提出基于HSMM模型的主机型入侵检测系统框架。以BSM审计数据作为数据源，提取正常主机行为的特权流系统调用序列，利用HSMM模型对正常主机行为进行建模，然后将当前主机行为与之比较，判定当前主机行为是否异常。选取特权流变化事件作为研究对象以缩短建模时间，同时滤去了过多的无用信息，一定程度上提高了检测效率。实验结果表明，提出的HSMM方法比HMM优越，同时该方法建模的系统不仅节省训练时间，而且在提高检测率的同时可以降低误报率。