基于免疫的入侵检测系统中检测器性能研究

【摘要】：随着网络技术的迅猛发展,网络环境越来越复杂、黑客的攻击手段层出不穷,传统的入侵检测方法已无法适应这种不断变化的网络环境。人工免疫系统理论是从生物学中提取的一套智能化计算理论。免疫系统所具有的天然的分布性、鲁棒性和自组织性等优良特性,使得基于免疫的入侵检测技术成为网络安全领域的一个研究热点。本文以基于免疫的入侵检测系统中的检测器为研究对象,围绕检测器的性能,深入研究检测器性能提升方法。 借鉴生物免疫系统的自体耐受机理,从提升实值检测器覆盖性能的角度出发,提出基于自体区域的实值检测器生成算法。该算法借助自体区域提供的信息进行局部训练,提升检测器训练效率；使用具有侵略性的解释描述检测器,提升了检测器在边界处的覆盖性能；采用混合搜索方式搜索非自体空间,该搜索方式结合了随机搜索和进化搜索的优点,能够提升检测器的覆盖性能,生成最少的检测器覆盖非自体空间。在多个数据集上的实验结果表明,该算法不仅可以有效改善检测器的覆盖性能,还能够显著提升检测器训练效率。 借鉴生物免疫系统对抗体细胞自身性能提升的机理,从提升实值检测器的识别和分布性能角度出发,提出基于主成分加权的实值否定选择算法。该算法使用主成分分析法提取特征向量的主成分,构造主成分空间,可以提升检测器的识别性能；通过在主成分空间上利用加权欧氏距离作为匹配规则训练检测器,可以提升检测器的分布性能。通过在维数不同的数据集上的测试以及与原始的实值否定选择算法的比较表明,该算法弥补了实值检测器生成算法在高维形态空间中的缺陷,能够提升检测器在高维形态空间中的检测性能。 受到生物免疫系统为了适应复杂环境而改变抗原决定基现象的启发,针对实值检测器在知识利用和处理混合型数据方面的局限,提出一种检测器的邻域表示方法,并依此提出了邻域否定选择算法。该算法利用数据的集合特性,以空间中相邻却不相交的邻域表示自体样本/检测器,采用了一种类似于Hamming距离的匹配规则,从数据的相似性角度出发,训练检测器。邻域否定选择算法生成的检测器能够克服空间维数的影响并很好地处理混合型数据,但其属性邻域划分方法却无法适应不断变化的网络环境,使算法的搜索范围无法确定。在此基础上提出的自适应邻域否定选择算法,利用基于熵的离散化方法,根据实际检测环境,对连续型属性进行划分。通过实验比较邻域表示法和实值表示法,证明邻域表示法更具优越性。 为了向检测器提供更加丰富可靠的知识,提出了一种检测器处理对象的提取方法。该方法以网络流为基础,采用现金登记模型存储网络流的概要信息,提取多种网络流特征组成特征向量,最后将网络流特征向量作为检测器的检测对象进行检测。通过对比实值否定选择算法在不同特征向量集合中的检测结果,证明网络流特征向量能够向检测器提供丰富的知识,进而提高检测器的检测性能。 本文对基于免疫的入侵检测系统中检测器性能的研究,不但可以有效提升入侵检测系统的综合检测性能,还使得入侵检测系统更具实用化。