（计算机应用技术专业论文）实值负选择算法的研究和改进.pdf

硕士论文实值负选择算法的研究和改进 abs tract i n r e c e n t y e a r s , t h e h u m a n r ig h t s d e p e n d e n c e o n i n f o r m a t i o n i s i n c r e a s i n g , a n d i n f o r m a t i o n s e c u r i ty i s i n c r e a s i n g l y c o n c e rn e d o n . i t i s d i s c o v e r e d i n r e s e a r c h e s t h a t t h e r e i s c o m p a r a b i l i ty b e t w e e n t h e p r o b l e m s o n i n t r u s i o n d e t e c t i o n fi e ld a n d a r ti fi c i a l i m m u n e s y s t e m . t h e r e f o r e , m a n y o f t h e im m u n e s y s te m s a t is f a c t o ry fe a tu r e s c a n b e u s e d to s o lv e t h e p r o b le m s th a t h a p p e n e d i n c o m p u t e r s e c u r i ty fi e l d a n d t h e re s e a r c h o f m a n a g i n g t h e m e c h a n i s m o f i m m u n e s y s t e m i n c o m p u t e r s e c u r i ty fi e l d i s r e g a r d e d . f o r r e s t p r o p o s e d t h e n e g a t i v e s e l e c t i o n a l g o r i t h m b a s e d o n t h e p r i n c i p l e s o f s e l f a n d n o n - s e l f d i s c r i m i n a t i o n i n t h e i m m u n e s y s t e m , a n d t h e n e g a t i v e s e l e c t i o n a l g o r i t h m w a s t h e f i r s t i m m u n e - i n s p i r e d a n o m a l y d e t e c t i o n a l g o r i t h m p r o p o s e d . t o i m p r o v e t h e p e r f o r m a n c e s o f d e t e c t o r s , t h e re a l - v a l u e d n e g a t iv e s e l e c t i o n a l g o r it h m w a s p r o p o s e d妙 i m p r o v i n g d e t e c t o r g e n e r a t i o n a l g o r i t h m b a s e d o n t h e n e g a t i v e s e l e c t i o n a l g o r i t h m . r e a l - v a l u e d n e g a t i v e s e l e c t i o n a l g o r it h m a p p l i e d a n i t e r a t i v e p r o c e s s t h a t u p d a t e d t h e p o s it i o n o f t h e d e t e c t o r s d r i v e n b y t w o g o a l s : o n e i s m o v i n g t h e d e t e c t o r a w a y fr o m s e l f p o i n t s , a n d a n o t h e r i s k e e p 吨 t h e d e t e c t o r s s e p a r a t e d i n o r d e r t o m a x i m i z e t h e c o v e r i n g o f n o n - s e l f s p a c e . b u t t h e r e a r e s t i ll s o m e p r o b l e m s o n re a l - v a l u e d n e g a t i v e s e l e c t i o n a l g o r i t h m, s u c h a s n e e d i n g l a r g e a m o u n t s o f t i m e i n g e n e r a t i n g d e t e c t o r s a n d s e t t i n g t h e p o s i t i o n o f d e t e c t o r s . t h e r e f o r e , t h e m a i n p r o b l e m t o b e s o l v e d i n t h i s p a p e r i s h o w t o u s e t h e l e a s t d e t e c t o r s t o c o v e r t h e m o s t n o n - s e l f s p a c e . t h e p a p e r a n a l y s e s c u r r e n t s u c c e s s a n d r e s e a r c h e s t h e a p p li c a t i o n o f n e g a t i v e s e l e c t i o n a l g o r i t h m a n d r e a l - v a l u e d n e g a t i v e s e l e c t i o n a l g o r i t h m in i n t r u s i o n d e t e c t i o n 场 t h e d i r e c t i o n o f a r t i f i c i a l i m m u n o l o g y , i n c l u d i n g c h a n g i n g t h e r a d i a l o f d e t e c t o r s a n d a c o m p l e x a l g o r i t h m b a s e d o n re a l - v a l u e d n e g a t i v e s e l e c t i o n . t h e n t h i s p a p e r g i v e s a m e l i o r a t i o n s o n t w o a s p e c t s b a s e d o n re a l - v a l u e d n e g a t i v e s e l e c t i o n a l g o r i t h m . o n e i s t h e a m e l i o r a t i o n o n c a l c u l a t i n g t h e s i z e o f t h e n o n - s e l f s p a c e b a s e d o n mo n t e c a r l o s i m u l a t i o n t e c h n i q u e s , a n d a n o t h e r i s t h e a me l i o r a t i o n o n a n t i b o d y d i s t r i b u t i o n . f i n a l l y , t h e re s u l t s o f e x p e r i m e n t s t e s t i f y t h a t n e w a l g o r i t h m h a s a d v a n t a g e s o n t h e s i z e o f n o n - s e l f s p a c e c o v e r e d 妙 a n t i b o d y , a n d t h e n e w a l g o r it h m 硕士论文实值负选择算法的研究和改进 h a s i n t e r m s o f m a x i m i z i n g t h e c o v e r i n g o f t h e n o n - s e l f s p a c e . k e y w o r d s : i n t r u s io n d e te c t i o n , a n o m a ly d e te c t i o n , a r ti f ic ia l im m u n e s y s t e m , d e t e c t o r , r e a l - v a l u e d n e g a t iv e s e l e c t io n a l g o r i th m . 声明 本学位论文是我在导师的指导下取得的 研究成果， 尽我所知， 在 本学位论文中， 除了加以 标注和致谢的 部分外， 不包含其他人已经发 表或公布过的 研究成果， 也不包含我为获得任何教育机构的学位或学 历而 使用过的材料。 与我一同 工作的同事对本学位论文做出的 贡献均 己 在论 文中作了明 确的说明。 研 究 生 签 名 司翼 典 o) 年 月 s g 日 学位论文使用授权声明 南京理工大学有权保存本学位论文的电 子和纸质文档， 可以借阅 或上网公布本学位论文的全部或部分内容， 可以向 有关部门或 机构送 交并 授权其保存、 借阅或上网公布本学位论文的全部或部分内 容。 对 于保密论文，按保密的有关规定和程序处理。 研 究 生 签 名 :l i d? 年 z ,q 和 硕士论文实值负 选择 算法的研究和改 进 1绪论 1 . 1引言 随着计算机系统的日 益普及和广泛应用，越来越多的 信息服务系统迅速开 展。 社 会生 活对计算 机和网络系统的 依赖逐渐加深， 信息安全事 件在社会生活的 许多 方面都 产生了 深刻的 影响， 越来 越被人们重视。 随着信息系统的复 杂化和网 络互 联技术的 发展， 信息系统的 安全问 题日 益突出，所面临的 威胁也更加严重， 如何 保证信息 系统的 安全运行成为不可忽视的问题。 网络 互联技术的发展使得计算 机吸引 遭受入侵的 风险 性急剧增加。 网络互联 改变了过去以单机为主的计算模式， 计算机在资源共享以及分布协同方面的计算 能力 得到空前 提高， 这给黑 客攻击和入侵提供了 物质基础。 近几 年来， 黑客攻击 的数量快速增长，攻击对象几乎包括了所有介入互联网的计算机系统。 同时，网络互联给各类计算机病毒的传播提供了途径。计算机病毒从最初的 磁盘介质为载体的传播方式发展为以电子邮件、 软件下载为手段的传播方式。 传 播速度 和传播范围 都急 剧增大， 计算机病毒已 经成为计算机系统 和网 络发展的巨 大危害，网络病毒造成主机系统和网络系统瘫痪的情况不断发生。 软件系统的 复杂化带来了 越来越多的 安全漏洞， 各种安全漏 洞的 存在严重威 胁了 信息系 统的安 全。 软件系统越 复杂越难以 保证正确性， 越容易出 现漏洞。 软 件系统的复 杂化同时也带 来了配置 和管理的复杂化， 导致配置和管 理错误的频繁 发生，这给信息系统留下极大的安全隐患。 此外，传统的授权用户攻击也威胁着信息系统的安全。 和外部攻击相比，这 些用户直接绕过认证机制进入系统， 对系统安全构成直接的危害， 而且能够采取 更为隐 蔽的 攻击， 这种攻击行为更加 难以 防范和检测。 各类系 统入侵和安 全事 件对社 会生活的各个方面产生了 严重的 负面 影响， 带 来了很 大的损失。 正因 如此， 人们对 信息 安全越来越关注， 不断 研究新 的安全技 术来防范各种攻击行为。 人工免 疫系统是近年来发展起 来的 融合了生命科学、 计算机科学 和控制科学 等门 类 的 一 项 重 要 的 研 究 方向 13 。 入 侵 检 测 领 域 所 遇到 的 问 题 和 人 工 免 疫 系 统 所 遇 到的问 题有 惊人的相似性， 两者都需要在不断变化的环境中 维持系统的稳定 性。 免疫系统的 解决方式是分布的、 灵活的、自 适应的， 这些特征正是 入侵防护 领 域所期 望得到的。 因 此， 将免疫 系统中的免疫机制运用到安 全领域中的 研究越 来 越得到 人们的 重视。 硕士论文 实值负选择算法的研究和改进 1 . 2研究背景 随着网 络技术和网 络应用的 不断发展， 针对网 络和计算机系统的入 侵越来越 多， 入 侵检 测系统成为网 络安全 体系的重要 组成部分和网 络安全体系技术研究的 重点。 但是， 入侵检测系统还存 在着许多不 足. 由 于现有的入侵 检测系 统多是 封闭 式的， 各系统之间的互操 作性差， 严重制 约了 安全系 统作用的 发挥， 也增加了系统的维护 难度。 现有的安全系统 在互操作 能 力和相应能 力上存在着严重的 不足。 所谓信息安全保障， 意味 着安全的概念己 经超越了信息保护的 层面。 人们需 要的 是信息的 安全策略、 防 护、 检 测、 响应和恢复的综合保障能 力， 也 就是说包 括了对整个信息的系统的保护和防御，以确保其保密性、 完整性、 可用性、抗抵 赖性和可控 性。 信息安全保障 体系则应包括信息网 络安 全的 全过程， 即 边界防卫、 入 侵检测、 安全响 应和破坏恢复等。 与加密、 认证、 访问 控制等传统的 安全技术 相区 别， 信息保障强调信息系 统全生命周期的防 御和恢复。 在信息安 全保护的基 础工作之外， 更重要的是强 化系统的入侵检测能 力、 安全事件反应能力以及入侵 破坏后的快速恢复能力。 从网 络产生开始，网 络中的 安全技术也随之产生和发 展。 最 初网 络是一些局 域网 和专网， 随着发展， 各种小网 络通过与其他网络相 连， 最终形成了i n t e rn e t . 通常 在局域网在内 部是共享资源的， 并通过网 关访问 i n t e m e t ，因 此网 关等连 接 设备成为整个局域网的安全集中点。 传统的安全技术， 如防火墙就是通常部署在 网关等连接设备中，利用制定的规则检测网络数据，以达到“ 拒敌于国门之外” 的目 的。 但防 火墙技术不能对未知 的入侵攻击进 行防护， 并且不能对网 络内的 入 侵行为起到作 用， 而根据统计内 部的安全问 题大约占 所有安全问题的 7 0 %，因 此这种被 动的 安全机制不能 够满足目 前的网 络安全需要。 所以 入 侵检测 等网 络防 护技术成为 目 前研究与应用的热点。 入侵检测方面的 研究是从八十 年代提出 入侵检测的 概念开 始， 并在九 十年 代 得到广泛的研究， 现在入侵检测技术已经取得很大发展。 入侵检测系统如同网络 系 统的监视 器， 可同时 对网 外和网内的 入侵行为进行检 测， 具有一定的 检测未知 攻击的 能力。 入侵检测技 术相对于防 火墙等安全防护技 术， 其特点是可 提高信息 安 全构造的其他 部分的 完整性、 提高系统的 监控能力( 从入口 点到出口 点跟踪 用 户的 活动、 识别和 汇报数据文 件的 变化、 检测系 统配置 错误并纠正、 识别特殊攻 击 类型) ， 并向管理 人员发出 警 报等。 迄今为 止， 所有的仿生 物免疫 算法都 沿用了f o r r e s t 教授提出 的用于 “ 自 我” 和“ 非 我 ” 辨 识 的 负 选 择思 想 fill 。 但 是， 单 纯 的 负 选择 算 法也 带 来了 很 大 的 弊 病， 比 如大量检测器带来的时间和空间的巨大代价。针对负选择算法自身 存在的不 硕士论文实值负选择算法的研究和改进 足， 后人在负选择算法的基 础上加入匹 配规则来改 进算法， 比如 本文后面将要提 到的实 值负 选择算法。 因此， 需要对运用到入 侵检测中的算 法进行不断的改 进和 研究。 1 . 3本文的目 的 通过对人工免疫系统的 研究， 我们可以 知 道人工免疫系 统的一 些原理和特点 对计算机安全 领域 是有益的。 在入 侵检测领域中 引入 人工免疫系统的原 理， 可以 形成一个具有自 适 应、 灵活等特征的入 侵检测系统， 这些特征也正是计算机安全 领域所期望达到的。 目 前， 所有的 仿生物免疫算法 都沿用了 f o r re s t 教授提出的用于 “ 自 我” 和 “ 非 我” 辨 识 的 负 选择 思 想 i i . 但 是 ， 单 纯 的 负 选 择 算 法 也 带 来了 很 大的 弊 病， 比如 大量检测器带来的 时间 和空间的巨大代 价。 针对负 选择算法自 身存在的不 足， 后 人在负 选择算法的 基础上加入匹配 规则 来改进算法， 比如本文后面将要提 到的 实值负选择算法. 实值负选择算法己 经广泛应用到异常 检测中 ， 但是仍然存在着一些问题和不 足，比如:产生检测器和设置检测器位置需要消耗大量的时间。因此，如何用最 少的 检测器覆盖最多的“ 非我” 区 域 ( n o n - s e l f s p a c e ) 成为本文主要解决的问 题。 1 . 4本文的主要工作 本文主要做以 下几个方面的工作: 首先， 分析前人的工 作成果，以 人工免疫学 为指导， 应 用为主体技术， 研究 了 负选择和实值负 选择 在入侵检测中的 应用。 其次，在第一项工作的 基础之上， 从两 个方面对实 值负 选择算法进行改 进。 其 一是对求抗体个数的改 进并产生原始 抗体 集合， 使 用了 蒙特卡罗积分法估算覆 盖“ 非我” 区 域的 抗体的数 量; 其二是在原始抗 体集合产生的 基础上对抗体分 布 的改进，也就是优化抗体对 “ 非我”区域的覆盖。 最后， 分析改进算法 和实值负选择算 法的时 间复杂 度， 并实 验比 较两个算 法 在最优化抗体覆盖 “ 非我”区域方面的优劣. l s本文的结构 第一章 绪论。 描述了 本论文的研究背景 及研究意义，并 简单介绍了 本文的 目的、完成的主要工作以及结构。 第二章 某于人工免疫系统的入侵检测方法。本章简单介绍入侵检测及其现 硕士论文实值负选择算 法的研究和改进 状; 人工免疫系统的 免疫机制及其基本特点: 并 简单介绍第一个由 免疫产生的 异 常检测算法 负选择算法，以及负选择算 法中自 我集合的定义和检测器的 生 成。 第三章 实 值负选择算法的研究。 首先， 介绍 负选择算法和实值负选择算法; 实值负选择中改 变检测器半径的方法以 及找出自 我检测器最佳半径的自 我检测 器方法。其次， 介绍了基于实值负选择的一个合成算法， 用实值负选择算法生成 非我样本集合， 将非我样本和原始的自 我样本集合一起应用于分类算法， 找出“自 我” 和 “ 非我”区 域的特征函 数，以 方便区分 “ 自 我” 和 “ 非我气 第四章 实值负 选择算法的改 进。 在实 值负选择算法的 基础上 进行了两点改 进:一是使用蒙特卡罗积分法估算 “ 非我”区域的大小并产生原始的抗体集合; 二是在第一点的基 础上优化抗体分布。 第五章 实验比 较和分析。 对两 个算法进行仿真比 较， 证明了 第四章中提出 的 假设的正确性并 证实了 改进后的算法在抗体覆 盖“ 非我” 区域方面有很大的 改 善。 硕士论文实值负选择算法的研究和改进 2基于人工免疫系统的入侵检测方法 本章简单介绍入侵检测及其现状:人工免疫系统的免疫机制及其基本特点: 并简 单介绍 第一个由免 疫产生的 异常检测算 法负 选择算法， 以 及负选择算法 中自 我集合的 定义和 检测 器的 生成。 2 . 1入侵检测 随着社会对信息的依赖程度越来越大，人们对信息的安全性也越来越关注。 人们对信息安全的需求，已从原始的 “ 信息安全保密” 提高到上个世纪后期的 “ 信息安全保护”。时至今日，这种安全需求又已经进入了 “ 信息安全保障”的 新阶段。 2 . 1 . 1入侵、 入 侵检测与入侵检测系统 “ 入侵” 是一 个广义的概念，不仅包括发 起攻击的 人 ( 如恶意的黑 客) 取得 超出 合法范围的 系统控制权， 也包括收集漏洞信息， 造成拒绝访问 等对计算机系 统造成危害的行为: 也指任何企图破坏资源的完整性、 保密性和有效性的行为; 还指违背系统安全策略的任何事件。 入侵行为 不仅仅包括 来自 外部的 攻击，同时 也包括内部用户的未 授权行为， 有时内 部人员滥用 他们特权的攻击是系统安全的最大隐 患。 从入侵策略的角度来 看， 入侵行为 可以 分为: 企图入侵、冒 充其他合法用户、 成功闯入、 合法用户的 泄漏、 拒绝服务及恶意使用等方面。 另外各种系统自身的缺陷、 系统的不当配置、 网络 协议在实 现上的漏洞、 应用软件的 缺陷 等都为入 侵者提供有利可乘的机会。 而入侵是采 用数据攻击、 身 份冒充、 非法使用服 务、 拒绝服务等技术手段， 对网 络发动攻击。 例 如数据攻击 包括 信息获取、 非法获 取数据、 窜改 数据等手段; 非 法使用服务包括 主机缓冲区 溢出、 远程缓 冲区 溢出 、 服务 漏洞攻击、 系统漏洞攻 击等手段: 拒绝服务 包括占 用网络带宽、 干扰服务、 本地关机、 远程关机等手段。 入侵检测是指通过从计算机网络或计算机系统中的若干关键点收集信息并 对其 进行分析，从中发 现网络或系统中 有违反安 全策略的 行为和遭到攻击的迹 象，同时 作出 响应，以 保证系统资源的 机密性、 完整性和可用 性。 入侵检测系 统是实现入 侵检测功能的 一系列的软 件和硬件的组合。 它是入侵 检测的具 体时间 ， 作为 一种安全管理工具， 它从不同的 系统资源收集信息， 分析 反映误用或异 常行为模 式的 信息， 对检 测的 行为 作出自 动的反 应， 并 报告 检测过 程的结果。 入侵检测系统 就其最基本的 形式来讲， 可以 说是一个分类器， 它是根 硕士论文实值负选择算法的研究和改进 据系统的安全策略 来对收 集到的事 件/ 状态信息进行分类处理， 从而判断出 “ 入 侵” 和 “ 非入 侵” 行为。 2 . 1 . 2入侵检测的研究历史和现状 入侵概念由j a m e s a n d e r s o n 在8 0 年首次 提出 ， 他将入侵尝试或 威胁定 义为 “ 潜在的、 有预 谋的 、 未经授权的信息 访问 和操作， 致使系统不可 靠或 无法使用 的 企 图 12 1 1 9 8 7 年， d o r o 听 d e n n i n g 给出了 一个基于用户 特征轮廓的入 侵检测通用模 型 1 3 1 ， 该模型被后 来的许多入侵检 测系统采用， 被认为 是入 侵检测 研究的 又一里 程碑。 首次 将入侵检测 作为一种计算机系统安全防 范的措施提出， 与传 统的 加密、 识别与认证、访问控制相比，入侵检测是一种全新的计算机安全措施。 1 9 8 8 年， t e r e s a l u n t 等人进一 步改 进了d e n n i n g 提出的 入侵检测模型， 并 创建 了id e s ( i n t r u s io n d e te c t io n e x p e rt s y s te m ) 14 1， 该 系 统 用 于 检 测 单 一 主 机 的 入侵尝试， 提出了 与系统 平台 无关的实时检测思 想， 1 9 9 5 年开发了i d e s 的 新 版本 一 一 h i d e s ( n e x t - g e n e r a t i o n i n t r u s i o n d e t e c t i o n e x p e rt s y s t e m) 可以 检测多 个主机上的入侵。 1 9 9 0年， h e b e r l e i n等提出了 基于网 络的入 侵检测系统一 一 n s m ( n e t w o r k s e c u r ity m o n it o r ) fl. n s m与 此 前 的 入 侵 检 测 系 统 最 大 的 不 同 在 于 它并 不 检 测 主系统的审计记录， 它可以通过在局域网上主动地监视网络信息流量来追踪可疑 地行为。 1 9 9 4 年， m a r k c r o s b i e 和g e n e s p a ff o r d 建议使用自 治代理以 便提高 入侵检 测系统的可伸缩性、可维护性、 效率和容错性， 该理念非常符合正在进行的计算 机 科 学 其 他 领 域的 研 究 4 1 入侵检测系 统是近十多 年发 展起来的一种安 全防范技术， 它通 过旁路 兼听的 方式不间断地从计算机网络系统中的若干个关键点收集并分析信息， 来判断网络 或系 统中 是否存 在违反安全策略的 行为和被攻击的 迹象. 然而， 研究和实践 表明， 入 侵检测系统存在 一些缺点和不 足。 首先它的 误报率 和漏报率居 高不下，日 志过 大， 报警过多; 其次入侵检测系统只能被动地检测保护目标遭到了何种攻击， 它 只能通过响 应机制 报告防火墙， 由防 火墙来阻断 攻击。 总之， 入侵检测系统只能 作为一个监听设备，防御工作也是事后的和被动的。 入侵检测是 对以 计算机系统或网 络资源为目 标的非法或恶意的 行为 或企图， 以 及那些滥 用其权限的识 别和反 应过 程的 统称. 入侵检 测系统 是计算机安全系 统的 重要组成 部分， 被称为防 火墙后的 第二道 门槛。入侵检测系统主要有以下三方面的作用: 硕士论文实值负选择算法的研究和改进 1 识别入侵者 和入侵行为。 2检测并监视已 成功的 安全突破。 3为对抗入侵提供及时、重要的信息，阻止入侵事件的进一步扩大。 2 . 1 3 入侵检测系统的不足 入侵主要 是指对信息系统资 源的 非授权使用。 入侵检 测通过对信息系统的若 干关键点收 集信息 并进行分析来 判断网 络或系统中是否 存在违反安全策略的行 为 和被入侵( 攻击) 的迹象。 典型的 入侵 检测系统的 功能 包括: 监测并分析用户行 为 及系统活 动; 判断识别已 知的 攻击模式并报警; 统计分析 异常 行为模式; 识别 用 户违反安 全策略的 行为。 由 此可见， 入侵检测系统可以 完成信息收集、 数据分 析 和入侵( 攻击 ) 告 警的 基本功能。 然而， 研究和实践表明， 入侵检测系统存在着 下 列主要缺点和不 足( 6 1 . 检测能力 较差 误报和漏报是 反映入侵检测 系统检测能力的关键指 标q 。 误报是指用户正常 及合 法使用受保护网 络和计算机， 而被入 侵检测系统报等。 这种假警报不仅降低 了 入 侵检测系统的 效率， 而且 大大降低了原系 统的 服务质量。 漏报则是指入侵检 测系统对真正的攻击或入侵的漏报.和误报相比，漏报更有危险性。 入 侵检测系统总 是在漏报和 误报中 难以 平衡。 降 低了 漏报率， 误报率就会提 高: 反之亦 然。 另外，由 于 入侵检测系统的自 身定 位， 多强调“ 入侵行为”的检 测对可能带 来同 样危害的 病毒则关 注不够， 造成了 对安 全威 胁检测的 人为分割。 如果 整个安全防护体 系配置了 检测能力较差的入侵检测系 统， 那么肯定达不 到信息安全保障的主动防御的目的。 2 .缺乏 有效的 响应功能 入侵检 测系统的另外一 个主要缺陷 是缺乏有效的 响应机制阁 . 一方面， 目 前的入 侵检测系统多 是基于各自 的需求 独立设计开发的， 不同系 统 之间 缺乏互 操作性和互用性， 其他安全组 件很难利用这些信息; 另一 方面，目 前的响 应功能多 是e m a i l 报警等 被动响应功能， 而不能 主动地阻断 入侵 ( 攻击) 。 造成这种 局面的根 本原 因在于， 设 计入侵检 测系统时 是基于它是一 种检测机制而 非防护手 段的考 虑， 限于当时的 技术条 件和主观认识， 没有考虑主动防御的功能 需求。 当然， 对于 某些入侵检 测系 统， 在检测到攻击行为 之后也确实试图在网络层 对攻击行为 进行阻断， 也就是 所谓的主动响 应的网 络入侵检测系统. 但这种入侵 检测系统只 针对t c p 和 u d p 协议连接 进行阻断， 而非真正的 带有主动防御功能的信 息安 全保障机 制。 另 外一种是通 过开放接口 来通知防 火墙进行阻断， 防火墙和l d s 硕士论文实值负选择算法的研究和改进 提供开放接口供对方调用， 按照一定的协议进行传输警报实现互动。 但是， 这对 于没 有统一 标准的 系统来 说不具备任何可操作性。 3 . 可管理 性较差 很多入侵检测系统产生大量的报警信息， 它需要系统安全管理员有足够的时 间、 精力及丰富的专 业的 安全知识 来人工分析处理和响 应这些 信息。 很多入侵检 测系统产品 还存在着很多重复 报警信息， 这些在很 大程度上加剧了 对入侵检测系 统的管理和维护难度. 2 . 2人工免疫系统 人工免疫系统之所以 引起计算机安全领域的学 者的极大兴趣是因为人工免 疫系统能提供独特的、富有吸引力的方案去解决计算机安全领域的复杂问题。 目 前对人工免疫系统的 研究 试图 在生物免疫系统的基础上建立一个计算系 统。 人工免疫系统中 许多令人满意的 特征能够被用 来解决 计算机安全领域中出 现 的问题。 人工免疫系统是免疫系统的抽象计算模型， 事实上， 一些人工免疫系统是建 立在生物免疫系统的理论模型之上的。 由j e rn e 提出 的 突 变网 络 理 论( id i o ty p i c n e tw o rk t h e o ry ) s1作为 一 个 理 论 模 型 应用于 一些人工免疫系 统。 早期基 于生物免疫系 统的 计算机算法的 工作之一是 由f a r m e r 等 人 展 开 的 m . 在 这 项 工 作 中 ， 他 们 提 出 了 生 物免 疫 系 统的 一 个 基 于 突 变网 络 理 论的 模 型 9l . 这 个 模 型 是 生 物免 疫 系 统 的 简 化 ， 它忽 视了 一 些 重 要的 元素， 例如: t 淋巴 细胞和巨 噬细胞， 并且集中 于突变网络的模型。 这个模型用 0 和1 组合的 字符串 来描述 抗体和抗原， 并且用不同的公式来定 义系 统的 动态性. 如今，人工 免疫系统的 研究已 经应用于各种不同的领 域， 包括计算机安全、 异常检测、 模式识别和数 据分析等。 由 于没有一 个简单的标准来建立一 个令人满 意的 分类学， 对不同的 模型和技 术进行分类是 个比 较困难的工作。 然 而， 还是 可 以区 分一些不同领 域中 使用相同 元素的 研究， 我 们可以 把不同的工作分为以 下几 类: 1 . 基于自 我 ( s e l f ) / 非我 ( n o n - s e l f ) 分类机制的算法， 例如: 负选择算 法; 2 .基于 突变网络理 论和克隆 选择机制的算 法; 3 . 将免 疫系统方 法和其他软 件计算模型组 合的 合成模型或技术。 这种对人工 免疫系 统的 广泛的分 类并不是一 个详尽的 非交叉的 划分。 事实 硕士论文实值负选择算法的研究和改进 上， 还有许多 模型 没有被划分 到这个分类中。 2 . 2 . 1安 全领域中的免 疫学观点 免疫系统检测和消灭病 原体的能力对生物的 生 存是必不可少的， 没有免疫系 统生物会在短时间内 死亡。 免疫 系统对侵入机体的 非我成分( 如细胞、 病毒和各 种病原体) 以 及发生了 突变的自 身 细胞 ( 如癌细胞) 具有精 确识别、 适度应答和 有效排除得能力。 免疫系统的 功能主要由 免疫细胞 完成， t 细胞和b细胞是淋巴 细胞的两种主要类型。 b细 胞由 骨髓产生， 并 通过分泌抗 体和抗原相结合， 实现 抗原的清除。 t细胞由胸腺产生， 在免疫过程中能刺激和抑制 b细胞的增殖和分 化，对免疫调节起着重要的作用。 免 疫系统的结 构是层次 化的， 在不统的 层次 上进行保 护。 免 疫系统可以分为 先天性免疫系统和适应性 免疫系统 两层。 先天性免 疫系统是生 物在发育和进化过 程中逐渐建立起来的一系列天然防御功能，它能传给下一代， 无特异性， 对各种 病原 体都有一定的 防御功能。 适应性免疫系统在“ 初次响 应” 后记住病原体， 当 再次遇到时会产生 “ 再次响应” ，迅速而有效地消除病原体。 由 于免疫系统的主 要任务是 识别自 我/ 非我， 而非我的 入侵 可能 会发生在全身 的任何地方，因而免疫系统的淋巴细胞位置是不固定的，而是遍布全身。 系统的 结构也必 然采用没有集中 控制信号的分布式自 治 系统。 由 于识别 任务是通过化学 成分通信来实现， 免疫系统可由不同种类的基本单元组成， 这也是免疫系统的自 我/ 非我的 识别 任务所要求的。 免疫系统中既有先 天性免疫 又有适应性免疫，先 天性免疫作为遗传系统的一部分， 从总体上体现了生物种群的整体进化， 适应性 免疫通过免疫特异 性更注重提高 个体的 环境适应能力。 两者从不同 角度说明了适 者生存的自然规律。 2 . 2 . 2免疫机制 下面介绍人工免疫系统中的几种常见的免疫机制: 1 .负选择 淋 巴 细胞的选择的负选择描述这样一个过程: 淋巴细胞一抗原相互作用导致 该淋巴细胞的死 亡 ( 或无反应能 力) 。 来自 指令系 统的一 小部分细胞 会被 抗原识 别， 抗原 被克隆 选择激活。 自 体特异抗原可以 通 过细胞死亡或 者无反应能力使有 问题的淋巴细胞受到抑制。 未成熟的t 细胞在胸腺中 发展， 如果在发展 期间被激活， 它们因程序细胞死 亡而死亡。 更多 的自 体蛋白 质 在胸腺中 表达， 所以 存活的t 细 胞继续发育 成熟并 离开胸 腺， 对所有 那些自 体蛋白 质耐受， 这个过程 称为t 细胞的负 选择。 一些自 硕士论文实值负选择算法的研究和改进 体反 应t 细胞逃脱并 进入胸腺外围成为免疫活性 细胞， 增加了自 身 免疫疾病的威 胁。 后夭的自 适应免 疫系统对病原体的入侵的响应通过了 很多 不同 类型的 细胞 和分 子。 自 适应的免 疫系统 之所以 称为自 适 应， 就是因 为它能够在 生物组织存活 期间 提供不断改 进的 免疫能力。自 适应的免疫系统可以 被看作分 布式检测系统， 它主要包括的 是白 血 球细胞， 被称为淋巴 细 胞。 淋巴 细胞就像一 个独立的 检测器 一样通过血液和淋巴 系统在生物的 全身进行循环. 淋巴 细胞可以 被看作负检测 器， 它们只检 测任何“ 非我” 模式而忽略任何自 我 模式。 当病原体 和淋巴 表面的 受体发生分子 结合时， 就引 发一次非我( n o n - s e l f ) 的 检测 事件。 2 .正选择 免疫细胞经历的 另一个重要过 程就是正 选择. 如 果表达阳性的t 细胞能 够识 别基质细胞，主 要使上皮 细胞表达的自 身 m h c( 主 要组织相容 性复合体) 分子 和自 身抗原的复 合物， 则t 细胞增值， 否则发生 程序性死 亡或者凋亡ls l 在生 物免疫中， 正 选择是与负选择完全相反的 一个抗体 成熟的 过程， 与负选 择同 样重要。 在计算 机系统中， 计算机的 基因 可以 被定义为能够 代表计算机的独 一无二的信息的 数据文件， 也可称为计算机的d n a 。 这些文 件不 会随着合法的 操作而改变。 在 对计算机系 统的异 常检测中， 我们 采用优先级策 略， 通过正选择 算法监测系统的 d n a ，一旦 它们发 生改变就可以 认定有异常发生。 利用正选择 算 法进行检测的目 的使将 抗体库中的 疫苗提取出来 对待检基因 进行检测， 以 便高 效 快速地获取抗原 信息， 提高 检测地快速性和准确性. 3 .克隆 选择 克隆 选择的基 本思想是只有 那些能 够识别抗原的 细胞才进 行扩增， 只有这些 细胞才会被免疫系统保留下来， 而那些不能识别抗原的细胞则不被选择， 也不进 行扩增.t细胞和b细胞都能够进行克隆选择。 克隆 选择与达尔 文变异和自 然选择 过程类似: 克隆竟争结 合病原体， 亲和力 最高的是最适 应的， 因此复 制最多。 克隆选择的 主 要特征: 新细 胞是父代( 克隆) 的 拷贝， 受制高 速率的成 熟机制。 禁止克隆的持 续， 对早 期自 体抗原的 清除 是自 身免疫疾病的基础. 2 . 2 . 3人工免疫系统的一些基本特点 通过以上 对人工 免疫系统的一些 特点的 研究， 总结 有以 下几 项基本特点: 1 . 分布性: 在生 物免疫系统中 ，分布于全身 各处的淋巴 细胞能 够独立检测 外来病菌 和病毒的 入侵， 免疫应答是无集中 控制的 ， 而是通过 分布在全身 众多的 局部免疫 部件之间的 相互作 用， 来实现对整个集 体的保 护。 这 就意味着某一 淋巴 硕士论文 实值负选择算法的研究和改进 细胞检测的失 败不会导致整 个免 疫系统的失败。 m a r k c r o s b i e 和g e n e s p a ff o r d提 出 了 一 种在 计 算 机 安 全 领 域 的 分 布 式、 移 动 代 理 结 构 24 1， 而 结 合 应 用免 疫学 原 理 可以 建立一 个高度分布性 和增强 鲁棒的 分布式结构。 2 . 多 层性: 在生物免疫系统中，一 种保护 机制并 不能提 供足够的 安全能力， 生物免疫系 统通过多层保护机制的 综合使用来 提供全面的 、 高效的安全保护。 例 如， 皮肤为第一 道屏障， 阻 止病菌进入生物体内 ; 第二道屏障 是生理上的， 通过 免疫细胞识别 和消灭侵入的病菌。 这一特性 在有些 计算机安全系 统中并 不是一种 新的概念，但是它对我们进行系统设计是非常重要的。 3 .多 样性: 在生物免疫系统中 ，每个免疫细 胞都具有自己 的特点而和其它 免疫细胞不完全相同，每个免疫细胞所能识别和删除的病原体的能力都不一样， 这就形成了免疫细 胞的 多样性。 首 先， 有机体内 免 疫细胞的多样 性保证: 当每一 种抗原侵入机体时， 都能在机体内选择出可识别和消灭相应抗原的免疫细胞，并 使 之激活、 分化和增殖， 进行免疫响 应， 最终清除抗原。 其次， 每个个体都有一 个 独一无二的免疫 系统， 存在着群 体免疫系统的多 样性。 这种多 样性保证: 当有 个体对某病菌呈现脆弱性时，不会出现所有个体都对同一病菌呈现脆弱性的情 况。 4 .自学习功能:如果免疫系统检测到以前从未遇到过的病菌，它将经历初 次免 疫响 应， 并 “ 学习” 该 特定病菌的结构。 之后当 遇到相同的 病菌模式时， 免 疫系统 将快速做出响 应。 免疫系 统检测新病菌， 并 通过免 疫记忆 保存该病菌的 特 征。 抗原被检测出 来的第一时间 会产生最原 始的 反应， 淋巴 细胞的 扩增和随 之而 来的缩减。 这些淋巴细胞中的一部分被保存为记忆细胞。 如果相同的抗原被检测 到的话，记忆细胞会产生较快并强烈的反应 ( 二次反应) 。 5 . 动态性:由 于时间和空间的限 制，免疫系统无法 保持 一个规模大的 可以 覆盖所有病原 体的检测器 集 ( 淋巴细 胞集) 。而通过淋巴 细胞在体内不断 地循环 和更新， 使检测器 集可以 随机变 化。 通常， 免疫细胞的 生存期短， 它们 不断地被 新 产生的 淋巴 细 胞所替代， 使得免疫细胞多样化。 这种多 样化扩大了免 疫系统的 免 疫范围。 在计算机安全领 域， 无法 预先定 义所有 攻击模式， 使用这 一动态特性， 可以 扩大检测入 侵的 范围。 6 .匹 配模型: 免疫系统能够识别特定的抗原和 产生 相应的响 应。 这个过程 使通过基 于接收器 和抗原之间的 化学 绑定的 识别机制完成的， 而接收器 和抗原之 间的化学 绑定又取决于 分子的 大小 和静电的电 荷。 7 . 特征 提取: 一般来说， 免疫接收器并不能和抗原 绑定， 而是和 抗原 ( 缩 氨酸) 的一 部分绑定。 这 样的 话， 免疫系统只要 通过匹 配抗原的 一部分就能识别 出来。 硕士论文 实值负选择算法的研究和改进 8 .自 我防护: 免疫系统通过 保持自 身的整体性来保护自 己. 也就 是说没有 额外的系统来保护免疫系统:免疫系统能够 自 我防护。 2 3基于人工免疫系统的 入侵检测 方法 从对人工免疫系统的 介绍， 我们可以知 道人工免疫系统的一些 特征正是人们 对入 侵检测所期望能够达到的 特征。 负选择算法是第一个由免疫产生的异常检测算法。 它是由胸腺内部发生的选 择 进程而产生的。 在这个进 程中， 能够识别自 我细胞的t 细胞 ( t - c e l l s ) 被排除， 这就 保证了 剩下的t 细胞仅能识 别外来分子 u 1 负选择的 原理是免疫系统保 护身体免受淋巴 细胞的自 我反作 用机制。 f o r r e s t 基于 免疫系统中自 我和非我区分的 原则首次 提出了 负选择算法。 它输入一个象征 正常数据的字符串集合 ( 自我集合) ，并在非我 ( n o n - s e l f )区域产生一定数量的 检测器。匹配负检测器和自 我字符串，如果检测器可以匹配，丢弃;否则就保存 下来。 2 . 3 . 1负选择的基础算法 通过负选择算 法来生 成用于 检测异常的成熟 检测器， 如果检测器集 合和新产 生的字符串能够匹配， 那么说明检测到异常行为. 检测器集合检测异常的过程如 图2 . 3 . 1 . 1 所示: 新产生的字符串 检测器