用于網(wǎng)絡(luò)入侵檢測的群體協(xié)同人工淋巴細(xì)胞模型

安輝耀，吳澤俊，王新安，王秀云

(1. 北京大學(xué) 信息科學(xué)技術(shù)學(xué)院，北京 100871；2. 北京大學(xué) 深圳研究生院 集成微系統(tǒng)科學(xué)工程與應(yīng)用重點(diǎn)實(shí)驗(yàn)室，廣東 深圳 518055；3. 武漢大學(xué) 國際軟件學(xué)院，湖北 武漢 430079)

1 引言

隨著網(wǎng)絡(luò)信息化發(fā)展和Internet的普及，網(wǎng)絡(luò)開放性帶來的信息安全問題日益嚴(yán)重，黑客攻擊和網(wǎng)絡(luò)犯罪正以驚人的速度在全球蔓延。網(wǎng)絡(luò)中千變?nèi)f化的信息隱含了大量的危險（入侵、危害、病毒、惡意行為等），這些具有不確定性特點(diǎn)的危險信息，與復(fù)雜網(wǎng)絡(luò)環(huán)境息息相關(guān)。變化性、動態(tài)性、不確定性給信息系統(tǒng)安全造成了極大的威脅。

傳統(tǒng)的入侵檢測策略試圖用一種靜態(tài)的、形式化的、有限的方法來描述一個多變的、無限的、未知的世界，這樣就會陷入一個永無休止的防御怪圈：新危險的出現(xiàn)造成危害，由專家研究找到危險的形式化特征，然后發(fā)布處理策略，接著再次面對新的危險，如此反復(fù)。因此，在復(fù)雜的網(wǎng)絡(luò)環(huán)境和多變的應(yīng)用背景下，信息安全面臨新的問題和需求，呼喚新的方法和思路。

網(wǎng)絡(luò)安全問題與生物免疫系統(tǒng)所遇到的問題具有驚人的相似性，兩者都要在不斷變化的環(huán)境中維持系統(tǒng)的穩(wěn)定性。在當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域面臨諸多困難和挑戰(zhàn)的時期，學(xué)者們從生物免疫原理獲得靈感，提出網(wǎng)絡(luò)安全仿生方法“人工免疫學(xué)”，具有非常重要的意義。目前，人工免疫學(xué)的應(yīng)用主要集中在計(jì)算機(jī)病毒和網(wǎng)絡(luò)入侵檢測。以IBM計(jì)算機(jī)病毒研究中心為代表，提出了基于免疫原理的計(jì)算機(jī)免疫系統(tǒng)，用于防止計(jì)算機(jī)病毒的入侵。

在將人工免疫學(xué)用于入侵檢測的研究過程中，學(xué)者們提出了諸多人工免疫模型[1～5]，包括反向選擇模型、克隆選擇模型、染色體模型、免疫網(wǎng)絡(luò)模型等，但這些模型存在共性問題急需解決。

1) 多樣性缺乏問題：用某種人工免疫模型解決特定領(lǐng)域問題時效果較好，但隨著應(yīng)用環(huán)境和安全需求的變化，模型的多樣性和適應(yīng)能力不夠；

2) 空洞（holes）問題：多用單一模型解決單一問題，某些復(fù)雜入侵檢測問題的特殊空間無法被單一模型覆蓋，多種模型混合檢測的研究較少；

3) 縮放（scaling）問題：在處理真正的大數(shù)據(jù)量的網(wǎng)絡(luò)通信數(shù)據(jù)時，免疫模型產(chǎn)生較大的誤報(bào)率和漏報(bào)率。

基于上述原因，本文借鑒生物免疫原理中的協(xié)同刺激特性，提出一種多淋巴細(xì)胞模型混合入侵檢測方法，讓不同類型的免疫模型協(xié)同工作。

2 相關(guān)研究

2.1 網(wǎng)絡(luò)安全面臨的問題

以網(wǎng)絡(luò)攻擊為例：拒絕服務(wù)式攻擊的特點(diǎn)是產(chǎn)生海量網(wǎng)絡(luò)數(shù)據(jù)包，同時產(chǎn)生大量惡意服務(wù)請求，導(dǎo)致網(wǎng)絡(luò)流量的復(fù)雜性，在網(wǎng)絡(luò)級上表現(xiàn)出顯著的異常，包括洪水包泛濫、突發(fā)性擁塞等，如何準(zhǔn)確和迅速地檢測拒絕服務(wù)攻擊，以保障網(wǎng)絡(luò)設(shè)施的可用性，是一個極具挑戰(zhàn)性的安全問題[6]；蠕蟲攻擊的特點(diǎn)是迅速繁殖、耗盡主機(jī)資源，并主動感染其他主機(jī)資源，在主機(jī)級上體現(xiàn)出明顯的特征；木馬攻擊的特點(diǎn)是駐留進(jìn)程、隱藏自身，并定時發(fā)作、竊取資源，在系統(tǒng)級上呈現(xiàn)出特別的征兆。

不同的攻擊行為在不同的資源側(cè)面上，包括在網(wǎng)絡(luò)級、主機(jī)級、系統(tǒng)級上，展現(xiàn)出不同的特性。

1) 攻擊行為的多樣性：使得新的網(wǎng)絡(luò)攻擊演變、組合，改進(jìn)上述多個側(cè)面的特性；比如“熊貓燒香”病毒在植入木馬后同時進(jìn)行蠕蟲攻擊，其變種會進(jìn)行拒絕服務(wù)式攻擊，是典型混合型病毒。

2) 攻擊行為的偽裝性：使得某些被特別關(guān)注的側(cè)面特性并不明顯，但是另外一些真正有問題的側(cè)面容易被忽視和遺漏；比如“沖擊波”病毒，感染后的最初病癥體現(xiàn)在產(chǎn)生超負(fù)荷的網(wǎng)絡(luò)連接，而其根本殺傷性在于破壞系統(tǒng)核心進(jìn)程，具有隱蔽性。

3) 攻擊行為的智能性：使得攻擊特征隨著攻擊時間的推移和攻擊任務(wù)的執(zhí)行在不同側(cè)面間進(jìn)行切換，防范只能疲于應(yīng)付；比如“變形”病毒，是典型的多態(tài)病毒，會根據(jù)環(huán)境的變化改變行為模式和破壞策略。

基于異常檢測的防火墻技術(shù)、漏洞修補(bǔ)技術(shù)、殺毒技術(shù)等，以及現(xiàn)有的基于單模型的人工免疫學(xué)方法，只能獨(dú)立應(yīng)對某個側(cè)面的安全問題，而無法聯(lián)合應(yīng)對復(fù)雜入侵檢測問題。

2.2 人工免疫學(xué)研究現(xiàn)狀

近年來許多國外科研機(jī)構(gòu)對人工免疫學(xué)進(jìn)行了較為深入的研究：美國新墨西哥大學(xué)Forrest從事人工免疫學(xué)系統(tǒng)理論框架研究[7]，提出R鄰域位匹配方式和反向（陰性）選擇算法；美國孟菲斯大學(xué)Dasgupta從事人工免疫系統(tǒng)應(yīng)用研究[8]，提出多維向量異常檢測方法；英國約克大學(xué) Timmis從事免疫網(wǎng)絡(luò)研究，應(yīng)用于分類聚類問題；英國諾丁漢大學(xué)Uwe從事危險理論研究。在國內(nèi)，武漢大學(xué)梁意文從事人工免疫學(xué)中淋巴細(xì)胞和預(yù)警模型研究[9]，提出染色體模型；中國科學(xué)技術(shù)大學(xué)王煦法從事免疫遺傳算法的研究[10]；四川大學(xué)李濤[11]關(guān)注免疫模型及風(fēng)險檢測；西安交通大學(xué)焦李成關(guān)注免疫規(guī)劃類問題。在將人工免疫學(xué)用于異常檢測的研究過程中，有3類問題需要解決：1) 多樣性缺乏問題；2)空洞問題；3) 縮放問題。下面具體闡述這些問題。

2.3 工免疫學(xué)面臨的問題

2.3.1 識別器模型缺乏多樣性

人工免疫學(xué)的研究已經(jīng)證明，特定免疫模型的表達(dá)方式對于檢測特定類別的入侵形式最有效，表1舉了幾個常見的入侵手段和相應(yīng)的表達(dá)方式。網(wǎng)絡(luò)入侵通?；祀s多種入侵形式，安全系統(tǒng)不能只識別某種入侵形式，如果希望能夠應(yīng)付復(fù)雜的、混合的入侵，對應(yīng)到人工免疫系統(tǒng)中就需要保留多種識別器的表示方式。

表1 入侵手段與識別器表達(dá)方式對應(yīng)關(guān)系

2.3.2 Holes問題

Holes問題實(shí)質(zhì)上是空間覆蓋問題。這個問題與免疫模型中自我和非我（Self和Nonself）空間布局的不規(guī)則有關(guān)。如圖1所示中間的不規(guī)則陰影是Self空間，使用單一的圓型識別器基于反向選擇無法覆蓋到Self附近的Nonself，這不是通過改進(jìn)匹配算法可以解決的。因?yàn)槟芨采w到Self空間附近Nonself的識別器由于同時覆蓋到了Self而在反向選擇中被淘汰。

圖1 覆蓋空洞問題

2.3.3 Scaling問題

Scaling問題實(shí)質(zhì)上是空間比例問題。Kim通過實(shí)驗(yàn)證明[12]，由于Self集定義的局限性，只有在被檢測對象是網(wǎng)絡(luò)通訊數(shù)據(jù)的一個小的子集時反向選擇算法才是有效的，在處理真正的大數(shù)據(jù)量的網(wǎng)絡(luò)通信數(shù)據(jù)時會產(chǎn)生較大的縮放問題，并且僅適用于做無效識別器的過濾器。如圖2所示。

圖2 反向選擇算法的誤差縮放

訓(xùn)練集M '是M的子集，在M'中，由Self反向選擇出的Nonself' = M'-Self，大于真正的Nonself，這在較小的通信數(shù)據(jù)子集中誤差不太明顯，誤判率（即由于定義的Self集的局限性，將訓(xùn)練集外的Self判定為 Nonself）不會很高，但是對于整個M(實(shí)際的海量網(wǎng)絡(luò)通信數(shù)據(jù))來說，Nonself' =M-Self遠(yuǎn)大于真正的Nonself，對訓(xùn)練集外的Self的誤判率過高，這就使得檢測結(jié)果不理想。

目前，人工免疫學(xué)家已經(jīng)意識到上面這些問題的存在，但僅限于在一個層次中、一個側(cè)面上或一個領(lǐng)域里用單一的模型進(jìn)行解決，缺乏站在全局的角度進(jìn)行多模型綜合考慮。

3 生物淋巴細(xì)胞的協(xié)同刺激原理

生物免疫的協(xié)同刺激原理為人工免疫學(xué)解決復(fù)雜入侵檢測問題提供了創(chuàng)新源泉。從組織結(jié)構(gòu)上來看，生物免疫系統(tǒng)是一個多層防御系統(tǒng)[13]。最外層是皮膚粘膜及其附屬物，這是預(yù)防傳染的第一道屏障；一旦病原體進(jìn)入機(jī)體，就由先天免疫機(jī)制和適應(yīng)性免疫機(jī)制處理。天然免疫機(jī)制主要由循環(huán)的清潔細(xì)胞和體液組成，來清除系統(tǒng)中的碎片和抗原，如吞噬細(xì)胞捕獲、吞噬、降解各種異物。適應(yīng)性免疫系統(tǒng)，也稱為后天免疫系統(tǒng)或者獲得性免疫系統(tǒng)，它由大量淋巴細(xì)胞（lymphocytes）組成，因?yàn)樗巧矬w在抗原性異物的刺激下誘導(dǎo)獲得（激活）的，所以稱為適應(yīng)性的。

當(dāng)機(jī)體遇到抗原時，淋巴細(xì)胞會產(chǎn)生反應(yīng)，分泌抗體，消除抗原。人工免疫系統(tǒng)就是基于這種適應(yīng)性免疫機(jī)制提出的，淋巴細(xì)胞分為2類，一類是B細(xì)胞，用于識別Nonself。B細(xì)胞是體液免疫，因?yàn)樗置诔龅目贵w是體液形式的。另一類是T細(xì)胞，而T細(xì)胞又分3種：一種是T輔助細(xì)胞（Th），它的作用是接受先天免疫層提呈的同源抗原，并給原初B細(xì)胞提供一個共刺激信號，確認(rèn) B細(xì)胞識別的是Nonself；一種是T抑制細(xì)胞（Ts），它專門用于識別Self，抑制B細(xì)胞識別到Self，避免產(chǎn)生自免疫現(xiàn)象；第3種是殺傷性T細(xì)胞（CTL），它可以接受先天免疫層提呈的同源抗原，并殺傷受感染的細(xì)胞。

適應(yīng)性免疫系統(tǒng)內(nèi)部，具有群體協(xié)同刺激特性：T細(xì)胞和B細(xì)胞作為適應(yīng)性免疫細(xì)胞中最重要的個體，它們之間會產(chǎn)生刺激信號。T細(xì)胞能為B細(xì)胞提供刺激信號，促使B細(xì)胞的激活；反過來，激活的B細(xì)胞又能作為T細(xì)胞的輔助細(xì)胞。因此，T細(xì)胞與B細(xì)胞之間存在相輔相成的相互刺激。同時，作為淋巴細(xì)胞，T細(xì)胞和B細(xì)胞體現(xiàn)出群體特性，不同類別的淋巴細(xì)胞組合在一起，協(xié)同應(yīng)對病原體的攻擊，產(chǎn)生特異性免疫反應(yīng)。

將生物的協(xié)同刺激特性引入到入侵檢測中來，為傳統(tǒng)的入侵檢測方法提供了新的思路：

1) 將異常感知信息預(yù)分類，抽取抗原多側(cè)面屬性表達(dá)，解決檢測對象不確定問題；

2) 實(shí)現(xiàn)群體淋巴細(xì)胞模型的定義、構(gòu)造、評價，解決檢測方式不確定問題。

4 群體協(xié)同人工淋巴細(xì)胞模型

目前大部分入侵檢測系統(tǒng)主要使用基于誤用的檢測方法，如ISS公司的Realsecure，NFR公司的 Network Flight Recorder，以及開放源代碼的Snort等入侵檢測產(chǎn)品[14]。這些入侵檢測系統(tǒng)主要根據(jù)入侵特征庫來檢測入侵，檢測技術(shù)比較成熟，對于已知的入侵攻擊行為能夠精確地檢測出來。其主要缺點(diǎn)是難以發(fā)現(xiàn)未知的入侵行為以及已知入侵行為的變種?；诋惓５娜肭謾z測正好能彌補(bǔ)這個不足，但是由于缺乏精確地判定系統(tǒng)是正?；蚴钱惓５臏?zhǔn)則，缺乏對于未知入侵的檢測能力。

生物淋巴細(xì)胞的協(xié)同刺激原理采用先天免疫與適應(yīng)性免疫相結(jié)合的方式，由先天的危險信號誘導(dǎo)后天免疫反應(yīng)，具備檢測未知抗原的能力，因此，在入侵檢測過程中借鑒該原理，可以消除入侵檢測的不確定性，尤其針對未知攻擊，可提高檢測率。

4.1 群體人工淋巴細(xì)胞識別器模型的定義

本文假定先天免疫層作為信息采集層，將提呈的、具有格式化數(shù)據(jù)形式的各類抗原信息傳遞給適應(yīng)性免疫層。適應(yīng)性免疫層由3類部件構(gòu)成，包括訓(xùn)練部件、淋巴細(xì)胞模型配置部件、混血評價部件，如圖3所示。淋巴細(xì)胞模型配置部件接收來自先天免疫層的抗原信息，確定淋巴細(xì)胞模型配置方案發(fā)送給訓(xùn)練部件，訓(xùn)練部件訓(xùn)練多模型識別器集合傳送給混血評價部件，混血評價部件讓多種淋巴細(xì)胞模型協(xié)同工作，并發(fā)出淋巴細(xì)胞模型重組請求給淋巴細(xì)胞模型配置部件，識別器類型調(diào)整請求也可以從訓(xùn)練部件發(fā)送到淋巴細(xì)胞模型配置部件。

圖3 適應(yīng)性免疫層結(jié)構(gòu)

滿足適應(yīng)性免疫結(jié)構(gòu)的群體協(xié)同人工淋巴細(xì)胞模型（PCALM, population co-stimulation artificial lymphocyte model）負(fù)責(zé)提供一個最佳的適應(yīng)性免疫檢測方案。本文根據(jù)文獻(xiàn)[15～19]所描述的免疫模型的公共特征，建立如圖4所示的基于識別器生成算法的PCALM。

圖4 淋巴細(xì)胞模型配置結(jié)構(gòu)

淋巴細(xì)胞模型描述器所描述的淋巴細(xì)胞模型由表達(dá)方式單元(Ex)，匹配方式單元(Ma)，訓(xùn)練策略單元(Tr)，評價機(jī)制單元(Ev)和中和反應(yīng)單元(Ne)這 5個單元組成，其中訓(xùn)練策略單元由產(chǎn)生策略，競爭策略，生命周期策略3個子單元組合而成。為了簡化免疫模型，本文固定Tr單元，忽略 Ne單元。因此，淋巴細(xì)胞模型可以表達(dá)為一個三元組：

每一個單元可以由若干可選項(xiàng)經(jīng)選擇后裝配，這些可選項(xiàng)的部分清單如表2所示。

表2 淋巴細(xì)胞模型中各單元的部分可選項(xiàng)

為了防止無效淋巴細(xì)胞模型的產(chǎn)生，淋巴細(xì)胞模型的配置需要參照Ex-Ma關(guān)系表。表3列出了一些典型的Ex和Ma單元的依賴制約關(guān)系。

淋巴細(xì)胞模型集可以根據(jù)表2和表3來裝配。模型參數(shù)由專家根據(jù)所選取的模型進(jìn)行預(yù)設(shè)定，例如數(shù)字序列的長度，r鄰域位匹配時r的值，海明距離的閾值等。表4列出了一些預(yù)裝配的模型，構(gòu)成淋巴細(xì)胞模型庫，括號中的數(shù)字是由專家設(shè)定的參數(shù)值。

表3 Ex-Ma依賴制約關(guān)系

表4 專家裝配淋巴細(xì)胞模型庫示例

對于M1來說，采用數(shù)字序列表達(dá)方式，長度L為 6，數(shù)字序列中每一位的值域是[0…255]，因此A=[0…255]；采用r鄰域位匹配方法，r的值設(shè)置為3；T=1表示獨(dú)裁評價機(jī)制，即只要有一個識別器檢測到異常則判定為異常，T=HALF表示打分評價機(jī)制，即只有當(dāng)至少一半的識別器認(rèn)為異常才判定為入侵。

4.2 群體人工淋巴細(xì)胞模型的演化訓(xùn)練算法

為了保持多淋巴細(xì)胞模型的多樣性和協(xié)同性。本文提出一種淋巴細(xì)胞模型自適應(yīng)調(diào)整算法（SALM, self-regulating algorithm for lymphocyte model），用于動態(tài)調(diào)整淋巴細(xì)胞模型的構(gòu)成，包括模型參數(shù)調(diào)整、模型組成調(diào)整等。

算法1 人工淋巴細(xì)胞模型自適應(yīng)調(diào)整算法

1) 從淋巴細(xì)胞模型庫中根據(jù) Ex-Ma依賴制約關(guān)系表初始化淋巴細(xì)胞模型集合 M={M1, M2,…,Mn}；

2) 在訓(xùn)練部件采用遺傳算法訓(xùn)練每一個淋巴細(xì)胞模型Mi(i=1,…,n)；

3) 遺傳算法的每一代產(chǎn)生多個識別器集合D={D1, D2,…,Dn}，其中 Di={d1, d2, …, dwi}，i=1,…,k，是由淋巴細(xì)胞模型 Mi產(chǎn)生的識別器集，wi表示識別器集合Di的識別器個數(shù)；

4) 每個Di的平均適應(yīng)值記作FDi, 與閾值μ進(jìn)行比較，如果FDi＜ μ，則對Mi中Ma部件的參數(shù)進(jìn)行調(diào)整，并且減少該識別器集合的生命值Lifei，否則相反。給定一個識別器集合Di={d1, d2, …, dwi},采用函數(shù)d_match_self()計(jì)算dj(j=1…wi)和self訓(xùn)練集之間的不匹配程度，并且采用函數(shù)match_nonself()計(jì)算 dj(j=1,…,wi)和 nonself訓(xùn)練集之間的匹配程度。 因此FDi按下面公式計(jì)算：

其中x1和x2是權(quán)重參數(shù)；

5) 將 Mi中 Ma部件的參數(shù)的調(diào)整次數(shù)記為Retryi, 將 Retryi與閾值 δ進(jìn)行比較，如果 Retryi＞ δ，則Mi中Ma部件被其他的可選項(xiàng)代替，并且減少該識別器集合的生命值Lifei，否則相反；

6) 遺傳算法運(yùn)轉(zhuǎn) N代后，得到成熟識別器集合 Dm={Dm1, Dm2,…, Dmn}；

7) 在混血評價部件，評價 Dm的誤判率(FP,fasle positive)和漏判率(FN, false negative,)，將FP、FN 與閾值 β、γ進(jìn)行比較 如果 FP ＜ β或者 FN ＜ γ，則從淋巴細(xì)胞模型庫中重新初始化識別器模型集合，將N設(shè)置為0；

8) 最終將優(yōu)秀識別器集合 De={De1, De2, …,Den} 輸出到實(shí)際應(yīng)用環(huán)境中用于異常檢測。

4.3 群體人工淋巴細(xì)胞模型的協(xié)同評價過程

混血評價部件利用混血評價函數(shù)對識別器集D={D1, D2, D3,…,Dk}進(jìn)行評估?；煅u價函數(shù)fhybrid(x)可以被定義為如下2種形式，即獨(dú)裁評價機(jī)制、打分評價機(jī)制：

其中，fDi(x) (i=1,2,…,k)是識別器集Di的評價函數(shù)，這個函數(shù)取決于在模型配置部件所選擇的評價單元。fDi(x)=1表明Di將x識別為異常；fDi(x)=0則相反，表示識別為正常。

顯然，上面的2種評價函數(shù)表達(dá)了2種不同的混血評價體系。

對于獨(dú)裁評價機(jī)制(函數(shù)(1))，只要有一個識別器集Dj(j∈[1…k])將x判定為異常，那么x就被識別為異常；當(dāng)所有的識別器集D = {D1, D2, D3,…,Dk}將x判定為正常時，x被識別為正常。

對于打分評價機(jī)制(函數(shù)(2))，當(dāng) fhybrid(x)＞ η(0 ≤ η≤ k)時，x被識別為異常，相反則識別為正常。這實(shí)際上是一種打分評價機(jī)制，即由所有 D來合作打分共同決定。本文中，依據(jù)投票過半原則，將 η的值設(shè)置為打分機(jī)制實(shí)質(zhì)上就是協(xié)同工作模式。

5 實(shí)驗(yàn)數(shù)據(jù)與分析

5.1 多層次入侵檢測數(shù)據(jù)分析

根據(jù)對系統(tǒng)防范能力的不同要求，產(chǎn)生的危險信號可能是用戶級、系統(tǒng)級、進(jìn)程級和數(shù)據(jù)包級的。對于不同的受保護(hù)系統(tǒng)，本文所關(guān)注的采樣參數(shù)也有所不同。借鑒和歸納了國內(nèi)外同行的方法，將系統(tǒng)的特征數(shù)據(jù)分為3類。

進(jìn)程級：該級別主要包含了進(jìn)程相關(guān)數(shù)據(jù)，經(jīng)過整理，大概包含了34類屬性。進(jìn)程級別的數(shù)據(jù)，主要包含了進(jìn)程相關(guān)的一系列屬性，涉及到進(jìn)程對資源的消耗情況，如內(nèi)存頁面占用狀況、文件使用情況、CPU使用情況等。

系統(tǒng)級：該級別主要包含了系統(tǒng)資源占用情況，有18個屬性。每5s采集系統(tǒng)數(shù)據(jù)。包含內(nèi)存使用（用戶、進(jìn)程）、CPU負(fù)載（用戶、進(jìn)程）、并發(fā)用戶數(shù)目、進(jìn)程數(shù)目、磁盤使用（文件讀寫文件出錯）等。

網(wǎng)絡(luò)級：該級別主要包含了網(wǎng)絡(luò)響應(yīng)狀況，有67個屬性。從網(wǎng)絡(luò)協(xié)議棧上收集了67個安全屬性，主要包含了活動連接數(shù)目、半開連接數(shù)目、端口數(shù)目等。

此外，病毒或木馬入侵時，往往會修改注冊表，產(chǎn)生一些可疑文件，修改可執(zhí)行文件大小，彈出一些不正常的對話框，甚至影響屏幕顯示和文件打印，這些病毒行為都是用以判斷危險是否發(fā)生的變化依據(jù)。

從網(wǎng)絡(luò)級、主機(jī)級和進(jìn)程級上對各類網(wǎng)絡(luò)入侵樣本，尤其是具有“危險”特性的樣本，進(jìn)行特征抽取，在網(wǎng)絡(luò)級上，針對網(wǎng)絡(luò)流量的復(fù)雜性，通過分析攻擊流量的流長等信息特征指導(dǎo)抽樣，過濾掉攻擊可疑性低的報(bào)文[20]，檢測以SYN攻擊、ICMP攻擊和ARP攻擊為代表的DOS攻擊抗原集，重點(diǎn)采集信息流量的變化；在主機(jī)級上，以典型蠕蟲病毒為抗原，關(guān)注 CPU占用率、內(nèi)存占用率和在關(guān)鍵目錄下文件增加或修改的情況；在進(jìn)程級上，以木馬為研究對象，記錄進(jìn)程端口關(guān)聯(lián)情況、進(jìn)程模塊變化情況和注冊表修改情況等。因此，選取如下異常檢測用例，如表5所示。

表5 攻擊組合形式及異常檢測用例的選擇

5.2 實(shí)驗(yàn)數(shù)據(jù)樣本采集編碼

網(wǎng)絡(luò)級：IP分組頭信息，包括IP地址等。網(wǎng)絡(luò)級IP地址特征值計(jì)算方法：

Nonself Sequence = 000010000000100000（前16bit是 192.168.8.8中 8.8的二進(jìn)制數(shù)，最后 2bit表示分組類型：00為ICMP，01為ARP，10為SYN）

Self Sequence = 010000000000100000（前16bit是192.168.40.8中40.8的二進(jìn)制數(shù)，最后2bit表示分組類型：00為ICMP，01為ARP，10為SYN）

主機(jī)級：在本實(shí)驗(yàn)中，模擬 12bit病毒特征碼信息。主機(jī)級病毒特征碼的計(jì)算方法：

Sequence = 111100000000, 000011111111…（前4bit為1的是Nonself，前4bit為0的是Self）

進(jìn)程級：在本實(shí)驗(yàn)中，模擬木馬行為序列信息。

針對木馬行為定義行為序列：長度為9bit的行為序列串，某一比特為1表示該比特指示的動作發(fā)生了。具體各比特對應(yīng)的行為如表6所示，0～3號行為表示異常行為，4～8號行為表示正常行為。當(dāng)9號行為序列串中異常行為位置等于1的數(shù)目大于或者等于2bit時表示Nonself。例如，011010111表示Nonself，該串第2bit和第3bit為1。

表6 采集行為序列編號及對應(yīng)描述項(xiàng)

5.3 實(shí)驗(yàn)分析

本文實(shí)驗(yàn)將MIT Lincoln實(shí)驗(yàn)室1999年提供的DARPA入侵檢測評價數(shù)據(jù)集作為R1，將5.2描述的局域網(wǎng)入侵檢測數(shù)據(jù)作為R2。本文將R1和R2的部分?jǐn)?shù)據(jù)作為訓(xùn)練集在訓(xùn)練部件中進(jìn)行訓(xùn)練，按特定方式生成3個獨(dú)立的人工淋巴細(xì)胞模型Mi, Mj和Mk。整個識別器集的群體規(guī)模是300個，初始狀態(tài)下每一個人工淋巴細(xì)胞模型有100個識別器個體。利用R1和R2的部分?jǐn)?shù)據(jù)作為測試集對誤判率（FP）和漏判率（FN）的值進(jìn)行評測，最后得到最優(yōu)的多模型集合M = {Mi, Mj, Mk}作為協(xié)同刺激淋巴細(xì)胞群體。

其他的實(shí)驗(yàn)參數(shù)設(shè)置如下。演化代數(shù)是100代，復(fù)制雜交變異概率分別是0.7, 0.25和0.05。η的值設(shè)為50，β和γ設(shè)值為0.3。實(shí)驗(yàn)結(jié)果是10次運(yùn)行結(jié)果的平均值。

實(shí)驗(yàn)1 單模型與多模型比較實(shí)驗(yàn)。

針對數(shù)據(jù)集R1和R2，分別采用單個模型M1,M2, M3進(jìn)行實(shí)驗(yàn)，并采用3個模型進(jìn)行混合實(shí)驗(yàn)，在混合實(shí)驗(yàn)過程中，評價分別采用獨(dú)裁、打分2種方式，經(jīng)過10次實(shí)驗(yàn)后，產(chǎn)生的FP和FN平均實(shí)驗(yàn)結(jié)果如表7所示。

表7 單模型和多模型FP和FN值比較

從表7可以看到，多模型產(chǎn)生的FP 和FN值遠(yuǎn)低于單模型的結(jié)果。當(dāng)多模型采用獨(dú)裁評價方式時，其 FN值低于采用打分評價方式時得到的 FN值，而FP值恰好相反。

由此，可以得到3個實(shí)驗(yàn)分析結(jié)果：1)在訓(xùn)練和測試過程中產(chǎn)生的“壓力”，有效地引導(dǎo)了多個人工淋巴細(xì)胞模型的動態(tài)配置過程，使得多淋巴細(xì)胞協(xié)同工作，從而獲得了更好的自適應(yīng)性和識別能力；2)不同的評價方式產(chǎn)生FP和FN值的變化傾向不同，基于多模型的多種評價方法為不同的應(yīng)用需求提供了更多的選擇；3)無論是多模型還是單模型，對于訓(xùn)練測試集R1和R2，都產(chǎn)生較低的誤判，但是相對于R2，R1的漏判率較高。

實(shí)驗(yàn)2 固定多模型集合比較實(shí)驗(yàn)。

在淋巴細(xì)胞模型初始化階段，固定4種淋巴細(xì)胞集合，即{ M1M2M4}, { M1M3M4}, { M2M3M4},{ M1M2M3}，評價均采用打分評價方式，產(chǎn)生的FP和FN平均實(shí)驗(yàn)結(jié)果如表8所示。

表8 固定多模型集合FP和FN值比較

從表8可以看到，多模型集合{M1M3M4}與多模型{M2M3M4}具有相似的FP和FN值，它們的FP和FN值比{M1M2M4}和{M1M2M3}高，{M1M2M3}的FP和FN值最低。但是將R2作為訓(xùn)練測試集時，這種差異不是很明顯。

由此，可以得到2個結(jié)論：1) M4與M3具有一定的相似性，用M4替代M3所得實(shí)驗(yàn)結(jié)果相對較好，即3個側(cè)面屬性的檢測均有效，而用 M4替代 M2或者M(jìn)3所得實(shí)驗(yàn)結(jié)果相對較差，即某個側(cè)面屬性的檢測失效，可見不同模型之間的協(xié)同效率有差別；2) 由于R1數(shù)據(jù)量遠(yuǎn)遠(yuǎn)大于R2，因此隨著數(shù)據(jù)量的增大，模型的選擇需要更加精確，否則會造成高誤判率和漏判率，說明應(yīng)用環(huán)境的變化導(dǎo)致協(xié)同需求的改變。

5.4 與其他IDS方法比較

針對 MIT Lincoln實(shí)驗(yàn)室 1999年提供的DARPA入侵檢測評價數(shù)據(jù)集，表9給出了采用群體協(xié)同人工淋巴細(xì)胞模型PCALM與其他IDS方法[21]的對比實(shí)驗(yàn)結(jié)果，包括SNORT、BRO和LERAD等優(yōu)秀開源IDS工具，其中群體協(xié)同人工淋巴細(xì)胞{M1M2M3}的檢測率為1-FN，即76.79%。采用群體協(xié)同人工淋巴細(xì)胞模型后，檢測率明顯提高。

表9 固定多模型集合FP和FN值比較

與一般的確定性入侵檢測方法相比，人工淋巴細(xì)胞模型PCALM具有如下特點(diǎn)：

1) PCALM同時搜索解空間中的一系列點(diǎn)，而不只是一個點(diǎn)；

2) PCALM處理使用多模型自適應(yīng)協(xié)同，而不需要預(yù)定義和人工附加信息；

3) PCALM的模型組合方式及參數(shù)變化規(guī)則是隨機(jī)的，不是確定的，更有利于探求問題的全局最優(yōu)解。

基于以上原因，人工淋巴細(xì)胞模型 PCALM 相對于傳統(tǒng)的入侵檢測方法對于未知異常具有更高的檢測率。

6 結(jié)束語

本文以群體協(xié)同刺激人工免疫系統(tǒng)在網(wǎng)絡(luò)入侵檢測的應(yīng)用為出發(fā)點(diǎn)，關(guān)注網(wǎng)絡(luò)級、主機(jī)級和進(jìn)程級的混合入侵形式，在3個級別上進(jìn)行抗原信息提呈，并引導(dǎo)適應(yīng)性免疫系統(tǒng)對各類異常進(jìn)行檢測。對于DoS攻擊，采用淋巴細(xì)胞模型對TCP/IP分組頭信息中的 IP地址進(jìn)行分析，確認(rèn)異常攻擊源；對于蠕蟲病毒，采用淋巴細(xì)胞模型檢測病毒特征碼，對蠕蟲進(jìn)行特異性分析；對于木馬，分析其行為序列，關(guān)注危險進(jìn)程和危險行為。

本文詳細(xì)闡述了人工淋巴細(xì)胞群體的協(xié)同工作原理，包括不同類型淋巴細(xì)胞模型產(chǎn)生的識別器集合的演化訓(xùn)練機(jī)制、協(xié)同評價方法等。與傳統(tǒng)的人工免疫模型相比，群體協(xié)同刺激人工免疫模型具有更強(qiáng)的自適應(yīng)性和協(xié)同性。多淋巴細(xì)胞模型的綜合評價為異常檢測提供了檢測依據(jù)和導(dǎo)向，在面對復(fù)雜異常檢測問題時，能對問題進(jìn)行有針對性的分析、檢測、確認(rèn)，從而擴(kuò)大了檢測范圍，提高了檢測效率，為入侵檢測領(lǐng)域提供了新的仿生思路。

[1] DASGUPTA D. Advances in artificial immune systems[J]. IEEE Computational Intelligence, 2006,1(4)∶40-49.

[2] 段雪濤,賈春福,劉春波.基于層次隱馬爾科夫模型和變長語義模式的入侵檢測方法[J].通信學(xué)報(bào),2010.31,(3)∶109-114.DUAN X T, JIA C F, LIU C B, Intrusion detection method based on hierarchical hidden Markov model and variable-length semantic pattern[J]. Journal on Communications 2010.31,(3) ∶109-114

[3] 張攀勇, 王達(dá)偉, 曾宇等. 專用捕包網(wǎng)絡(luò)適配器的設(shè)計(jì)與實(shí)現(xiàn)[J].通信學(xué)報(bào), 2006,27(2)∶125-130.ZHANG P Y, WANG D W, ZENG Y,et al. Network packet capture oriented INIC design and implementation[J]. Journal on Communications, 2006,27(2)∶125-130.

[4] 閆巧,吳建平,江勇. 入侵檢測系統(tǒng)中的新型協(xié)同信號機(jī)制[J].通信學(xué)報(bào), 2004,25(3)∶11-17.YAN Q, WU J P, JIANG Y. A new costimulation mechanism in intrusion detection systems[J], Journal on Communications, 2004,25(2)∶ 11-17.

[5] 劉欣然.一種新型網(wǎng)絡(luò)攻擊分類體系[J].通信學(xué)報(bào),2006, 27(2)∶160-169.LIU X R. New network attack classification architecture[J]. Journal on Communications, 2006,27(2)∶160-169.

[6] 曹曉梅, 韓志杰, 陳貴海. 基于流量預(yù)測的傳感器網(wǎng)絡(luò)拒絕服務(wù)攻擊檢測方案, 計(jì)算機(jī)學(xué)報(bào), 2007,30(10)∶1798-1805.CAO X M, HAN Z J, CHEN G H. DoS attack detection scheme for sensor networks based on traffic prediction[J]. Chinese Journal of Computers, 2007,30(10)∶1798-1805.

[7] HOFMEYR S, FORREST S. Intrusion Detection∶ Architecture for an Artificial Immune System[J]. Evolutionary Computation, 2000,8(4)∶443-473.

[8] BALACHANDRAN S, DASGUPTA D. A framework for evolving multi-shaped detectors in negative selection[A]. Proceedings of the FOCI 2007[C]. Honolulu, Hawaii, USA, 2007.

[9] 梁意文. 網(wǎng)絡(luò)信息安全的免疫模型[D]. 武漢大學(xué), 2002.LIANG Y W, An Immune Model for Network Information Security[D].University of Wuhan,2002.

[10] 王煦法, 張顯俊. 一種基于免疫原理的遺傳算法[J]. 小型微型計(jì)算機(jī)系統(tǒng), 1999,20(2)∶117-120.WANG X F, ZHANG X J. An improved genetic alogrithm based on Immune principle[J]. Mini-Micro Systems, 1999,20(2)∶117-120.

[11] 李濤. 基于免疫的網(wǎng)絡(luò)安全風(fēng)險檢測[J]. 中國科學(xué) E輯,2005,35(8)∶798-816.LI T. An immunity based network security risk estimation[J]. Science In China Series E∶Information Sciences, 2005, 35(8)∶798-816.

[12] KIM J, BENTLEY P. Toward an artificial immune system for network intrusion detection∶ an investigation of dynamic clonal selection[A]. Published in the proceedings of the special sessions on artificial immune systems in Congress on Evolutionary Computation,IEEE World Congress on Computational Intelligence[C]. Honolulu,Hawaii, 2002.

[13] 楊黎青. 免疫學(xué)基礎(chǔ)與病原生物學(xué)[M]. 中國中醫(yī)藥出版社, 2003.YANG L Q. Basic Immunology & Pathogeneticbiology Germplasm[M]. BeiJing, China Press of Traditional Chinese Medicine,2003

[14] 田大新. 基于異常檢測的智能入侵檢測系統(tǒng)[D]. 吉林大學(xué), 2005.TIAN D X. Artificial Intrusion Detection System Based on Anomaly Detection[D]. University of Jilin,2005.

[15] AICKELIN U, GREENSMITH J, TWYCROSS J. Immune system approaches to intrusion detection – a review[A]. Proc of the Third Internation Conference on Artificial Immune Systems (ICARIS-04)[C].2004. 316-329.

[16] DASGUPTA D, GONZALEZ F. Artificial Immune Systems in Intrusion Detection[M]. Enhancing Computer Security with Smart Technology'(Editor V. Rao Vemuri), Auerbach Publications, 2005. 165- 208.

[17] SHAPIRO J M, LAMONT G B, PETERSON G L. An Evolutionary Algorithm to Generate Hyper-Ellipsoid Detectors for Negative Selection[A]. proceedings of the Genetic and Evolutionary Computation Conference[C].Washington, D.C., 2005.

[18] BENTLEY P, TIMMIS J. A fractal immune network[A]. Proc of the Third Internation Conference on Artificial Immune Systems(ICARIS-04)[C]. 2004.133-145.

[19] GONZALEZ F. A Study of Artificial Immune Systems Applied to Anomaly Detection[D]. The University of Memphis, 2003.

[20] 寧卓, 龔儉, 顧文杰. 高速網(wǎng)絡(luò)中入侵檢測的抽樣方法, 通信學(xué)報(bào),2009,30(11) 27-36.NING Z, GONG J, GU W J. Sampling method for IDS in high bandwidth network，Journal on Communications, 2009 30(11)∶27-36.

[21] 丁曉陽, 錢俊. 基于信息共享的協(xié)同入侵檢測模型研究, 計(jì)算機(jī)與信息技術(shù),2006,(7)∶ 48-53.DING X Y, QIAN J, A Modle Research of Cooperation Intrusion Detection Based on Sharing Information[J]. Computer & Information Technology, 2006(07)∶48-53.