学海网

硕士学位论文 基于人工免疫的入侵检测方法研究，正文共66页，40122字，附开题报告
摘 要
网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信息安全的首要目标。网络安全技术主要有认证授权、数据加密、访问控制、安全审计等。入侵检测技术是安全审计中的核心技术之一，是网络安全防护的重要组成部分。入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在不影响网络性能的情况下能对网络进行监测，提高了信息安全基础结构的完整性。
由于传统的安全预防策略如防火墙均属于静态安全技术，在一定程度上无法对日新月异的攻击手段做出积极主动的响应，不能满足越来越高的安全需求，从而引发了入侵检测这一安全领域的新课题的诞生。传统的入侵检测模型存在一些缺陷，如：不能快速地检测出新出现的异常入侵以及存在较高的误报率；而生物免疫系统可以保护人类机体不受诸如病菌，病毒等各种病原体的侵害，且表现出了分布式保护、多样性、自组织、健壮性等良好特性。这种与入侵检测系统的功能和特征上的惊人相似，引起人们的高度重视，使得借鉴生物免疫系统的原理开发入侵检测技术成为研究热点。
本论文将人工免疫技术引入传统的入侵检测领域，提出了基于否定选择的入侵检测方法。本论文研究的主要内容包括以下几个方面：
(1) 概述了入侵检测技术的概念、模型、分类和发展趋势。
入侵检测是对于企图威胁信息资源完整性、机密性和可用性行为的辨识。基于统计分析的异常检测方法提供了可用于入侵检测的四种统计模型，即：操作模型、方差模型、多元模型以及马尔可夫过程模型，每一种模型适用于一个特定类型的系统度量。入侵检测大致分为两类，第一类为基于特征的检测，它的特点是检测的准确率高，但是不能检测未知攻击，目前特征检测的技术己经成熟。第二类为基于异常的检测，它的特点是能检测一些未知攻击，但是虚警率高，异常检测目前是入侵检测的热点之一。入侵检测技术有向分布式和智能化发展的趋势。
(2) 阐述了自然免疫学的基础知识、人工免疫系统的概念、人工免疫系统的特点、人工免疫系统的发展简史以及人工免疫技术在入侵检测领域的应用现状。
在高等动物和人体内存在一组复杂的免疫系统，免疫系统是一个高度复杂的分布协调自适应系统，它能自适应地识别和排除侵入机体的抗原性异物，并且具有学习、记忆和自适应调节能力，维护机体内环境的稳定。
所谓人工免疫系统，从其发展和应用来看，就是研究借鉴利用生物免疫系统信息处理机制而发展的各类信息处理技术、计算技术及其在工程和科学中应用而产生的各种智能系统的统称。
人工免疫系统具有以下特点：(i) 具有强大的学习能力；(ii) 具有强大的模式识别能力；(iii) 具备分布式的特点；(vi) 具备自适应性的特点；(v) 具备动态性的特点。
S. Forrest等人则在1994年首先提出了否定选择算法，用来生成检测器，完成了检测器的耐受过程，并在1997年左右开始提出计算机免疫系统的概念。S. Forrest等人的研究成果推动了人工免疫系统研究的发展。
目前，生物免疫系统已经成为网络安全和人工免疫系统研究领域中最引人注目的研究热点之一。
(3) 深入地研究了基于人工免疫的入侵检测技术的三个主要算法：否定选择算法、克隆选择算法以及动态克隆选择算法。
S. Forrest等人根据免疫系统的工作机制设计了否定选择算法NSA，引入自我(self)和非我(non_self)识别机制，它把合法用户的正常行为看作self，将其它诸如非法用户行为、合法用户的越权行为、病毒和恶意代码视为非我。
否定选择算法具有如下优点：(i) 其占用的CPU时间是可调的；(ii) 它是分布式的；(iii) 具有识别未知病毒的能力。
尽管S.Hofmeyr认为它是很有前途的，但是采用否定选择算法造成了时间和空间的巨大耗费，使得它不适用于大规模的数据集。而且否定选择算法难以分清文件和数据的正常更动和病毒修改，因此它只适用于静态的数据文件和软件。
克隆选择原理被用来解释免疫系统是怎么与抗原作战的。克隆选择算法在检测系统环境异常的实际应用过程中暴露出一个很严重的问题，那就是要求系统处在一个相对静止的状态。而在实际应用中，今天被认为是正常的行为到了明天就可能成为极度危险的行为。基于这样的问题，Kim和Bentley于2002年提出了动态克隆选择算法(DynamiCS)，主要用于网络入侵检测系统(Network Intrusion Detection System)。
(4) 在已有的人工免疫学研究的基础上，提出了基于否定选择的入侵检测算法，同时对该方法进行检测率和误检率方面的性能测试。
本文采用MIT的KDD’99 (Knowledge Discovery Databases) 进行训练和测试。数据预处理的过程包括：格式转换及离散化、值域的映射以及特征提取。原始数据集经过数据预处理之后，再进行实数编码就会被映射成为平面直角坐标系指定区域中的点集。
通过将实验得到的检测率和误检率图示化的方法，作者详细地分析了自体集分布、成熟检测器数量以及成熟检测器检测半径对入侵检测结果的影响。同时，在入侵检测性能上将基于否定选择的入侵检测方法和其它方法加以比较。
关键词：入侵检测；人工免疫；否定选择算法