e w i t h o t h e r v a l u e s o f K i n S e c t i o n 4 . 2 .

4 . 1 B a s e S y s t e m P e r f o r m a n c e

F i g u r e 2 d i s p l a y s a n e x a m p l e o f a c c u r a c y , ( a ) , a n d t i m e -

t o - a l a r m ( T T A ) , ( b ) r e s u l t s f o r o n e t e s t f o l d o f a s i n g l e

p r o l e ( t h a t o f U S E R 0 ) . E a c h c o l u m n i n t h e s e p l o t s d i s -

p l a y s t h e p e r f o r m a n c e r e s u l t s f o r a s i n g l e t e s t s e t w h e n

t e s t e d a g a i n s t t h e p r o l e . F o r a c c u r a c y r e s u l t s , w h e n

t h e t e s t s e t o r i g i n a t e s w i t h t h e p r o l e d u s e r ( i . e . U S E R 0

t e s t e d a g a i n s t P r o l e 0 ) , t h e r e s u l t s i n d i c a t e t h e a b i l -

i t y t o c o r r e c t l y i d e n t i f y t h e v a l i d u s e r ( t r u e a c c e p t r a t e ) .

T h i s c o n d i t i o n i s d e n o t e d w i t h a n \ o " s y m b o l o n t h e p l o t .

W h e n t h e t e s t s e t o r i g i n a t e s w i t h a d i e r e n t u s e r ( e . g .

U S E R 3 t e s t e d a g a i n s t P r o l e 0 ) , t h e r e s u l t s i n d i c a t e t h e

a b i l i t y t o c o r r e c t l y a g a n a n o m a l o u s c o n d i t i o n ( t r u e d e -

t e c t r a t e ) . T h i s c o n d i t i o n i s d e n o t e d w i t h a \ + " s y m b o l

o n t h e p l o t . F o r b o t h c l a s s e s o f t e s t s i n F i g u r e 2 , a c c u -

r a c y i s i n c r e a s i n g i n t h e p o s i t i v e d i r e c t i o n o n t h e Y a x i s .

T h e s p e c t r u m o f r e s u l t s i n e a c h c o l u m n i s g e n e r a t e d b y

t e s t i n g a t d i e r e n t v a l u e s o f r , t h e a c c e p t a b l e f a l s e a c -

c e p t r a t e , a s d e s c r i b e d i n S e c t i o n s 2 . 4 a n d 3 . 3 . B e c a u s e

r e n c o d e s t h e s i z e o f t h e a c c e p t a n c e r e g i o n , i t y i e l d s a

t r a d e o i n d e t e c t v e r s u s a c c e p t a c c u r a c i e s . T h e s m a l l e s t

v a l u e o f r t e s t e d ( r = 0 : 5 % ) y i e l d s t h e w i d e s t a c c e p t a n c e

r e g i o n a n d c o r r e s p o n d s t o t h e h i g h e s t ( m o s t a c c u r a t e )

p o i n t o n t h e t r u e a c c e p t c o l u m n ( U S E R 0 ) . B u t b e c a u s e

t h e a c c e p t a n c e r e g i o n i s w i d e , m o r e a n o m a l o u s p o i n t s

f a l l i n t o i t a n d a r e a c c e p t e d f a l s e l y . T h u s , t h i s v a l u e o f

r c o r r e s p o n d s t o t h e l o w e s t a c c u r a c y i n e a c h o f t h e t r u e

d e t e c t c o l u m n s ( U S E R 1 { 7 ] ) .

T i m e - t o - a l a r m r e s u l t s a r e d i s p l a y e d a n a l o g o u s l y b u t

a r e n o t l i m i t e d t o a 0 { 1 r a n g e . N o t e t h a t t h e v e r t i c a l

( t i m e ) a x i s i s l o g a r i t h m i c , a n d t h a t t h e t i m e s - t o - a l a r m

f o r t h e p r o l e d u s e r a r e n e a r l y a n o r d e r o f m a g n i t u d e

l a r g e r t h a n t h o s e f o r t h e o p p o n e n t s . T h i s i s t h e d e s i r e d

r e s u l t b e c a u s e w e w i s h t i m e s t o b e l o n g f o r t h e p r o l e d

u s e r s o t h a t f a l s e a l a r m s a r e g e n e r a t e d r a r e l y , b u t s h o r t

f o r t h e o p p o n e n t u s e r s s o t h a t a h o s t i l e i m p o s t e r c a n b e

d e t e c t e d q u i c k l y .

U S E R 0 w a s c h o s e n f o r d i s p l a y h e r e t o h i g h l i g h t a n u m -

b e r o f f e a t u r e s o f t h e H M M u s e r p r o l i n g s e n s o r . F i r s t

i s t h a t a c c u r a c y i s h i g h l y s e n s i t i v e t o t h e p a r t i c u l a r o p -

p o n e n t . F o r e x a m p l e , t e s t i n g w i t h r e s p e c t t o U S E R 5

y i e l d s f a r d i e r e n t d e t e c t i o n a c c u r a c i e s t h a n d o e s t e s t i n g

o n U S E R 7 . S e c o n d , a l t h o u g h t h e a c c e p t a b l e f a l s e a l a r m


6/10

U SE R0 US ER 1 U SE R2 U SE R3 U SE R4 U SE R5 U SE R6 U SE R70

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9

1

Accuracy

Tested User

Profile 0

USER0 USER1 USER2 USER3 USER4 USER5 USER6 USER710

3

102

101

100

101

102

TimetoAlarm

Tested User

Profile 0

( a ) ( b )

F i g u r e 2 : A c c u r a c i e s , ( a ) , a n d m e a n t i m e s - t o - a l a r m , ( b ) , f o r a n H M M m o d e l ( K = 5 0 ) o f U S E R 0 ' s b e h a v i o r s .

r a t e p a r a m e t e r , r , w a s t e s t e d a c r o s s t h e r a n g e 0 . 5 % { 1 0 % ,

a l l o f t h e o b s e r v e d f a l s e a l a r m r a t e s a r e g r e a t e r t h a n t h i s

( 8 . 3 % { 1 8 . 3 % ) . T h i s i s a r e s u l t o f t h e t r a i n i n g a n d p a -

r a m e t e r i z a t i o n d a t a f a i l i n g t o f u l l y r e e c t t h e b e h a v i o r a l

d i s t r i b u t i o n p r e s e n t i n t h e t e s t i n g d a t a . B e c a u s e t h e u s e r

h a s c h a n g e d b e h a v i o r s o r t a s k s o v e r t h e i n t e r v a l b e t w e e n

t h e g e n e r a t i o n o f t r a i n i n g a n d t e s t i n g d a t a , t h e p r o l e

d o e s n o t i n c l u d e a l l o f t h e b e h a v i o r s p r e s e n t i n t h e t e s t

d a t a . T h i s p h e n o m e n o n i s a c t u a l l y e x a c e r b a t e d b y t h e

b a t c h - m o d e e x p e r i m e n t a l s e t u p u s e d h e r e . W e h a v e i n -

v e s t i g a t e d o n l i n e t e c h n i q u e s f o r t h i s d o m a i n w h i c h e m -

p l o y a n i n s t a n c e b a s e d l e a r n i n g t e c h n i q u e ( I B L ) ,

L a n e

a n d B r o d l e y , 1 9 9 8

]

, a n d h a v e f o u n d t h a t t h e y d o p e r f o r m

b e t t e r t h a n t h e c o r r e s p o n d i n g b a t c h - m o d e I B L s e n s o r s .

I n f u t u r e w o r k , w e w i l l b e i n v e s t i g a t i n g t e c h n i q u e s f o r

o n l i n e v e r s i o n s o f t h e H M M u s e r m o d e l i n g s e n s o r .

T h e c o m p l e t e s e t o f r e s u l t s f o r a l l p r o l e s a n d f o l d s f o r

t h e H M M u s e r m o d e l w i t h K = 5 0 i s s h o w n i n F i g u r e 3 .

T h e s e p l o t s a r e i n t e n d e d n o t a s a r e f e r e n c e f o r i n d i v i d u a l

a c c u r a c y o r t i m e - t o - a l a r m ( T T A ) v a l u e s , b u t t o c o n v e y

a s e n s e o f t h e g e n e r a l p e r f o r m a n c e o f t h e a n o m a l y d e t e c -

t i o n s e n s o r u n d e r d i e r e n t o p e r a t i n g c o n d i t i o n s a n d t o

h i g h l i g h t s o m e b e h a v i o r a l c h a r a c t e r i s t i c s o f t h e d e t e c t i o n

s y s t e m . I n t h e s e p l o t s , e a c h c o l u m n d i s p l a y s t h e r e s u l t s

f o r a s i n g l e u s e r ' s p r o l e ( t h e s a m e d a t a a s a r e d i s p l a y e d

f o r U S E R 0 i n F i g u r e 2 ) . N o w , h o w e v e r , a l l t h r e e f o l d s

a r e g i v e n f o r e a c h p r o l e .

T h e p r i m a r y p o i n t o f i n t e r e s t i n t h e s e p l o t s i s t h a t

t r u e a c c e p t a n c e a b i l i t i e s ( a b i l i t y t o c o r r e c t l y i d e n t i f y t h e

p r o l e d u s e r a s h i m o r h e r s e l f ) i s g e n e r a l l y g o o d a s e v i -

d e n c e d b y h i g h a c c u r a c i e s a n d l o n g t i m e s t o g e n e r a t i o n

o f f a l s e a l a r m s ( i . e . t h e \ o " s y m b o l s a r e c l u s t e r e d t o w a r d

t h e t o p o f e a c h Y a x i s ) . I n a d d i t i o n , t h e t r u e d e t e c t i o n

a b i l i t i e s ( a b i l i t y t o c o r r e c t l y i d e n t i f y t h a t a n i m p o s t e r

i s n o t t h e p r o l e d u s e r ) a r e g e n e r a l l y f a i r t o g o o d a s

e v i d e n c e d b y r e a s o n a b l e a c c u r a c i e s a n d s h o r t t i m e s t o

g e n e r a t i o n o f t r u e a l a r m s . N o t e t h a t m e d i o c r e t r u e d e -

t e c t i o n a b i l i t i e s m a y b e a c c e p t a b l e b e c a u s e e a c h i n t r u d e r

n e e d b e c a u g h t o n l y o n c e .

T h e o b v i o u s a n d n o t a b l e e x c e p t i o n t o t h e g e n e r a l p e r -

f o r m a n c e t r e n d s i s U S E R 4 . W h i l e t h e s e n s o r d i s p l a y s

s t r o n g t r u e a c c e p t a b i l i t i e s w i t h r e s p e c t t o t h i s u s e r , i t

p r o v i d e s o n l y p o o r t r u e d e t e c t i o n a b i l i t i e s . T h i s i s a n

e x a m p l e o f t h e d e c i s i o n t h r e s h o l d s ( t

m a x

a n d t

m i n

, a s d e -

s c r i b e d i n S e c t i o n 2 . 4 ) b e i n g s e t t o a r t i c i a l l y e x t r e m e

v a l u e s , r e s u l t i n g i n a s p u r i o u s l y l a r g e a c c e p t a n c e r e g i o n .

T h u s , t h e s y s t e m h a s e e c t i v e l y d e c i d e d t h a t \ e v e r y -

t h i n g i s U S E R 4 " , a n d n o r e a l d i e r e n t i a t i o n i s b e i n g

d o n e | i t i s s i m p l y a c c e p t i n g m o s t b e h a v i o r s a s n o r m a l .

E x a m i n a t i o n o f U S E R 4 ' s t r a i n i n g d a t a r e v e a l s t h a t t h i s

u s e r a p p e a r s t o d e v o t e e n t i r e s h e l l s e s s i o n s t o s i n g l e t a s k s

( s u c h a s t h e c o m p i l e - d e b u g c y c l e ) w h i c h a p p e a r a s r a t h e r

r e p e t i t i o u s a n d m o n o t o n o u s p a t t e r n s . B e c a u s e t h i s u s e r

i s w o r k i n g i n t h e X - W i n d o w s e n v i r o n m e n t , t a s k s c a n b e

a s s i g n e d t o s i n g l e s h e l l s e s s i o n s , a n d t h o s e s h e l l s e s s i o n s

m a y b e l o n g - l i v e d ( s o m e w e r e o v e r 2 , 0 0 0 c o m m a n d s ) .

T h u s , t h e t r a i n i n g d a t a m a y d i s p l a y o n l y o n e o r t w o s e s -

s i o n s a n d a v e r y s m a l l n u m b e r o f b e h a v i o r s , w h i l e t h e

p a r a m e t e r s e l e c t i o n d a t a d i s p l a y s a d i e r e n t ( b u t a l s o

s m a l l ) s e t o f b e h a v i o r s . B e c a u s e t h e r e m a y b e l i t t l e o v e r -

l a p b e t w e e n t r a i n i n g a n d p a r a m e t e r s e l e c t i o n d a t a , t h e

o b s e r v e d s i m i l a r i t y - t o - p r o l e f r e q u e n c y d i s t r i b u t i o n m a y

b e d i s t o r t e d a n d t h e s e l e c t e d d e c i s i o n t h r e s h o l d s w o u l d

t h e n b e p o o r l y c h o s e n .

A c o n v e r s e b e h a v i o r o c c u r s w i t h P r o l e 1 o n f o l d 2

( t h e s e t o f c i r c l e s a t t h e l o w e s t e n d o f P r o l e 1 i n F i g u r e

3 ) . T h i s p r o l e d i s p l a y s r e l a t i v e l y l o w t r u e a c c e p t r a t e s

i n c o m p a r i s o n t o o t h e r p r o l e s a n d f o l d s , b u t v e r y h i g h

t r u e d e t e c t r a t e s ( o f t e n 1 0 0 % ) . T h i s i s a n e x a m p l e o f t h e

u s e r m o d e l d e c i d i n g t h a t \ n o t h i n g i s U S E R 1 " b e c a u s e

t h e a c c e p t a n c e r e g i o n h a s b e e n s e t t o o n a r r o w l y . A s

w i t h U S E R 4 , t h i s a r i s e s b e c a u s e d i e r e n t b e h a v i o r s a r e

d i s p l a y e d i n t h e t r a i n i n g a n d t e s t i n g d a t a . I n t h i s c a s e ,

t h e p a r a m e t e r s e l e c t i o n d a t a r e e c t s t h e t r a i n i n g d a t a

w e l l , b u t t h e t e s t d a t a i s d i e r e n t f r o m b o t h o f t h e m .

A s a r e s u l t , t h e a c c e p t a n c e r a n g e i s n a r r o w l y f o c u s e d t o

h i g h - s i m i l a r i t y b e h a v i o r s , b u t t h e b e h a v i o r s e n c o u n t e r e d

i n t h e t e s t i n g d a t a h a v e l o w e r s i m i l a r i t y .


7/10

Profi le 0 Profi le 1 Profi le 2 Profi le 3 Prof ile 4 Profi le 5 Profi le 6 Profi le 70

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9

1

Accuracy

Profi le 0 Profi le 1 Profi le 2 Profi le 3 Profi le 4 Profi le 5 Profi le 6 Profi le 710

1

100

101

102

103

TimetoAlarm

( a ) ( b )

F i g u r e 3 : R e s u l t s f o r a l l u s e r p r o l e s a n d f o l d s . E a c h c o l u m n n o w d i s p l a y s a s i n g l e p r o l e t e s t e d a g a i n s t a l l t e s t s e t s

( i . e . e a c h c o l u m n i s t h e e q u i v a l e n t o f F i g u r e 2 ) .

4 . 2 N u m b e r o f H i d d e n S t a t e s

A n o p e n q u e s t i o n i n t h e u s e o f H M M s f o r m o d e l i n g i s

t h e c h o i c e o f K , t h e n u m b e r o f h i d d e n s t a t e s . W h e n t h e

s t a t e s h a v e a c l e a r d o m a i n i n t e r p r e t a t i o n , a s f o r e x a m -

p l e i n f a u l t m o n i t o r i n g , t h e v a l u e o f K m a y b e n a t u r a l l y

d i c t a t e d b y t h e d o m a i n . W h e n K i s n o t s o c o n v e n i e n t l y

a v a i l a b l e , h o w e v e r , w e c a n e m p l o y a n e m p i r i c a l a n a l y s i s

t o d i s c o v e r a n a p p r o p r i a t e v a l u e . T o e x a m i n e t h e i m -

p a c t o f K o n s e n s o r p e r f o r m a n c e , w e c o n s t r u c t e d m o d -

e l s w i t h K 2 f 1 ; 2 ; 1 5 ; 3 0 g a n d t e s t e d t h e m u n d e r t h e

s a m e c o n d i t i o n s u s e d f o r K = 5 0 . T h e c a s e K = 1 i s

a d e g e n e r a t e f o r m o f a n H M M e q u i v a l e n t t o f r e q u e n c y

e s t i m a t i o n o f t h e a l p h a b e t s y m b o l s w i t h a l l t i m e s t e p s

o f t h e s e q u e n c e d a t a c o n s i d e r e d t o b e s t a t i s t i c a l l y i n d e -

p e n d e n t . E e c t i v e l y , t h e d a t a i s c o n s i d e r e d t o h a v e b e e n

g e n e r a t e d b y a m u l t i n o m i a l p r o c e s s w i t h j j e l e m e n t s

d r a w n a c c o r d i n g t o t h e d i s t r i b u t i o n B ( t h e o u t p u t s y m -

b o l g e n e r a t i o n d i s t r i b u t i o n ) . B e c a u s e t h e K = 1 c a s e

h a s d i e r e n t q u a l i t a t i v e b e h a v i o r s t h a n t h e o t h e r c a s e s ,

w e d i s c u s s i t s e p a r a t e l y .

R e s u l t s f o r t h e K = 1 c a s e a r e d i s p l a y e d i n F i g u r e 4 .

T h e s e g u r e s a r e c o m p a r a t i v e , p l o t t i n g t h e r e s u l t s f o r

t h e K = 1 m o d e o n t h e v e r t i c a l v e r s u s r e s u l t s f o r t h e

K = 5 0 m o d e o n t h e h o r i z o n t a l . T h e d i a g o n a l l i n e i s

t h e i s o - p e r f o r m a n c e s u r f a c e , a n d p o i n t s f a l l i n g a b o v e i t

i n d i c a t e h i g h e r p e r f o r m a n c e b y t h e K = 1 s e n s o r , w h i l e

p o i n t s f a l l i n g t o t h e r i g h t o f i t i n d i c a t e h i g h e r p e r f o r -

m a n c e b y t h e K = 5 0 s e n s o r .

T h e g e n e r a l r e s u l t o f F i g u r e 4 i s t h a t t h e 5 0 s t a t e

H M M h a s m u c h s t r o n g e r t r u e d e t e c t i o n a c c u r a c i e s a n d

T T A s . A n d t h o u g h t h e t r u e a c c e p t p o i n t s a r e s c a t t e r e d

m o r e u n i f o r m l y a c r o s s t h e i s o - p e r f o r m a n c e s u r f a c e ( 6 1 o f

t h e 1 2 0 t r u e a c c e p t a c c u r a c y m e a s u r e m e n t s f a l l o n t h e

K = 5 0 s i d e o f t h e l i n e ) , t h e K = 5 0 s y s t e m a p p e a r s t o

h a v e a s l i g h t m a r g i n , a t a n a v e r a g e o f 1 % h i g h e r t r u e a c -

c e p t a c c u r a c y

5

t h a n t h a t r e p o r t e d b y t h e K = 1 s y s t e m .

5

T o m e a s u r e t h e r e l a t i v e a c c u r a c y p e r f o r m a n c e b e t w e e n

t w o s y s t e m s , w e e m p l o y a m e a n o f a c c u r a c y v a l u e d i e r e n c e s .

T h u s , t h e d i e r e n c e i n t r u e d e t e c t r a t e s b e t w e e n m e t h o d 1

A t r s t a p p e a r a n c e , t h e s e r e s u l t s , w h i l e s l i g h t , s e e m t o

i n d i c a t e a t l e a s t t h a t t h e K = 5 0 s e n s o r i s p e r f o r m i n g n o

w o r s e t h a n i s t h e K = 1 s e n s o r i n t e r m s o f t r u e a c c e p t

a c c u r a c y a n d b e t t e r i n t e r m s o f t r u e d e t e c t i o n . T h e s i t u -

a t i o n b e c o m e s s o m e w h a t m o r e c o n f u s e d , h o w e v e r , w h e n

m e a n t i m e - t o - a l a r m i s c o n s i d e r e d . I n t h i s d i m e n s i o n , t h e

K = 5 0 m o d e l h a s s u p e r i o r t i m e t o f a l s e a l a r m , a t a n a v -

e r a g e o f 1 5 . 6 t o k e n s l o n g e r t h a n K = 1 , b u t i n f e r i o r t i m e

t o t r u e a l a r m a t 3 6 . 9 t o k e n s l o n g e r . I t t u r n s o u t t h a t t h i s

i s s k e w e d b y U S E R 4 ( n o t e t h a t t h e l o g a r i t h m i c r a n g e o f

t h e T T A d a t a a l l o w s a s i n g l e u s e r t o s i g n i c a n t l y s k e w a

s i m p l e a d d i t i v e m e a n ) . W h i l e t h e K = 1 m o d e l a l s o s u f -

f e r s f r o m t h e \ e v e r y t h i n g i s U S E R 4 " s y n d r o m e , i t d o e s

s o t o a m u c h l e s s e r d e g r e e t h a n d o e s t h e K = 5 0 m o d e l

a n d , t h u s , a p p e a r s t o b e f a r m o r e e e c t i v e a t s e p a r a t -

i n g o t h e r u s e r s f r o m U S E R 4 . W h e n U S E R 4 i s r e m o v e d

f r o m t h e s a m p l e , t h e d i e r e n c e s b e t w e e n K = 5 0 a n d

K = 1 i n t h e T T A d o m a i n f a v o r K = 5 0 , f o r w h i c h t h e

m e a n T T A i s 1 4 . 6 t o k e n s l o n g e r f o r f a l s e a l a r m s a n d 1 4 . 4

t o k e n s s h o r t e r f o r t r u e a l a r m s .

R e s u l t s c o m p a r i n g t h e s e n s o r s y s t e m a t K = 2 , a n d

3 0 t o K = 5 0 a r e g i v e n i n F i g u r e 5 ( w e o m i t K = 1 5 , a s

i t f a l l s o n t h e s p e c t r u m b e t w e e n K = 2 a n d K = 3 0 b u t

i s n o t o t h e r w i s e u n u s u a l ) . A g a i n , v a l u e s f o r K = 5 0 a r e

p l o t t e d o n t h e h o r i z o n t a l w h i l e v a l u e s f o r o t h e r s e t t i n g s

o f K a p p e a r o n t h e i r r e s p e c t i v e v e r t i c a l a x e s .

F i g u r e 5 r e e c t s a t r e n d w h i c h i s m o s t d r a m a t i c i n t h e

K = 2 p l o t s a n d w h i c h b e c o m e s l e s s p r o n o u n c e d a s K

i n c r e a s e s . T h e g e n e r a l r e s u l t i s t h a t t h e K = 5 0 s e n s o r

h a s s u p e r i o r o r e q u i v a l e n t t r u e a c c e p t a c c u r a c i e s , b u t i n -

f e r i o r t r u e d e t e c t a c c u r a c i e s ( a l b e i t b y a n a r r o w m a r g i n ,

o n a v e r a g e ) . T h e q u a l i t a t i v e r e s u l t i n t h e T T A d o m a i n

i s s i m i l a r , b u t t h e a g g r e g a t e r e s u l t s a r e s k e w e d b y a f e w

o f t h e t e s t e d u s e r s | i n t h i s c a s e U S E R 0 , U S E R 1 , a n d

a n d m e t h o d 2 i s :

1

N

X

t 2 o p p o n e n t t e s t s e t s

( a c c u r a c y

m e t h o d 1

( t ) a c c u r a c y

m e t h o d 2

( t ) )

w h e r e N i s t h e n u m b e r o f o p p o n e n t t e s t s e t s .


8/10

0 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0.9 10

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9

1Comparative Accuracies

K=50

K=1

101

100

101

102

103

101

100

101

102

103

Comparative Mean Times to Alarm

K=50

K=1

( a ) ( b )

F i g u r e 4 : C o m p a r i s o n s o f H M M u s e r m o d e l s w i t h K = 1 ( v e r t i c a l a x i s ) t o K = 5 0 ( h o r i z o n t a l a x i s ) . A c c u r a c i e s

a p p e a r i n ( a ) a n d T T A s i n ( b ) . T h e \ o " s y m b o l s d e n o t e t r u e a c c e p t r a t e s a n d m e a n t i m e s t o f a l s e a l a r m s a n d t h e

\ + " s y m b o l s d e n o t e t r u e d e t e c t r a t e s a n d m e a n t i m e s t o t r u e a l a r m s .

U S E R 5 . T h e s t r u c t u r e o f t h i s t r e n d i s o p e n t o m u l t i p l e

i n t e r p r e t a t i o n s . T h e \ i m p r o v e d t r u e a c c e p t c o u p l e d w i t h

d e g r a d e d t r u e d e t e c t p e r f o r m a n c e " c a n b e v i e w e d a s a n

i n d i c a t i o n t h a t K = 5 0 i s s u b j e c t t o t h e \ e v e r y b o d y

i s t h e p r o l e d u s e r " d i c u l t y w i t h r e s p e c t t o s m a l l e r

v a l u e s o f K . W e c a n , h o w e v e r , t a k e t h e c o n v e r s e i n -

t e r p r e t a t i o n t h a t t h e m o d e l s w i t h s m a l l e r v a l u e s o f K

a r e e v i d e n c i n g a \ n o b o d y i s t h e p r o l e d u s e r " p r o b l e m .

T h u s , t h e s p e c t r u m o f v a l u e s o f K r e p r e s e n t s a s p e c t r u m

o f t r a d e o s b e t w e e n u s e r - o r i e n t e d ( a t l a r g e v a l u e s o f K )

a n d i m p o s t e r - o r i e n t e d ( a t s m a l l v a l u e s o f K ) . T h i s o b -

s e r v a t i o n i s c o m p a t i b l e w i t h t h e i n t e r p r e t a t i o n t h a t t h e

m o d e l s w i t h l a r g e r K ' s a r e e n c o d i n g a b r o a d e r r a n g e

o f u s e r b e h a v i o r s t h a n a r e t h e s m a l l e r m o d e l s , a l t h o u g h

m o r e i n v e s t i g a t i o n i s r e q u i r e d t o v e r i f y t h i s h y p o t h e s i s .

I n g e n e r a l , t h e o p t i m a l n u m b e r o f h i d d e n s t a t e s f o r m a x -

i m u m d i s c r i m i n a b i l i t y i s u s e r d e p e n d e n t a n d s e e m s t o

b e r e l a t e d t o t h e s y n t a c t i c c o m p l e x i t y d i s p l a y e d i n t h e

u s e r ' s d a t a . F o r e x a m p l e , U S E R 4 ' s d a t a , w h i c h i s e x -

t r e m e l y r e p e t i t i v e a n d e m p l o y s o n l y s i m p l e s h e l l c o m -

m a n d s , i s b e s t m o d e l e d b y a s i n g l e s t a t e m o d e l w h i l e

U S E R 7 ' s d a t a , w h i c h d i s p l a y s s o m e c o m p l e x s h e l l a c -

t i o n s s u c h a s m u l t i - s t a g e p i p e l i n e s , i s b e s t m o d e l e d b y a

1 5 s t a t e H M M .

5 E x t e n s i o n s a n d I m p l i c a t i o n s

T h e t e c h n i q u e s p r e s e n t e d h e r e a r e n o t l i m i t e d s o l e l y

t o t h e d o m a i n o f a n o m a l y d e t e c t i o n n o r t o e x p l i c i t l y

s e c u r i t y - o r i e n t e d t a s k s . A n u m b e r o f o t h e r p o s s i b l e u s e s

c o u l d b e r e a l i z e d w i t h s t r a i g h t f o r w a r d m o d i c a t i o n s t o

t h i s f r a m e w o r k .

U s e r I d e n t i c a t i o n T h e m o s t o b v i o u s e x t e n s i o n t o

t h i s w o r k i s t h e c a p a c i t y t o i d e n t i f y o n e p a r t i c u -

l a r u s e r f r o m a s e t o f k n o w n u s e r s s o l e l y t h r o u g h

b e h a v i o r a l c h a r a c t e r i s t i c s . T h i s u s e , h o w e v e r , i s

a l s o m o s t l y o f s e c u r i t y i n t e r e s t , a s m e t h o d s s u c h a s

p a s s w o r d o r p h y s i c a l t o k e n s c a n i d e n t i f y u s e r s m o r e

q u i c k l y a n d a c c u r a t e l y w h e n t h e y c a n b e t r u s t e d .

T h e o n l i n e m o n i t o r i n g a p p r o a c h t o i d e n t i c a t i o n

s e r v e s m a i n l y a s a v e r i c a t i o n o f a n d b a c k u p t o p r i -

m a r y i d e n t i c a t i o n t e c h n i q u e s .

G r o u p I d e n t i c a t i o n A m o r e v i s i b l y u s e f u l e x t e n s i o n

i s t o i d e n t i f y u s e r s a s m e m b e r s o f g r o u p s r a t h e r t h a n

a s i n d i v i d u a l s . B y c o n s t r u c t i n g m o d e l s o f a g r o u p ' s

e x e m p l a r b e h a v i o r s , a n i n d i v i d u a l c a n b e a u t o m a t i -

c a l l y a s s i g n e d t o a g r o u p a n d i n h e r i t e n v i r o n m e n t a l

c u s t o m i z a t i o n s a p p r o p r i a t e t o t h a t g r o u p ' s n e e d s .

B e h a v i o r a l I d e n t i c a t i o n A t a n e r g r a i n , a u s e r ' s

b e h a v i o r s m a y b e s e g m e n t e d b y c l a s s ( e . g . w r i t i n g ,

p l a y , c o d i n g , w e b s u r n g ) . S u c h a n a p p r o a c h h a s

b e e n e x a m i n e d w i t h m a n u a l l y c o n s t r u c t e d H M M s

b y O r w a n t ,

O r w a n t , 1 9 9 5

]

. B y a n a l y z i n g t h e s u b -

s t r u c t u r e o f t h e i n t e r c o n n e c t i o n s i n a n a u t o m a t i -

c a l l y g e n e r a t e d H M M , b e h a v i o r a l c l a s s e s m i g h t b e

a u t o m a t i c a l l y i d e n t i e d a n d a s s o c i a t e d w i t h a p p r o -

p r i a t e r e s p o n s e s f o r a u s e r i n t e r f a c e .

B e h a v i o r a l P r e d i c t i o n H M M s c a n b e r u n n o t o n l y a s

o b s e r v a t i o n a l m o d e l s b u t a l s o a s g e n e r a t i v e m o d e l s .

I n s u c h a f r a m e w o r k , t h e y c o u l d b e u s e d t o p r e d i c t

a u s e r ' s n e x t a c t i o n s a n d p r o v i d e t i m e - s a v i n g s h o r t -

c u t s ( s u c h a s o p e n i n g m e n u s o r i n i t i a t i n g e x p e n s i v e

c o m p u t a t i o n s e a r l y ) .

T h e o b s e r v a t i o n t h a t U S E R 4 , f o r e x a m p l e , d i s p l a y s

q u a l i t a t i v e l y d i e r e n t b e h a v i o r s t h a n d o o t h e r u s e r s ( b e -

c a u s e U S E R 4 i s m o d e l e d m o r e e e c t i v e l y b y t h e s i n g l e

s t a t e m o d e l w h i l e t h e o t h e r u s e r s a r e m o d e l e d m o r e e f -

f e c t i v e l y b y t h e m u l t i - s t a t e m o d e l s ) i n d i c a t e s t h a t t h e

H M M f r a m e w o r k i s c a p a b l e o f d i s c e r n i n g s o m e t y p e s o f

b e h a v i o r a l g r o u p i n g s . T h e r e s u l t s o n c h o i c e o f K a r e

a l s o c o n s i s t e n t w i t h t h e i n t e r p r e t a t i o n t h a t u s e r s f a l l

a l o n g a s p e c t r u m o f b e h a v i o r a l c o m p l e x i t i e s w h i c h c a n

b e i d e n t i e d b y m o d e l s o f d i e r i n g c o m p l e x i t y . U n d e r

t h e p r i v a c y - o r i e n t e d f r a m e w o r k e m p l o y e d h e r e , i t i s d i f -

c u l t t o e m p l o y s o m e o f t h i s k n o w l e d g e b e c a u s e c r o s s -


9/10

0 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0.9 10

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9


K=50

K=2

101

100

101

102

103

101

100

101

102

103


K=50

K=2

( a ) ( b )

0 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0.9 10

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9


K=50

K=30

101

100

101

102

103

101

100

101

102

103


K=50

K=30

( c ) ( d )

F i g u r e 5 : C o m p a r i s o n s o f K = 2 , ( a ) a n d ( b ) a n d K = 3 0 , ( e ) a n d ( f ) , ( o n t h e i r r e s p e c t i v e v e r t i c a l a x e s ) t o K = 5 0

( h o r i z o n t a l a x i s ) .

v a l i d a t i o n t e s t i n g i s i m p o s s i b l e , b u t i n a l e s s c o n s t r a i n e d

s e t t i n g t h e s e t y p e s o f d i s t i n c t i o n s c o u l d b e e x t r a c t e d

f a i r l y e a s i l y a n d u s e d t o a s s i s t t h e u s e r .

6 C o n c l u s i o n s a n d F u t u r e W o r k

W e h a v e d e m o n s t r a t e d t h e u s e o f h i d d e n M a r k o v m o d e l s

f o r u s e r p r o l i n g i n t h e d o m a i n o f a n o m a l y d e t e c t i o n .

T h e k e y r e s u l t s o f t h e e m p i r i c a l i n v e s t i g a t i o n a r e :

H M M s c a n b e u s e d t o i d e n t i f y u s e r s b y t h e i r c o m -

m a n d l i n e b e h a v i o r a l p a t t e r n s .

T h e s e m o d e l s s u e r f r o m t w o g e n e r a l c l a s s e s o f e r -

r o r s : o v e r l y p e r m i s s i v e ( \ e v e r y b o d y i s t h e p r o l e d

u s e r " ) a n d o v e r l y r e s t r i c t i v e ( \ n o b o d y i s t h e p r o l e d

u s e r " ) .

T h e n u m b e r o f h i d d e n s t a t e s i n t h e H M M r e p r e -

s e n t s a s p e c t r u m o f t r a d e o s b e t w e e n t h e s e t w o e r -

r o r c l a s s e s . L a r g e r m o d e l s w e r e f o u n d t o b e m o r e

e e c t i v e a t i d e n t i f y i n g t h e v a l i d u s e r , w h i l e s m a l l e r

m o d e l s w e r e g e n e r a l l y b e t t e r a t d i s c e r n i n g i m p o s -

t o r s .

T h e o p t i m a l n u m b e r o f h i d d e n s t a t e s i s u s e r -

d e p e n d e n t a n d a p p e a r s t o r e e c t a m e a s u r e o f t h e

s y n t a c t i c c o m p l e x i t y p r e s e n t i n t h e c o m m a n d l i n e

d a t a .

W e f o u n d t h a t s i n g l e - s t a t e H M M m o d e l s ( e e c t i v e l y

t o k e n f r e q u e n c y e s t i m a t i o n m o d e l s ) d i s p l a y q u a l i t a t i v e l y

d i e r e n t b e h a v i o r s t h a n d o m u l t i - s t a t e m o d e l s . F o r m o s t

o f t h e p r o l e d u s e r s , t h e m u l t i - s t a t e m o d e l s w e r e m o r e

e e c t i v e t h a n t h e s i n g l e - s t a t e m o d e l . T h e e x c e p t i o n w a s

U S E R 4 , w h o s e d a t a c o n s i s t e d o f l o n g s e s s i o n s e a c h o f

w h i c h e n c o d e d a s m a l l n u m b e r o f t a s k s .

A n o p e n p r o b l e m f o r t h i s u s e r p r o l i n g t e c h n i q u e i s t h e

a b i l i t y t o s e l e c t a p p r o p r i a t e m o d e l p a r a m e t e r s ( s u c h a s

K ) f r o m d a t a o r p r i o r k n o w l e d g e . I n s u p e r v i s e d l e a r n i n g

d o m a i n s , c r o s s - v a l i d a t i o n s e a r c h m a y b e u s e d t o s e l e c t

a p p r o p r i a t e p a r a m e t e r s e t t i n g s , b u t w e m u s t s e e k u n -

s u p e r v i s e d t e c h n i q u e s f o r t h i s d o m a i n . T h e o b s e r v a t i o n

t h a t o p t i m a l c h o i c e o f K s e e m s t o b e r e l a t e d t o b e h a v -

i o r a l c o m p l e x i t i e s p r e s e n t s a p o t e n t i a l a p p r o a c h t o t h i s

p r o b l e m . I t i s p o s s i b l e t h a t m e a s u r e s o f d a t a c o m p l e x -

i t y , s u c h a s e n t r o p y , c o u l d b e u s e d t o s e l e c t a p p r o p r i a t e

m o d e l p a r a m e t e r s .

F i n a l l y , t h e s e n s o r e m p l o y e d h e r e f u n c t i o n s o - l i n e .

I n o t h e r w o r k ,

L a n e a n d B r o d l e y , 1 9 9 8

]

, w e h a v e f o u n d

t h a t o n - l i n e e x t e n s i o n s t o a n i n s t a n c e b a s e d u s e r m o d -


10/10

e l i n g s e n s o r d i s p l a y e d h e i g h t e n e d p e r f o r m a n c e . W e a r e

c u r r e n t l y i n v e s t i g a t i n g e x t e n s i o n s o f t h e H M M a n o m a l y

d e t e c t i o n s e n s o r t o o n - l i n e m o d e , a n d e x p e c t t h a t s i m -

i l a r p e r f o r m a n c e i m p r o v e m e n t s w i l l b e r e a l i z e d b y t h i s

c h a n g e .

A c k n o w l e d g m e n t s

P o r t i o n s o f t h i s w o r k w e r e s u p p o r t e d b y c o n t r a c t

M D A 9 0 4 - 9 7 - C - 0 1 7 6 f r o m t h e M a r y l a n d P r o c u r e m e n t

O c e , a n d b y s p o n s o r s o f t h e C e n t e r f o r E d u c a t i o n a n d

R e s e a r c h i n I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y , P u r -

d u e U n i v e r s i t y . W e w o u l d l i k e t o t h a n k C a r l a B r o d l e y ,

C r a i g C o d r i n g t o n , a n d o u r r e v i e w e r s f o r t h e i r h e l p f u l

c o m m e n t s o n t h i s w o r k . W e w o u l d a l s o l i k e t o t h a n k o u r

d a t a d o n o r s a n d , e s p e c i a l l y , U S E R 4 w h o s e d a t a f o r c e d

u s t o e x a m i n e t h i s d o m a i n m o r e c l o s e l y t h a n w e m i g h t

o t h e r w i s e h a v e d o n e .

R e f e r e n c e s

A n d e r s o n , 1 9 8 0

]

J . P . A n d e r s o n . C o m p u t e r s e c u r i t y

t h r e a t m o n i t o r i n g a n d s u r v e i l l a n c e . T e c h n i c a l R e p o r t

T e c h n i c a l R e p o r t , W a s h i n g t o n , P A , 1 9 8 0 .

A n g u l i n , 1 9 8 7

]

D . A n g u l i n . L e a r n i n g r e g u l a r s e t s f r o m

q u e r i e s a n d c o u n t e r e x a m p l e s . I n f o r m a t i o n a n d C o m -

p u t a t i o n , 7 5 : 8 7 { 1 0 6 , 1 9 8 7 .

C a s e l l a a n d B e r g e r , 1 9 9 0

]

G . C a s e l l a a n d R . L . B e r g e r .

S t a t i s t i c a l I n f e r e n c e . B r o o k s / C o l e , P a c i c G r o v e , C A ,

1 9 9 0 .

C h e n o w e t h a n d O b r a d o v i c , 1 9 9 6

]

T . C h e n o w e t h a n d

Z . O b r a d o v i c . A m u l t i - c o m p o n e n t n o n l i n e a r p r e d i c -

t i o n s y s t e m f o r t h e S & P 5 0 0 i n d e x . N e u r o c o m p u t i n g ,

1 0 ( 3 ) : 2 7 5 { 2 9 0 , 1 9 9 6 .

D a v i s o n a n d H i r s h , 1 9 9 8

]

B . D . D a v i s o n a n d H . H i r s h .

P r e d i c t i n g s e q u e n c e s o f u s e r a c t i o n s . I n P r o c e e d i n g s

o f t h e A A A I - 9 8 / I C M L - 9 8 J o i n t W o r k s h o p o n A I A p -

p r o a c h e s t o T i m e - s e r i e s A n a l y s i s , p a g e s 5 { 1 2 , 1 9 9 8 .

D e n n i n g , 1 9 8 7

]

D . E . D e n n i n g . A n i n t r u s i o n - d e t e c t i o n

m o d e l . I E E E T r a n s a c t i o n s o n S o f t w a r e E n g i n e e r i n g ,

1 3 ( 2 ) : 2 2 2 { 2 3 2 , 1 9 8 7 .

F o r r e s t e t a l . , 1 9 9 6

]

S . F o r r e s t , S . A . H o f m e y r , A . S o -

m a y a j i , a n d T . A . L o n g s t a . A s e n s e o f s e l f f o r U n i x

p r o c e s s e s . I n P r o c e e d i n g s o f 1 9 9 6 I E E E S y m p o s i u m

o n C o m p u t e r S e c u r i t y a n d P r i v a c y , 1 9 9 6 .

F u k u n a g a , 1 9 9 0

]

K . F u k u n a g a . S t a t i s t i c a l P a t t e r n

R e c o g n i t i o n ( s e c o n d e d i t i o n ) . A c a d e m i c P r e s s , S a n

D i e g o , C A , 1 9 9 0 .

L a n e a n d B r o d l e y , 1 9 9 7

]

T . L a n e a n d C . E . B r o d l e y .

S e q u e n c e m a t c h i n g a n d l e a r n i n g i n a n o m a l y d e t e c -

t i o n f o r c o m p u t e r s e c u r i t y . I n P r o c e e d i n g s o f A A A I - 9 7

W o r k s h o p o n A I A p p r o a c h e s t o F r a u d D e t e c t i o n a n d

R i s k M a n a g e m e n t , p a g e s 4 3 { 4 9 , 1 9 9 7 .

L a n e a n d B r o d l e y , 1 9 9 8

]

T . L a n e a n d C . E . B r o d l e y .

A p p r o a c h e s t o o n l i n e l e a r n i n g a n d c o n c e p t d r i f t f o r

u s e r i d e n t i c a t i o n i n c o m p u t e r s e c u r i t y . I n F o u r t h I n -

t e r n a t i o n a l C o n f e r e n c e o n K n o w l e d g e D i s c o v e r y a n d

D a t a M i n i n g , p a g e s 2 5 9 { 2 6 3 , 1 9 9 8 .

N o r t o n , 1 9 9 4

]

S . W . N o r t o n . L e a r n i n g t o r e c o g n i z e p r o -

m o t e r s e q u e n c e s i n E . c o l i b y m o d e l l i n g u n c e r t a i n t y

i n t h e t r a i n i n g d a t a . I n P r o c e e d i n g s o f t h e T w e l f t h

N a t i o n a l C o n f e r e n c e o n A r t i c i a l I n t e l l i g e n c e , p a g e s

6 5 7 { 6 6 3 , S e a t t l e , W A , 1 9 9 4 .

O p p e n h e i m a n d S c h a f e r , 1 9 8 9

]

A . O p p e n h e i m a n d

R . S c h a f e r . D i s c r e t e - T i m e S i g n a l P r o c e s s i n g . S i g n a l

P r o c e s s i n g . P r e n t i c e H a l l , E n g l e w o o d C l i s , N e w

J e r s e y , 1 9 8 9 .

O r w a n t , 1 9 9 5

]

J . O r w a n t . H e t e r o g e n e o u s l e a r n i n g i n

t h e D o p p e l g a n g e r u s e r m o d e l i n g s y s t e m . U s e r M o d e l -

i n g a n d U s e r - A d a p t e d I n t e r a c t i o n , 4 ( 2 ) : 1 0 7 { 1 3 0 , 1 9 9 5 .

P r o v o s t a n d F a w c e t t , 1 9 9 8

]

F . P r o v o s t a n d T . F a w c e t t .

R o b u s t c l a s s i c a t i o n s y s t e m s f o r i m p r e c i s e e n v i r o n -

m e n t s . I n P r o c e e d i n g s o f t h e F i f t e e n t h N a t i o n a l C o n -

f e r e n c e o n A r t i c i a l I n t e l l i g e n c e , M a d i s o n , W I , 1 9 9 8 .

A A A I P r e s s .

Q u i n l a n , 1 9 9 3

]

J . R . Q u i n l a n . C 4 . 5 : P r o g r a m s f o r m a -

c h i n e l e a r n i n g . M o r g a n K a u f m a n n , S a n M a t e o , C A ,

1 9 9 3 .

R a b i n e r a n d J u a n g , 1 9 9 3

]

L . R a b i n e r a n d B . H . J u a n g .

F u n d a m e n t a l s o f S p e e c h R e c o g n i t i o n . P r e n t i c e H a l l ,

E n g l e w o o d C l i s , N e w J e r s e y , 1 9 9 3 .

R a b i n e r , 1 9 8 9

]

L . R . R a b i n e r . A t u t o r i a l o n H i d d e n

M a r k o v M o d e l s a n d s e l e c t e d a p p l i c a t i o n s i n s p e e c h

r e c o g n i t i o n . P r o c e e d i n g s o f t h e I E E E , 7 7 ( 2 ) , F e b r u -

a r y 1 9 8 9 .

R i v e s t a n d S c h a p i r e , 1 9 8 9

]

R . L . R i v e s t a n d R . E .

S c h a p i r e . I n f e r e n c e o f n i t e a u t o m a t a u s i n g h o m -

i n g s e q u e n c e s . I n P r o c e e d i n g s o f t h e T w e n t y F i r s t

A n n u a l A C M S y m p o s i u m o n T h e o r e t i c a l C o m p u t i n g ,

p a g e s 4 1 1 { 4 2 0 , 1 9 8 9 .

S a l z b e r g , 1 9 9 5

]

S . S a l z b e r g . L o c a t i n g p r o t e i n c o d i n g

r e g i o n s i n h u m a n D N A u s i n g a d e c i s i o n t r e e a l g o -

r i t h m . J o u r n a l o f C o m p u t a t i o n a l B i o l o g y , 2 ( 3 ) : 4 7 3 {

4 8 5 , 1 9 9 5 .

S m y t h , 1 9 9 4 a

]

P . S m y t h . H i d d e n M a r k o v m o n i t o r i n g

f o r f a u l t d e t e c t i o n i n d y n a m i c s y s t e m s . P a t t e r n R e c o g -

n i t i o n , 2 7 ( 1 ) : 1 4 9 { 1 6 4 , 1 9 9 4 .

S m y t h , 1 9 9 4 b

]

P . S m y t h . M a r k o v m o n i t o r i n g w i t h

u n k n o w n s t a t e s . I E E E J o u r n a l o n S e l e c t e d A r e a s

i n C o m m u n i c a t i o n s , s p e c i a l i s s u e o n i n t e l l i g e n t s i g -

n a l p r o c e s s i n g f o r c o m m u n i c a t i o n s , 1 2 ( 9 ) : 1 6 0 0 { 1 6 1 2 ,

1 9 9 4 .

S r i k a n t a n d A g r a w a l , 1 9 9 6

]

R . S r i k a n t a n d R . A g r a w a l .

M i n i n g s e q u e n t i a l p a t t e r n s : G e n e r a l i z a t i o n s a n d p e r -

f o r m a n c e i m p r o v e m e n t s , . I n P r o c . o f t h e F i f t h

I n t ' l C o n f e r e n c e o n E x t e n d i n g D a t a b a s e T e c h n o l o g y

( E D B T ) , A v i g n o n , F r a n c e , 1 9 9 6 .

Y o s h i d a a n d M o t o d a , 1 9 9 6

]

K . Y o s h i d a a n d H . M o -

t o d a . A u t o m a t e d u s e r m o d e l i n g f o r i n t e l l i g e n t i n t e r -

f a c e . I n t e r n a t i o n a l J o u r n a l o f H u m a n - C o m p u t e r I n -

t e r a c t i o n , 8 ( 3 ) : 2 3 7 { 2 5 8 , 1 9 9 6 .

human computer interface modeling

Documents