基于免疫學原理的入侵檢測系統(tǒng)研究與設計.pdf

1、隨著網(wǎng)絡技術的不斷發(fā)展及網(wǎng)絡應用的不斷深入，網(wǎng)絡已逐漸成為現(xiàn)代社會一項關鍵的基礎設施，支持著人類社會的正常運作。由于多種利益關系，有關信息和網(wǎng)絡的犯罪日益猖獗，信息和網(wǎng)絡安全問題已成為各國信息化進程中必須面對的嚴峻問題。 入侵檢測系統(tǒng)是網(wǎng)絡安全基礎設施中的重要一環(huán)。作為防火墻之后的第二道安全屏障，入侵檢測系統(tǒng)實時的從網(wǎng)絡中收集各種信息，通過對這些信息的分析，執(zhí)行一種事后檢測，做出網(wǎng)絡系統(tǒng)是否受到攻擊（或者受到何種攻擊）的判定，發(fā)

2、出報警，或進而進行相應的應急處理。從技術角度來看，有兩類入侵檢測技術：誤用檢測和異常檢測。當前在商業(yè)產品中廣泛應用的基于特征庫和模式匹配的入侵檢測系統(tǒng)便是典型的誤用檢測系統(tǒng)。而異常檢測技術則是現(xiàn)在的研究熱點，試圖通過建立網(wǎng)絡系統(tǒng)的正常事務模型，對各種網(wǎng)絡行為計算異常度，超過設定閾值的行為即被認為是入侵行為。較之誤用檢測，異常檢測技術可以很好的應對新型攻擊，且具有更高的智能性和適應性，但如何建立高效準確的正常網(wǎng)絡事務模型以及如何利用該模型

3、執(zhí)行檢測任務是異常檢測技術面臨的難點。 自然免疫系統(tǒng)通過眾多成員的參與并相互協(xié)作，利用多種免疫機制，不斷地調節(jié)機體內環(huán)境，對外來的以及機體內部的各種物質進行Self/Nonself的判定，對Nonself抗原及時的作出免疫反應并加以清除，以維護機體的安全與穩(wěn)定。自然免疫系統(tǒng)的許多優(yōu)良特性對工程技術而言是極具吸引力的，人工免疫技術已被許多學者深入研究并廣泛應用，其中最為直接的應用便是入侵檢測。關于“如何在復雜多變的環(huán)境中維護系統(tǒng)的

4、安全與穩(wěn)定”這一問題上，自然免疫系統(tǒng)與入侵檢測系統(tǒng)有很大的共性。借鑒自然免疫系統(tǒng)，可在系統(tǒng)架構、檢測機制和檢測算法等多方面對傳統(tǒng)的入侵檢測技術進行完善，賦予入侵檢測系統(tǒng)許多新的仿生學的優(yōu)良特性。 本文首先詳細介紹了自然免疫系統(tǒng)的組成結構和各種免疫機制。然后對入侵檢測系統(tǒng)的歷史、分類及當前將免疫機理應用到入侵檢測技術的各種主要研究作了介紹，著重分析了三個主要研究小組的成果。之后，在前人工作的基礎上，提出了一個完整的基于免疫機理的網(wǎng)

5、絡入侵檢測系統(tǒng)模型——aiIDS。該模型由七個組件構成，通過這七個組件的協(xié)同工作，模擬了一個較為完整的自然免疫系統(tǒng)。整個系統(tǒng)以“檢測器”（相當于機體內的抗體）為中心；由“檢測器生成組件”和“檢測器維護組件”動態(tài)地維持著一個檢測器集合；由“檢測組件”利用這些檢測器，對待檢對象進行Self/Nonself的判定，“異常監(jiān)視組件”在檢測過程中提供必要的協(xié)同刺激；而待檢對象則是由“數(shù)據(jù)包捕獲組件”和“特征提取及編碼組件”經預處理后送來的網(wǎng)絡連接

6、行為。該模型具有自然免疫系統(tǒng)的諸多優(yōu)良特性，如多層次、多樣性、獨特性、動態(tài)防護性、自適應性、聯(lián)想記憶等，通過多個組件的協(xié)同工作，模擬了自然免疫系統(tǒng)地各種免疫機制。 在檢測器編碼方面，考慮到正常行為與異常行為之間界限的模糊性，提出了利用模糊概念的編碼方案，可以在不降低檢測效率的前提下，極大程度的減小了檢測器編碼的長度，同時提高了檢測效率。在親和力的計算方面，提出了一種基于異常信號的動態(tài)權值分配算法，通過異常信號反映出的系統(tǒng)所處當前

7、的環(huán)境，對各基因屬性的權值進行動態(tài)的調整。這樣做既提高了親和力的計算速度，同時解決了傳統(tǒng)的親和力算法無法適應正常與異常的界限隨時間動態(tài)變化的問題。 最后，我們在Linux 2.6.18.1平臺下對該模型進行了實現(xiàn)，各組件分別被實現(xiàn)為一個線程。網(wǎng)絡流量樣本選用DARPA 1999入侵檢測評估計劃提供的數(shù)據(jù)集。其中，選取第一周的數(shù)據(jù)集為訓練數(shù)據(jù)，通過訓練，得到自體輪廓和自體庫；選取第二周的數(shù)據(jù)集為實驗數(shù)據(jù)，其中包含了人為加入的若干攻