基于免疫學(xué)原理的入侵檢測系統(tǒng)研究與設(shè)計(jì).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展及網(wǎng)絡(luò)應(yīng)用的不斷深入，網(wǎng)絡(luò)已逐漸成為現(xiàn)代社會(huì)一項(xiàng)關(guān)鍵的基礎(chǔ)設(shè)施，支持著人類社會(huì)的正常運(yùn)作。由于多種利益關(guān)系，有關(guān)信息和網(wǎng)絡(luò)的犯罪日益猖獗，信息和網(wǎng)絡(luò)安全問題已成為各國信息化進(jìn)程中必須面對的嚴(yán)峻問題。 入侵檢測系統(tǒng)是網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施中的重要一環(huán)。作為防火墻之后的第二道安全屏障，入侵檢測系統(tǒng)實(shí)時(shí)的從網(wǎng)絡(luò)中收集各種信息，通過對這些信息的分析，執(zhí)行一種事后檢測，做出網(wǎng)絡(luò)系統(tǒng)是否受到攻擊（或者受到何種攻擊）的判定，發(fā)

2、出報(bào)警，或進(jìn)而進(jìn)行相應(yīng)的應(yīng)急處理。從技術(shù)角度來看，有兩類入侵檢測技術(shù)：誤用檢測和異常檢測。當(dāng)前在商業(yè)產(chǎn)品中廣泛應(yīng)用的基于特征庫和模式匹配的入侵檢測系統(tǒng)便是典型的誤用檢測系統(tǒng)。而異常檢測技術(shù)則是現(xiàn)在的研究熱點(diǎn)，試圖通過建立網(wǎng)絡(luò)系統(tǒng)的正常事務(wù)模型，對各種網(wǎng)絡(luò)行為計(jì)算異常度，超過設(shè)定閾值的行為即被認(rèn)為是入侵行為。較之誤用檢測，異常檢測技術(shù)可以很好的應(yīng)對新型攻擊，且具有更高的智能性和適應(yīng)性，但如何建立高效準(zhǔn)確的正常網(wǎng)絡(luò)事務(wù)模型以及如何利用該模型

3、執(zhí)行檢測任務(wù)是異常檢測技術(shù)面臨的難點(diǎn)。 自然免疫系統(tǒng)通過眾多成員的參與并相互協(xié)作，利用多種免疫機(jī)制，不斷地調(diào)節(jié)機(jī)體內(nèi)環(huán)境，對外來的以及機(jī)體內(nèi)部的各種物質(zhì)進(jìn)行Self/Nonself的判定，對Nonself抗原及時(shí)的作出免疫反應(yīng)并加以清除，以維護(hù)機(jī)體的安全與穩(wěn)定。自然免疫系統(tǒng)的許多優(yōu)良特性對工程技術(shù)而言是極具吸引力的，人工免疫技術(shù)已被許多學(xué)者深入研究并廣泛應(yīng)用，其中最為直接的應(yīng)用便是入侵檢測。關(guān)于“如何在復(fù)雜多變的環(huán)境中維護(hù)系統(tǒng)的

4、安全與穩(wěn)定”這一問題上，自然免疫系統(tǒng)與入侵檢測系統(tǒng)有很大的共性。借鑒自然免疫系統(tǒng)，可在系統(tǒng)架構(gòu)、檢測機(jī)制和檢測算法等多方面對傳統(tǒng)的入侵檢測技術(shù)進(jìn)行完善，賦予入侵檢測系統(tǒng)許多新的仿生學(xué)的優(yōu)良特性。 本文首先詳細(xì)介紹了自然免疫系統(tǒng)的組成結(jié)構(gòu)和各種免疫機(jī)制。然后對入侵檢測系統(tǒng)的歷史、分類及當(dāng)前將免疫機(jī)理應(yīng)用到入侵檢測技術(shù)的各種主要研究作了介紹，著重分析了三個(gè)主要研究小組的成果。之后，在前人工作的基礎(chǔ)上，提出了一個(gè)完整的基于免疫機(jī)理的網(wǎng)

5、絡(luò)入侵檢測系統(tǒng)模型——aiIDS。該模型由七個(gè)組件構(gòu)成，通過這七個(gè)組件的協(xié)同工作，模擬了一個(gè)較為完整的自然免疫系統(tǒng)。整個(gè)系統(tǒng)以“檢測器”（相當(dāng)于機(jī)體內(nèi)的抗體）為中心；由“檢測器生成組件”和“檢測器維護(hù)組件”動(dòng)態(tài)地維持著一個(gè)檢測器集合；由“檢測組件”利用這些檢測器，對待檢對象進(jìn)行Self/Nonself的判定，“異常監(jiān)視組件”在檢測過程中提供必要的協(xié)同刺激；而待檢對象則是由“數(shù)據(jù)包捕獲組件”和“特征提取及編碼組件”經(jīng)預(yù)處理后送來的網(wǎng)絡(luò)連接

6、行為。該模型具有自然免疫系統(tǒng)的諸多優(yōu)良特性，如多層次、多樣性、獨(dú)特性、動(dòng)態(tài)防護(hù)性、自適應(yīng)性、聯(lián)想記憶等，通過多個(gè)組件的協(xié)同工作，模擬了自然免疫系統(tǒng)地各種免疫機(jī)制。 在檢測器編碼方面，考慮到正常行為與異常行為之間界限的模糊性，提出了利用模糊概念的編碼方案，可以在不降低檢測效率的前提下，極大程度的減小了檢測器編碼的長度，同時(shí)提高了檢測效率。在親和力的計(jì)算方面，提出了一種基于異常信號的動(dòng)態(tài)權(quán)值分配算法，通過異常信號反映出的系統(tǒng)所處當(dāng)前

7、的環(huán)境，對各基因?qū)傩缘臋?quán)值進(jìn)行動(dòng)態(tài)的調(diào)整。這樣做既提高了親和力的計(jì)算速度，同時(shí)解決了傳統(tǒng)的親和力算法無法適應(yīng)正常與異常的界限隨時(shí)間動(dòng)態(tài)變化的問題。 最后，我們在Linux 2.6.18.1平臺下對該模型進(jìn)行了實(shí)現(xiàn)，各組件分別被實(shí)現(xiàn)為一個(gè)線程。網(wǎng)絡(luò)流量樣本選用DARPA 1999入侵檢測評估計(jì)劃提供的數(shù)據(jù)集。其中，選取第一周的數(shù)據(jù)集為訓(xùn)練數(shù)據(jù)，通過訓(xùn)練，得到自體輪廓和自體庫；選取第二周的數(shù)據(jù)集為實(shí)驗(yàn)數(shù)據(jù)，其中包含了人為加入的若干攻