陳岳兵，馮超，張權，唐朝京

(1.總參第六十一研究所，北京 100141；2.國防科技大學 電子科學與工程學院，湖南 長沙 410073)

1 引言

人體免疫系統(tǒng)保護人體免受各種病原體的入侵，為入侵檢測系統(tǒng)提供了豐富的啟發(fā)。研究者應用免疫學原理來設計智能計算范例，逐漸發(fā)展成一個新的研究領域，稱為人工免疫系統(tǒng)[1]。研究者分別基于否定選擇機制和危險模型[2]提出了 NSA和DCA[3]。2種算法都可以用于入侵檢測，但前者可用性欠佳，后者檢測性能偏低，在應用方面都有局限性。

在入侵檢測研究中，追求高檢測率、低誤報率[4]和快速的檢測速度。根據(jù)檢測方法不同，分為誤用檢測和異常檢測。誤用檢測又稱為特征檢測，它是通過對已知入侵的研究，提取攻擊的特征形成特征集合，利用這些特征集合對當前的數(shù)據(jù)進行各種處理后，再進行特征匹配工作，如果匹配成功，則判定為入侵。該方法能夠很好地檢測已知的入侵，具有檢測率高、誤報率低和檢測速度快等特點，缺點是它不能檢測未知的入侵。當有未知的入侵出現(xiàn)的時候，模式庫必須隨之更新，給系統(tǒng)的維護管理帶來困難。異常檢測又稱為基于行為的檢測，它是利用與系統(tǒng)行為相關的一些統(tǒng)計量來構造正常的行為模式[5]，如果待檢測行為偏離正常行為，則判定為入侵。該方法存在統(tǒng)計量選取困難、異常閾值確定困難、誤報率較高的問題，但是它能對未知的入侵進行檢測。

本文對危險模型進行了分析，指出否定選擇機制和危險模型兩者之間并不矛盾:在危險模型中，否定選擇機制和危險性判別機制在不同的位置發(fā)揮各自的作用，兩者協(xié)作完成檢測和應答?；谶@種新的認知，結合實時DCA和NSA構建了一個集成人工免疫系統(tǒng)(IAIS)，用于入侵檢測。實時DCA檢測行為特征，NSA檢測結構特征，構建的 IAIS可以同時利用結構特征和行為特征進行入侵檢測。通過入侵檢測基準數(shù)據(jù)集對 IAIS進行驗證，并與其他方法進行了比較。IAIS檢測性能與經典分類算法相當，且具有良好的可用性。

2 啟發(fā)

在免疫學中，感染非我模型[6]和危險模型[2]是2種主要的免疫學模型，兩者都有各自的支持者和部分證據(jù)，都是具有一定合理性的解釋。表面上看，2種模型互相矛盾，但是危險模型的提出者Matzinger從未明言感染非我模型是錯誤的，也沒有講否定選擇是不正確的。Matzinger認為否定選擇是一種避免自我免疫的前置條件，只是在免疫應答之前還需要進一步的確認機制以消滅有害抗原。危險模型在圖 1中給出，圖中 APC(antigen presenting cells)、B、Tk和Th分別表示抗原提呈細胞、B細胞、毒性T細胞和輔助T細胞。APC屬于固有免疫系統(tǒng)；B細胞、毒性T細胞和輔助T細胞屬于適應性免疫系統(tǒng)。圖中共有3類信號:抗原和B細胞受體，毒性T細胞以及APC之間的作用產生信號1；輔助T細胞和APC釋放信號2；身體組織的正常細胞在受到損害的時候釋放信號 0，或危險信號，用于激活本地APC。感染非我模型和危險模型的唯一區(qū)別在信號0。在感染非我模型中，APC通過模式識別受體常見的非我分子，產生刺激信號。而在危險模型中，APC感知組織中受損細胞釋放的的危險信號。

感染非我模型和危險模型都包括抗原與B細胞以及毒性T細胞之間的結構匹配。雖然2種模型不可能同時正確，這并不表示這兩者完全不相容。實際上，否定選擇和自我/非我模型之間不能劃等號。在圖1中，否定選擇是作為危險模型中的部分機制存在的，否定選擇和危險性判別都是必要的。據(jù)此，提出結合危險性判別機制和否定選擇機制，建立集成系統(tǒng)。否定選擇機制負責檢測結構特征，危險性判別機制負責檢測行為特征。

圖1 危險模型

3 集成人工免疫系統(tǒng)

本節(jié)根據(jù)對免疫系統(tǒng)的新的認識，提出結合DCA和NSA建立IAIS，描述了系統(tǒng)結構及其實現(xiàn)，給出了系統(tǒng)的使用方法。

3.1 系統(tǒng)概述

IAIS總體結構如圖2所示，系統(tǒng)基本組件及其功能描述如表1所示。IAIS集成的2個算法分別為實時DCA和二進制表示的NSA。

圖2 IAIS結構

IAIS的功能是檢測目標系統(tǒng)中的異常實體，如圖2所示。組織代表目標系統(tǒng)；抗原是組織中運行的實體；信號是與組織運行狀態(tài)相關的觀測值；樹突狀細胞負責將最新的抗原和信號從組織傳送到淋巴結；淋巴結是一個分析中心，提呈的抗原和信號在此經過分析之后得到代表抗原異常程度的指標；虛擬胸腺負責生成成熟檢測器。淋巴結中分析得到的異常指標用于輔助成熟檢測器和記憶檢測器對抗原的檢測。

表1 IAIS組件

算法1描述了IAIS的運行過程。系統(tǒng)根據(jù)組織的當前狀態(tài)維持一個動態(tài)的自我集合，組織狀態(tài)異常時出現(xiàn)的抗原被禁止加入自我集合。然后檢查NSA中記憶檢測器和普通檢測器的生命周期，清除過期檢測器，生成新的檢測器以填補空缺。實時DCA對輸入抗原和信號進行處理以得到不同抗原類型的動態(tài)異常指標。

在 IAIS中，提出結合抗原動態(tài)異常指標計算檢測器和抗原之間的匹配閾值，如式(1)所示。通過漢明距離計算檢測器和抗原之間的親和度并與動態(tài)匹配閾值進行比較，親和度在匹配閾值之上的判為異常，反之判為正常。此過程連續(xù)運行，不斷處理新輸入數(shù)據(jù)。

其中，Xα是抗原類型α的動態(tài)異常指標，Yα是此類抗原的匹配閾值，a是常數(shù)，δ是實時DCA中的異常閾值，L是檢測器長度，ε是自我半徑[8]，它決定檢測器在二進制空間的覆蓋范圍。對記憶檢測器取更大的a值以降低器匹配閾值。根據(jù)式(1)，抗原類型的異常程度越高，匹配閾值越低；反之，抗原類型的異常程度越低，匹配閾值越高。

3.2 系統(tǒng)實現(xiàn)

本節(jié)描述了實時DCA和NSA實現(xiàn)。

1) 實時DCA

實時DCA的基本功能是接收輸入信號和抗原，輸出每一類抗原的動態(tài)異常指標。多路信號源作為算法輸入，分為 PAMP (pathogen-associated molecular pattern)、危險信號(danger signal)、安全信號(safe signal)和炎性信號(inflammation signal)，各信號的含義如下。

PAMP:表明出現(xiàn)異常行為，此信號增強與高置信度異常行為的存在密切相關。

危險信號:表明可能存在異常行為，此信號增強表明異常行為存在的可能性增加。

安全信號:表明有正常行為發(fā)生，此信號增強表明正常行為的可能性增加。安全信號用于抵消PAMP和危險信號的影響。

炎性信號:表明總體狀態(tài)異常。炎性信號用于放大其他信號。

實時DCA通過式(2)處理輸入信號得到輸出信號。輸出信號包括協(xié)同刺激信號(csm)、半成熟信號(semi)和成熟信號(mat)。

其中，Si是輸入信號，Oj是輸出信號，I是炎性信號，wij是從Si到Oj的轉換權值。

實時DCA是在DCA[9]基礎上進行改進提出的，主要包括2點改進。第一，實時DCA中增加了樹突狀細胞在淋巴結中的生命周期。為簡化起見，讓樹突狀細胞在淋巴結中存活一個系統(tǒng)周期，執(zhí)行抗原提呈；第二，實時 DCA提出了動態(tài)異常指標，在 MAC[9]基礎上提出動態(tài) MAC(Cα)，如式(3)所示。

其中，α是所有具有相同值的抗原結合，mα是抗原類型α被提呈為成熟抗原的數(shù)量，Ai是抗原類型i被提呈的總數(shù)，A是抗原類型總數(shù)。mα和Ai是根據(jù)當前淋巴結中存活的樹突狀細胞統(tǒng)計得到的，過期的樹突狀細胞不在統(tǒng)計之列。Cα在0到1之間，Cα越靠近1，表明此類抗原異常程度越高。

實時DCA偽代碼如算法2所示。組織和T細胞種群被實現(xiàn)為2個串行子系統(tǒng)，樹突狀細胞負責將信息從組織傳送到淋巴結，T細胞種群對信息進行分析。

計算并記錄抗原類型及對應的動態(tài)異常指標

在組織中，首先初始化樹突狀細胞種群，為每個樹突狀細胞賦予一個遷移閾值，用于決定其在組織中的生命周期。遷移閾值是指定范圍內的隨機數(shù)，這使得實時DCA成為一個隨機系統(tǒng)，自然地，IAIS也是一個隨機系統(tǒng)。當有輸入數(shù)據(jù)的時候，組織處理數(shù)據(jù)得到信號和抗原，然后組織中每個樹突狀細胞經歷一個累積信號并走向成熟過程[9]。與DCA不同的是，實時DCA中達到遷移閾值的樹突狀細胞要遷移到淋巴結中，并執(zhí)行抗原提呈。

T細胞種群對淋巴結中的樹突狀細胞進行實時分析，并生成異常閾值的時間序列，逐代記錄與抗原類型對應的動態(tài)異常指標。

2) NSA

實現(xiàn)的 NSA采用二進制表示法，算法包括 2個階段:檢測器生成階段和檢測階段。檢測器生成階段如算法3所示，隨機生成候選檢測器，匹配自我樣本的候選檢測器被清除，否則加入檢測器集合，當檢測器數(shù)目達到預設值的時候算法終止。

在檢測階段，計算輸入樣本和所有檢測器的親和度，如果樣本在某一個檢測器的自我半徑之內，則將此樣本判為異常。

3.3 使用過程

在實驗之前，首先介紹如何使用IAIS，其一般過程包括4個部分。

1) 定義抗原:抗原就是目標系統(tǒng)中運行的實體。IAIS需要身份標識來表示這些實體，通常用數(shù)字和字符串形式的唯一標識符表示一個抗原或者一類抗原。

2) 抽取信號:通過各種信號表示系統(tǒng)狀態(tài)。用戶需要根據(jù)先驗知識和分析抽取有用信號來代表整個系統(tǒng)狀態(tài)，包括PAMP、危險信號、安全信號和炎性信號。

3) 數(shù)據(jù)預處理:將原始信號轉化為無量綱的數(shù)字，再對每類信號進行歸一化處理，例如，將指定信號區(qū)間映射到[0,100]，常用的歸一化函數(shù)包括線性函數(shù)，階梯函數(shù)和Sigmoid函數(shù)，最后將抗原流和信號流提交給IAIS。

4) 數(shù)據(jù)處理:IAIS處理提交的抗原流和信號流，并輸出每類抗原的動態(tài)異常指標。

4 實驗測試

在KDD99數(shù)據(jù)集上進行實驗，研究IAIS的屬性，并通過與其他方法的比較來評估系統(tǒng)性能。

4.1 測試集

KDD99數(shù)據(jù)集是一個用于入侵檢測領域的基準數(shù)據(jù)集。實驗采用10%子集，它包括494021個數(shù)據(jù)項（實例或樣本）。10%子集與完整數(shù)據(jù)集具有類似統(tǒng)計特性，保持了類似的正常連接和攻擊比。KDD99數(shù)據(jù)集本身沒有時間戳，為了測試 IAIS，每秒采樣10個抗原來模擬實際情況，在數(shù)據(jù)集中加入時間戳，假設數(shù)據(jù)集以1s為間隔采集。KDD99數(shù)據(jù)集的數(shù)據(jù)項是41維（特征或屬性）向量。根據(jù)文獻[10]介紹的數(shù)據(jù)域含義，對數(shù)據(jù)集進行預處理，得到抗原和信號?？乖斫Y構特征，信號代表行為特征。

1) 抗原

將選擇的數(shù)據(jù)域轉換為 24bit的二進制串，用來表示抗原，如表2所示。

表2 抗原構造

2) 信號

選擇作為信號的數(shù)據(jù)域與文獻[11]相同。10個數(shù)據(jù)域分為3類（不包括炎性信號）。

PAMP:數(shù)據(jù)域25、26、29、38和40。

危險信號:數(shù)據(jù)域23和24。

安全信號:數(shù)據(jù)域12、31和32。

設x為數(shù)據(jù)域的值，如果x∈[m,n]時表現(xiàn)異常，這個域為PAMP或者危險信號；如果表現(xiàn)正常，則為正常信號。將這些數(shù)據(jù)域的指定區(qū)間按照式(4)歸一化到[0,100]。

對數(shù)據(jù)域12，感興趣的指定區(qū)間為[0, 0.99]，其他數(shù)據(jù)域的指定區(qū)間按照[min, max]構造。每類信號的均值作為此類信號的值。

4.2 實驗設置

IAIS代碼通過MATLAB R2009a實現(xiàn)，所有實驗在Windows 7(Intel Pentium Dual CPU T2330,4GB RAM)平臺下運行。除非特別指出，實驗使用表3中給出的參數(shù)。樹突狀細胞數(shù)量的選擇是精度和代價之間的平衡，考慮計算開銷，設為10；細胞周期率(cell cycle rate)根據(jù)數(shù)據(jù)集中信號采樣率設置，設為1采樣/s；檢測器長度(L)為抗原位數(shù)，L=24。實驗對系統(tǒng)性能有顯著影響的主要參數(shù)進行了敏感性分析。信號處理通過式(2)進行，權值與DCA[3]中使用的一樣，如表4所示。為了模擬實時運行環(huán)境，通過一段代碼讀取數(shù)據(jù)集并提交給IAIS。因為IAIS是隨機系統(tǒng)，每個實驗運行10次，結果取平均值。利用ROC曲線來評估IAIS的性能。

實驗分為3部分進行。

E1:自我半徑實驗。

E2:異常閾值實驗。

E3:與其他方法的比較。

E1，E2使用10%子集的前10000個項，記為S1；E3使用完整10%子集，記為SC。

表3 IAIS參數(shù)

表4 式(2)推薦權值

5 結果和分析

5.1 E1:自我半徑實驗

自我半徑(ε)決定單個檢測器的覆蓋范圍，如果ε=0，則要求檢測器和抗原完美匹配，即結構完全相同。當檢測器和抗原之間的親和度大于L?ε時，認為兩者匹配。為研究自我半徑對 IAIS性能的影響，在子集S1上測試了如下自我半徑ε = 0, 1, 2, …,12。圖3給出改變自我半徑時的ROC曲線。

圖3 E1的ROC曲線

由圖可知，自我半徑的取值對TP率和FP率有影響，隨著自我半徑增加，TP率和FP率都隨之增加。ROC曲線上越靠近左上角表示性能越好，即TP率高，F(xiàn)P率低。在TP率和FP率之間進行平衡，下面的實驗將自我半徑設為ε=4。

5.2 E2:異常閾值實驗

異常閾值(δ)用于決定抗原是正常還是異常，動態(tài)MAC值高于異常閾值的抗原認為是異常抗原。在子集 S1上應用不同的異常閾值來計算檢測率和誤報率，測試的異常閾值包括δ=0.1,0.2,…,1，實驗結果如表5所示。

表5 E2的檢測率和誤報率

表中給出的檢測率和誤報率的方差相對較小，表明算法性能穩(wěn)定。從均值來看，異常閾值的取值對 IAIS的性能具有顯著的影響，高異常閾值導致低檢測率和低誤報率。實際應用的時候要在檢測率和誤報率之間進行平衡。當異常閾值介于0.3和0.4之間時，檢測率介于0.8968和0.8883之間，誤報率介于0.0158和0.0122之間。下面的實驗將異常閾值設為δ=0.35。

5.3 E3:比較

在數(shù)據(jù)集SC上進行實驗，測試IAIS的性能，并與其他方法進行比較，如表6所示。IAIS的實驗結果是10次實驗的平均值。表中包括NSA和DCA的實驗結果，此外還列出了其他智能方法的實驗結果，包括人工神經網絡，進化計算，支持向量機等。表中各種方法具有各自的特性，實驗設置不盡相同，具體細節(jié)可參見各種方法的相關文獻。

表6 KDD99數(shù)據(jù)集上的性能比較

首先，將IAIS與NSA和DCA進行比較。與DCA進行比較，IAIS 的檢測率比 DCA有明顯提高，但與此同時，誤報率也提高了，但是幅度不大。相對而言，DCA的檢測率太低，因此IAIS更可取。與 NSA進行比較，IAIS的檢測率和誤報率都比NSA高，但幅度有限。需要指出的是，文獻[12]中NSA有個訓練過程，需隨機選擇80%的正常樣本進行訓練，剩余20%的正常樣本和異常樣本一起作為測試集。而 IAIS 定義各種信號之后，不需要訓練集來訓練檢測器，訓練檢測器的自我集合是根據(jù)危險信號在線生成的，也就是說，IAIS 可以以實時或近實時的模式運行。

其次，將IAIS 與其他方法進行比較。IAIS 具有次于SVM 的檢測率，但是SVM誤報率太高，綜合檢測率和誤報率，IAIS性能更好。IAIS誤報率與 LGP 相當，檢測率比后者高。其他方法雖然誤報率低，檢測率比IAIS 要低超過5個百分點。通過比較可知，IAIS具有良好的綜合性能。

6 結束語

本文對危險模型進行了分析，根據(jù)新的關于危險模型和否定選擇機制之間關系的理解，提出結合實時DCA和NSA來建立IAIS，用于執(zhí)行實時入侵檢測。系統(tǒng)中實時DCA利用行為特征，NSA利用結構特征。在KDD99數(shù)據(jù)集上對IAIS進行驗證，并與其他方法進行比較。IAIS檢測性能與經典分類算法相當，其特點包括:可結合結構特征和行為特征進行檢測，不依賴明確標識的數(shù)據(jù)集來訓練檢測器，以實時或者近實時的模式運行。

當前 IAIS參數(shù)較多，文中僅對主要參數(shù)進行了敏感性分析。為了簡化起見，部分參數(shù)設為常數(shù)。人工免疫系統(tǒng)的優(yōu)點之一就是它能夠動態(tài)地維持細胞種群數(shù)量，因此有待改進，后續(xù)工作中可以引入反饋機制讓參數(shù)根據(jù)外部環(huán)境的變化進行自適應調整。

[1]DASGUPTA D.Advances in artificial immune systems[J].Theoretical Computer Science, 2006, 403(1):11-32.

[2]MATZINGER P.Tolerance, danger and the extended family[J].Annual Review of Immunology, 1994, 12:991-1045.

[3]GREENSMITH J, AICKELIN U, CAYZER S.Introducing dendritic cells as a novel immune-inspired algorithm for anomaly detection[A].International Conference on Artificial Immune Systems[C].Banff,Canada, 2005.153-167.

[4]LI M.An approach to reliably identifying signs of DDOS flood attacks based on LRD traffic pattern recognition[J].Computers & Security,2004, 23(7):549-558.

[5]LI M.Change trend of averaged hurst parameter of traffic under DDOS flood attacks[J].Computers & Security, 2006, 25 (3):213-220.

[6]JANEWAY C.The immune system evolved to discriminate infectious nonself from non-infectious self[J].Immunology Today, 1992,13:11-16.

[7]SARAFIJANOVI? S, BOUDEC J L.An artificial immune system for misbehavior detection in mobile ad-hoc networks with virtual thymus,clustering, danger signal, and memory detectors[A].International Conference on Artificial Immune Systems[C].Catania, Italy,2004.342-356.

[8]CHEN Y B, FENG C, ZHANG Q, et al.Negative selection algorithm with variable-sized r-contiguous matching rule[A].International Conference on Progress in Informatics and Computing[C].Shanghai,China, 2010.150-154.

[9]GREENSMITH J.The Dendritic Cell Algorithm[D].Nottingham, UK:School of Computer Science, University of Nottingham, 2007.

[10]KAYACIK H G, ZINCIR-HEYWOOD A N, HEYWOOD M I.Selecting features for intrusion detection:a feature relevance analysis on KDD 99 intrusion detection datasets[A].Third Annual Conference on Privacy, Security and Trust[C].New Brunswick,Canada, 2005.

[11]GU F, GREENSMITH J, AICKELIN U.Further exploration of the dendritic cell algorithm[A].International Conference on Artificial Immune Systems[C].Phuket, Thailand, 2008.142-153.

[12]GONZáLEZ F A, DASGUPTA D.Anomaly detection using real-valued negative selection[J].Genetic Programming and Evolvable Machine, 2003, 4(4):383-403.

[13]ESKIN E, ARNOLD A, PRERAU M, et al.Applications of Data Mining in Computer Security[M].Boston, Kluwer, 2002.

[14]FOLINO G, PIZZUTI C, SPEZZANO G.GP ensemble for distributed intrusion detection systems[A].Third International Conference on Advances in Pattern Recognition[C].Bath, UK, 2005.54-62.

[15]AGARWAL R, JOSHI M V.PNrule:a new framework for learning classifier models in data mining (a case-study in network intrusion detection)[A].First SIAM Conference on Data Mining[C].Chicago,2001.1-17.

[16]SONG D, HEYWOOD M I, ZINCIR-HEYWOOD A N.Training genetic programming on half a million patterns:an example from anomaly detection[J].IEEE Trans on Evolutionary Computation,2005,9(3):225-239.