基于危险理论与数理统计的入侵检测模型
摘要：分析了危险理论的基本机制，针对处理危险信号的特点，提出了基于特征串HAMMING距离的数理统计匹配算法，并以该算法来优化协同信号的产生，以及操作抗原与抗体的匹配，最后给出了基于该算法的入侵检测模型。
关键词：计算机免疫；危险理论；入侵检测；危险信号；数理统计
1 引 言
20世纪90年代，由Forrest博士将生物学的免疫机制引入到汁算机领域，提出了著名的自我一非自我(Self-Non Self，SNS)理论。但随着信息技术和人工智能技术的发展，人们逐渐意识到这种机制并不能很好的反映计算机安全防御的复杂程度，于是在近年由Polly Matzinger提出了新的免疫机制危险理论，只区分危险信号(Danger Signal)的有无，机体内的细胞不论是受到内源性因素还是外源性因素的作用，只要它们发生损伤，就会向APC发出危险信号，促使APC进入活化状态，然后经过一系列细胞问的相互作用，启动特异性免疫应答，执行免疫系统的防卫功能。
在基于危险理论模式的免疫系统中，只是对危险区域内的抗体细胞进行活化以使之抗原进行识别。危险模式的免疫系统中的防御细胞(包括B、T细胞。其中T细胞分为TH细胞和TK细胞)在系统中的作用与传统的免疫系统不同，同时系统响应的内容也不一样。
危险理论在人工免疫系统(AIS)领域是—个相对较新的研究方向。对“危险”的定义是将危险理论用于人工免疫系统所需要解决的核心问题”。
在该领域，学者们也展开了大量的研究，刘赛，徐斌在2004年讨论了一个能检测较大范围网络入侵的免疫遗传学算法，并在—个新的模式识别器中引入了遗传算法的相关知识。2005年宋程等提出了一种基于人工免疫原理的未知病毒检测方法151，通过对进程行为的检测来提呈抗原，进而定义了自体，并给出了一个基于免疫细胞机制的检测算法来检测未知病毒，实验结果表明这是一种有效地检测未知病毒的方法。高海华等采用改进的二进制粒子群优化进行入侵特征子集选择，粒子群中每个粒子代表—个选择的特征子集，结合支持向量机使用该特征子集所对应的数据集进行分类，正确分类结果作为该粒子的适应度，通过粒子群优化实现最优入侵特征选择目。
本文针对这些方法的缺陷，在计算机免疫模型和危险理论机制基础上提出了基于特征串HAMMING距离数理统计的匹配算法，使成熟检测元的取得更加非线性。本文的组织结构为：第2章介绍算法和模型的理论基础和依据；第3章给出算法和模型的详细设计；第4章是算法的分析和实验结论；最后为总结。
2 算法及模型的理论依据和设计思想
2．1危险理论
危险理论在人工免疫系统(AIS)领域是一个相对较新的研究方向。该理论提出了不同于传统自我一非我模型的新观点。它解释了传统人类免疫系统(HIS)理论中存在的问题，促进了人工免疫系统的发展。
(1)危险信号(Signal 0)。在免疫系统中由细胞的非常规死亡产生。人工免疫系统中可以是各种灾害性的信号，如在计算机系统中进程的异常死亡。
(2)抗原提呈信号(Signal 1)。对于B和TK细胞来说，抗原提呈信号根据B和TK细胞表面的抗原特异性对抗原进行识别，然后产生抗原提呈信号传递到TH细胞。APCs虽然没有抗原特异性，但可通过表面模型来与感染性抗原发生识别。虽然几种防御细胞产生抗原提呈信号的过程和原理有所不同，但在人工免疫计算方面，过程及表达均满足格式的一致。
(3)协同刺激信号(Signal 2)。在免疫系统中由APC产生。具体是当APCs进入活化状态时才产生协同刺激信号。在人工免疫中则是使人对某种现象产生的情感认识，如喜欢、讨厌、有兴趣、无兴趣这些隋感信号。
2．2基于HAMMING距离数理统计的子处理
首先仍然是将网络数据包上的IP域、TCP域、UDP域和ICMP域的数据经过模式化成一定长特征串，再对危险区域中的特征串(抗原)和抗体库中的特征串进行模式匹配，改进的核心地方是匹配方式和成熟检测元的更新和分类，由原先的线性匹配改为基于HAMMING距离数理统计的非线性匹配方式。在检测元生成阶段，将一定时间内正常的网络特征串构造成两个集，并计算两个集合之间的笛卡尔集合，得到最小HAMMING距离的集合，记平均HAMMING距离手，再将随机生成的特征串与其中一个集作相同处理，由于其随机性满足正态分布。通过构造—个适宜参数假设检验的统计量，并在两个母体中对平均距离参数进行假设检验，由此反映匹配的信息。
3 算法的具体实现及新的入侵检测模型
步骤1由异常状态产生并接收系统危险信号SignalO。
步骤2由系统各结构对该危险信号Signal0产生应答，如果各结构(类似细胞的APCs)都与危险组织发生模式匹配，则计算该区域，并发出协同刺激信号Signall。
步骤3对于只发出SignalO未发出Signall的系统组织。
入侵检测系统并不处理，即耐受。若I司时发出Signal0和sig—nail，当然一定在危险区域。入侵检测系统启动抗体库的特征串与处于危险区域中的抗原进行匹配，出于非线性的考虑，本模型采用的是基于HAMMING距离的数理统计匹配算法。
步骤4设定一定的阈值，当抗体库与抗原的亲和匹配值超过这个阈值时，除去该抗原，并处理掉该抗原，同时发出危险信号Signal2。将这些抗原特征串复制到抗体库中，对应人工免疫的“克隆”。
4 算法的性能分析和模型的实验结论
Forrest提出的r连续位的匹配规则是存在问题的：(1)比如两个特征串之问只有连续r_l位匹配，该选择算法认为其是不匹配的，而实际从整体上把握却差异很小，系统就会漏报；(2)两个特征串中有r位是匹配的，而这r位中都是代表安全影响级别不高的状态特征位的，而很多特征位不存在入侵内容，系统就会误报；连续位匹配规则是一种线性的匹配方式，而实际上采用非线性的匹配方法更能反映信息化本身的非线性和非对称性。
另外，就免疫系统自身来看，其具有很强的自适应性，高效性，智能性的特点，凶此需要对已经产生的检测元进行再学习，再分类，使之具备自我完善，自我分类，自我更新的能力。
在装有LINUX的AIX小型机仿真平台上，运用WINPCAP在模拟网格中抓取IP包，运用解析算法解析成二进制字符串。
然后分别用HAMMING距离和尺连续位匹配算法，前者采用DND模式，后者采用SNS机制分别计算亲和度。
实验发现，用基于SNS模式的R连续位匹配算法对样本数据进行入侵检测，和用基于危险理论的数理统计模型建立两个识别器，在两识别器之间不断进行比较，使误差E2减小趋于o，同时使得全局误差E1趋近于估计的误差范围前后两识别器在检测模型计算前后两次评价，以及目标和实际的接近。这里仅就数理统计匹配的效果进行测试，对四个外部评估数据时进行的小测试：令入侵行为数值为0.75，只要存在任意两个以上不安全行为值大于0.75就输出报警，约需经过13000次以上，设置2～10个隐藏单元(即使设置过多隐藏单元，会发现多数隐藏节点作用会快速收敛到0)用合理数据实验，对这种简单行为数值就可以很好地评价出其性质，最后误差小于0．65％，若直接在输入段输入自己的入侵行为数据值。可以在与0．75相差3％范围内逼近，明显提高了入侵的误检测率。
实验的结果表明，如以前位匹配被忽略的情况已经不存在了，例如特征串0110100101和1110110101，当r=5时系统认为是不匹配的，但是两个字符串的核心位却是匹配的，因此需要从总体上把握，当运用这种基于HAMMING距离数理统计的算法时，检测元通过了Self的匹配检测，对入侵数据的检测率有了明显的提高，从而显示非线性匹配检测对提高检测效果的重要性。用得到的数据与基于r连续位匹配方式做比较，发现基于HAMMING距离数理统计的匹配算法，无论从提高检测率还是减少误检率都明显优于r连续位匹配算法。另一方面，由于使用危险理论进行分类，可以很好地区分干扰数据，使非危险集的生成更合理，有利于成熟检测元的更新，提高了识别的正确性。
5 结束语
本文将数理统计和危险理论引入基于免疫原理的入侵检测系统，就检测元的生成和更新机制、匹配算法上做了比较深入的探讨，并且在此基础上构造了新的检测模型，经过分析试验结果得出，采用数理统计这种非线性的匹配方式，并结合危险理论这种机制可以有效地提高系统的效率，使得系统更具自适应性和智能性。
关键词：计算机免疫；危险理论；入侵检测；危险信号；数理统计
1 引 言
20世纪90年代，由Forrest博士将生物学的免疫机制引入到汁算机领域，提出了著名的自我一非自我(Self-Non Self，SNS)理论。但随着信息技术和人工智能技术的发展，人们逐渐意识到这种机制并不能很好的反映计算机安全防御的复杂程度，于是在近年由Polly Matzinger提出了新的免疫机制危险理论，只区分危险信号(Danger Signal)的有无，机体内的细胞不论是受到内源性因素还是外源性因素的作用，只要它们发生损伤，就会向APC发出危险信号，促使APC进入活化状态，然后经过一系列细胞问的相互作用，启动特异性免疫应答，执行免疫系统的防卫功能。
在基于危险理论模式的免疫系统中，只是对危险区域内的抗体细胞进行活化以使之抗原进行识别。危险模式的免疫系统中的防御细胞(包括B、T细胞。其中T细胞分为TH细胞和TK细胞)在系统中的作用与传统的免疫系统不同，同时系统响应的内容也不一样。
危险理论在人工免疫系统(AIS)领域是—个相对较新的研究方向。对“危险”的定义是将危险理论用于人工免疫系统所需要解决的核心问题”。
在该领域，学者们也展开了大量的研究，刘赛，徐斌在2004年讨论了一个能检测较大范围网络入侵的免疫遗传学算法，并在—个新的模式识别器中引入了遗传算法的相关知识。2005年宋程等提出了一种基于人工免疫原理的未知病毒检测方法151，通过对进程行为的检测来提呈抗原，进而定义了自体，并给出了一个基于免疫细胞机制的检测算法来检测未知病毒，实验结果表明这是一种有效地检测未知病毒的方法。高海华等采用改进的二进制粒子群优化进行入侵特征子集选择，粒子群中每个粒子代表—个选择的特征子集，结合支持向量机使用该特征子集所对应的数据集进行分类，正确分类结果作为该粒子的适应度，通过粒子群优化实现最优入侵特征选择目。
本文针对这些方法的缺陷，在计算机免疫模型和危险理论机制基础上提出了基于特征串HAMMING距离数理统计的匹配算法，使成熟检测元的取得更加非线性。本文的组织结构为：第2章介绍算法和模型的理论基础和依据；第3章给出算法和模型的详细设计；第4章是算法的分析和实验结论；最后为总结。
2 算法及模型的理论依据和设计思想
2．1危险理论
危险理论在人工免疫系统(AIS)领域是一个相对较新的研究方向。该理论提出了不同于传统自我一非我模型的新观点。它解释了传统人类免疫系统(HIS)理论中存在的问题，促进了人工免疫系统的发展。
(1)危险信号(Signal 0)。在免疫系统中由细胞的非常规死亡产生。人工免疫系统中可以是各种灾害性的信号，如在计算机系统中进程的异常死亡。
(2)抗原提呈信号(Signal 1)。对于B和TK细胞来说，抗原提呈信号根据B和TK细胞表面的抗原特异性对抗原进行识别，然后产生抗原提呈信号传递到TH细胞。APCs虽然没有抗原特异性，但可通过表面模型来与感染性抗原发生识别。虽然几种防御细胞产生抗原提呈信号的过程和原理有所不同，但在人工免疫计算方面，过程及表达均满足格式的一致。
(3)协同刺激信号(Signal 2)。在免疫系统中由APC产生。具体是当APCs进入活化状态时才产生协同刺激信号。在人工免疫中则是使人对某种现象产生的情感认识，如喜欢、讨厌、有兴趣、无兴趣这些隋感信号。
2．2基于HAMMING距离数理统计的子处理
首先仍然是将网络数据包上的IP域、TCP域、UDP域和ICMP域的数据经过模式化成一定长特征串，再对危险区域中的特征串(抗原)和抗体库中的特征串进行模式匹配，改进的核心地方是匹配方式和成熟检测元的更新和分类，由原先的线性匹配改为基于HAMMING距离数理统计的非线性匹配方式。在检测元生成阶段，将一定时间内正常的网络特征串构造成两个集，并计算两个集合之间的笛卡尔集合，得到最小HAMMING距离的集合，记平均HAMMING距离手，再将随机生成的特征串与其中一个集作相同处理，由于其随机性满足正态分布。通过构造—个适宜参数假设检验的统计量，并在两个母体中对平均距离参数进行假设检验，由此反映匹配的信息。
3 算法的具体实现及新的入侵检测模型
步骤1由异常状态产生并接收系统危险信号SignalO。
步骤2由系统各结构对该危险信号Signal0产生应答，如果各结构(类似细胞的APCs)都与危险组织发生模式匹配，则计算该区域，并发出协同刺激信号Signall。
步骤3对于只发出SignalO未发出Signall的系统组织。
入侵检测系统并不处理，即耐受。若I司时发出Signal0和sig—nail，当然一定在危险区域。入侵检测系统启动抗体库的特征串与处于危险区域中的抗原进行匹配，出于非线性的考虑，本模型采用的是基于HAMMING距离的数理统计匹配算法。
步骤4设定一定的阈值，当抗体库与抗原的亲和匹配值超过这个阈值时，除去该抗原，并处理掉该抗原，同时发出危险信号Signal2。将这些抗原特征串复制到抗体库中，对应人工免疫的“克隆”。
4 算法的性能分析和模型的实验结论
Forrest提出的r连续位的匹配规则是存在问题的：(1)比如两个特征串之问只有连续r_l位匹配，该选择算法认为其是不匹配的，而实际从整体上把握却差异很小，系统就会漏报；(2)两个特征串中有r位是匹配的，而这r位中都是代表安全影响级别不高的状态特征位的，而很多特征位不存在入侵内容，系统就会误报；连续位匹配规则是一种线性的匹配方式，而实际上采用非线性的匹配方法更能反映信息化本身的非线性和非对称性。
另外，就免疫系统自身来看，其具有很强的自适应性，高效性，智能性的特点，凶此需要对已经产生的检测元进行再学习，再分类，使之具备自我完善，自我分类，自我更新的能力。
在装有LINUX的AIX小型机仿真平台上，运用WINPCAP在模拟网格中抓取IP包，运用解析算法解析成二进制字符串。
然后分别用HAMMING距离和尺连续位匹配算法，前者采用DND模式，后者采用SNS机制分别计算亲和度。
实验发现，用基于SNS模式的R连续位匹配算法对样本数据进行入侵检测，和用基于危险理论的数理统计模型建立两个识别器，在两识别器之间不断进行比较，使误差E2减小趋于o，同时使得全局误差E1趋近于估计的误差范围前后两识别器在检测模型计算前后两次评价，以及目标和实际的接近。这里仅就数理统计匹配的效果进行测试，对四个外部评估数据时进行的小测试：令入侵行为数值为0.75，只要存在任意两个以上不安全行为值大于0.75就输出报警，约需经过13000次以上，设置2～10个隐藏单元(即使设置过多隐藏单元，会发现多数隐藏节点作用会快速收敛到0)用合理数据实验，对这种简单行为数值就可以很好地评价出其性质，最后误差小于0．65％，若直接在输入段输入自己的入侵行为数据值。可以在与0．75相差3％范围内逼近，明显提高了入侵的误检测率。
实验的结果表明，如以前位匹配被忽略的情况已经不存在了，例如特征串0110100101和1110110101，当r=5时系统认为是不匹配的，但是两个字符串的核心位却是匹配的，因此需要从总体上把握，当运用这种基于HAMMING距离数理统计的算法时，检测元通过了Self的匹配检测，对入侵数据的检测率有了明显的提高，从而显示非线性匹配检测对提高检测效果的重要性。用得到的数据与基于r连续位匹配方式做比较，发现基于HAMMING距离数理统计的匹配算法，无论从提高检测率还是减少误检率都明显优于r连续位匹配算法。另一方面，由于使用危险理论进行分类，可以很好地区分干扰数据，使非危险集的生成更合理，有利于成熟检测元的更新，提高了识别的正确性。
5 结束语
本文将数理统计和危险理论引入基于免疫原理的入侵检测系统，就检测元的生成和更新机制、匹配算法上做了比较深入的探讨，并且在此基础上构造了新的检测模型，经过分析试验结果得出，采用数理统计这种非线性的匹配方式，并结合危险理论这种机制可以有效地提高系统的效率，使得系统更具自适应性和智能性。