楊 超,張 ,秦廷棟

(1.湖北大學 計算機與信息工程學院，武漢 430062; 2.湖北省教育信息化工程技術(shù)研究中心，武漢 430062)

人工免疫危險理論中的平衡機制研究及應用

(1.湖北大學 計算機與信息工程學院，武漢 430062; 2.湖北省教育信息化工程技術(shù)研究中心，武漢 430062)

危險理論作為人工免疫學的新興研究方向，其主要思想是通過危險信號的發(fā)現(xiàn)和融合來檢測異常，危險信號的自適應感知是人工免疫危險理論需要解決的首要問題；從生物免疫系統(tǒng)保障機體生理平衡這一機理出發(fā)，將免疫系統(tǒng)中的平衡思想引入危險理論中，通過尋找導致信息系統(tǒng)失衡的變化因素，來實現(xiàn)危險行為的自適應發(fā)現(xiàn)；從機體免疫平衡理論出發(fā)，借鑒數(shù)學中的微分方法對信息系統(tǒng)各種行為發(fā)生時資源的占用特征進行形式化描述；從信息系統(tǒng)資源指標占用特征入手，實現(xiàn)對信息系統(tǒng)中各種平衡的描述，通過對失衡狀態(tài)的判定來進行危險的發(fā)現(xiàn)，并對其實現(xiàn)方法和步驟做出了解釋；最后以僵尸程序(SpyBot)為實驗對象驗證了所提出的利用免疫平衡理論檢測危險方法的有效性。

人工免疫系統(tǒng)；危險理論；平衡機制；數(shù)值微分

0 引言

危險理論作為人工免疫學中一種新興的理論方法，已經(jīng)廣泛應用于入侵檢測[1-2]、機器學習[3]、數(shù)據(jù)挖掘[4]等各個研究領(lǐng)域，并取得了較好的研究成果。該理論針對傳統(tǒng)免疫方法中SNS模式存在的self集合難以界定、self/nonself識別界限過于分明等固有缺陷所帶來的偽肯定、偽否定率居高不下等問題[5]，提出了利用危險信號代替“自我-非我”這種傳統(tǒng)的定義模式來解釋免疫學問題。

然而，危險理論自2002年引入計算機領(lǐng)域以來[6]，其應用過程中也存在著危險來源和危險定義的不明確問題[7]。因此，在實際應用中，危險信號往往存在人工定義的痕跡，即根據(jù)已知經(jīng)驗將可能誘發(fā)危險的因素定義為導致危險發(fā)生的潛在危險信號[8-9]。

自適應性和多樣性是免疫系統(tǒng)的基本特性[10]。危險理論目前這種依賴于人工經(jīng)驗的危險信號定義方法，削弱了其智能性，如何建立不依賴人工經(jīng)驗知識、自適應的感知危險和定義危險信號的方法是目前危險理論亟需解決的問題。生物免疫學中將免疫系統(tǒng)定義為：機體對外源物質(zhì)的反應，其作用是識別和排除抗原性異物，以此來維持機體的穩(wěn)定和生理平衡[11]。因此，免疫系統(tǒng)的本質(zhì)特性應該是維護機體的生理平衡，阻止或消滅導致生物系統(tǒng)失衡的各種內(nèi)外部變化因素?；谠撍枷耄疚膶⒚庖咂胶鈾C制引入到信息系統(tǒng)的危險感知中，分析了變化和平衡、平衡和危險之間存在的關(guān)系，同時以信息系統(tǒng)中資源指標的變化特征為例，通過對信息系統(tǒng)中平衡關(guān)系的刻畫來判斷各種“變化”是否對系統(tǒng)構(gòu)成威脅，進而實現(xiàn)危險信號的自適應定義。

1 免疫平衡與免疫調(diào)節(jié)

機體免疫學中生理平衡(biological homeostasis)的概念是由Cannon首次提出的[12]，他認為生理平衡就是機體在不斷變化的內(nèi)、外部環(huán)境中仍然保持穩(wěn)定狀態(tài)的一種能力。生物學中平衡的意義不是不變、固定，而是始終變化，但相對穩(wěn)定的狀態(tài)[13]。

Cohen的免疫模型認為：免疫系統(tǒng)的主要作用是修復并維持機體健康，為保證機體生理平衡，免疫系統(tǒng)必須根據(jù)機體狀態(tài)不斷調(diào)節(jié)免疫響應。該免疫響應不是簡單對自我和非我的區(qū)分，而是根據(jù)變化對機體健康的影響來動態(tài)調(diào)節(jié)免疫響應[14]。

本節(jié)將對機體免疫學中平衡調(diào)節(jié)的核心思想及其具體實現(xiàn)機制進行介紹和分析，以此作為平衡理論在危險理論中應用的生物學基礎(chǔ)。

免疫調(diào)節(jié)(Immunoregulation)是指機體識別和排除抗原性異物，維持自身生理動態(tài)平衡和相對穩(wěn)定的機制。免疫調(diào)節(jié)機制不僅決定了免疫應答何時發(fā)生，也決定了免疫應答反應的強弱，是維持生理平衡的重要機制手段。

免疫調(diào)節(jié)通常是雙向的，是指體內(nèi)各種免疫細胞、免疫分子之間對免疫應答進行正、負兩個方向的調(diào)節(jié)作用[15]。藉此來調(diào)節(jié)免疫應答的強度，以維持機體內(nèi)部環(huán)境的相對穩(wěn)定。這種雙向調(diào)節(jié)表現(xiàn)如下。

1)正向調(diào)節(jié)：在排除外來抗原異物時，刺激并加強免疫應答反應；

2)反向調(diào)節(jié)：清楚外來抗原物質(zhì)后，及時減弱或終止免疫應答以盡量減少對自身組織的損傷。

T細胞是免疫調(diào)節(jié)過程中的核心作用細胞，可分為殺傷T細胞(Killer T Cells，簡稱Tk)和調(diào)節(jié)性T細胞兩類。其中殺傷T細胞的主要功能是清除病毒、細菌和內(nèi)部病變細胞等有害物質(zhì)。

調(diào)節(jié)T細胞在免疫調(diào)節(jié)過程中起到至關(guān)重要的作用，調(diào)節(jié)T細胞通過分泌不同化學來促成上述的正負兩個方向的調(diào)節(jié)作用。參與調(diào)節(jié)的T細胞可分為輔助性T細胞(helper T cells，簡稱Th)和抑制性T細胞(suppressor T cells，簡稱Ts)兩類，其中輔助性T細胞與抗原結(jié)合刺激免疫應答，而抑制性T細胞則在免疫響應過程中，降低T細胞活性，反向抑制免疫應答。

從免疫調(diào)節(jié)機制可以看出，其正向和反向兩種調(diào)節(jié)機制，構(gòu)成了一個平衡控制系統(tǒng)(homeostatic control system)。該平衡控制系統(tǒng)的主要工作是：免疫系統(tǒng)受到有害物質(zhì)入侵時，立即激活免疫應答以消滅有害物質(zhì)，當這一過程完成后，立刻降低免疫應答的強度以免誤傷正常細胞[16]?？梢园l(fā)現(xiàn)，免疫調(diào)節(jié)機制始終朝著免疫系統(tǒng)變化過程的相反方向進行作用，始終在延緩或者抑制免疫系統(tǒng)的變化，通過不斷調(diào)節(jié)免疫應答的方向和強度來維持機體生理平衡，由此可以看出變化是導致免疫平衡被打破的關(guān)鍵因素。

2 變化與平衡的關(guān)系

軟件是對客觀世界中問題空間和解空間的具體描述，是對客觀事物的一種反映，是知識的提煉和“固化”[17]。信息系統(tǒng)中各種功能的實現(xiàn)對應著系統(tǒng)資源的占用，不同的功能對系統(tǒng)資源的占用具有其各自特征，即各種軟件操作行為和資源占用關(guān)系之間存在著一定的規(guī)律。這種規(guī)律保證了信息系統(tǒng)的正常運轉(zhuǎn)，也表現(xiàn)為信息系統(tǒng)內(nèi)、外部的一種平衡關(guān)系。保持這種平衡，系統(tǒng)各功能部件運轉(zhuǎn)、調(diào)用正常，能夠“齊心協(xié)力”完成特定的功能，反之，平衡的破壞會帶來軟件行為的異常。

變化是絕對的，不變是相對的。機體內(nèi)部細胞的損傷、衰老、變異和死亡時刻發(fā)生，機體外部細菌、病毒時時企圖入侵，直接威脅著機體健康。機體免疫系統(tǒng)依賴免疫防御、免疫自穩(wěn)和免疫監(jiān)視三大功能保證機體的正常運轉(zhuǎn)[20]。這三大免疫功能高度和諧，共同抵御機體內(nèi)部病變和外來抗原異物的侵害，保持自身免疫耐受以維持機體生理平衡。信息系統(tǒng)由于其固有的交互性，使得它與生命系統(tǒng)一樣，時刻處于變化的過程中。對系統(tǒng)的任何操作都會帶來各種性能指標的變化，有些變化來源于對系統(tǒng)的正常操作，而有些變化則預示著危險的來臨。異常的變化，往往會帶來系統(tǒng)調(diào)用、資源分配、時間占用等動態(tài)平衡的破壞。那些導致信息系統(tǒng)平衡被打破的變化因素，及其相互之間的關(guān)系是定義危險、分析危險的有效依據(jù)。

3 信息系統(tǒng)中的平衡描述

信息系統(tǒng)和生命系統(tǒng)一樣是一個復雜的、交互式動態(tài)系統(tǒng)，信息系統(tǒng)正常運行時的操作對應著軟、硬件系統(tǒng)資源的占用，這種資源占用關(guān)系為了支撐軟件功能和操作行為，因而存在著一定的規(guī)律[17]，體現(xiàn)了信息系統(tǒng)的平衡。本文利用免疫系統(tǒng)的學習機制，通過對這種信息系統(tǒng)正常操作所表現(xiàn)出的資源占用特征的學習來建立信息系統(tǒng)平衡的描述模型，利用該模型能夠?qū)崿F(xiàn)信息系統(tǒng)平衡關(guān)系的刻畫。通過對平衡關(guān)系的分析和失衡原因的捕獲，來發(fā)現(xiàn)信息系統(tǒng)中的異常。

3.1 資源變化趨勢的平衡

信息系統(tǒng)的平衡是一種動態(tài)的平衡，其中資源調(diào)用和軟件行為的變化始終保持著特定的特征和規(guī)律。因此，對信息系統(tǒng)中資源占用的變化規(guī)律的描述，就是對信息系統(tǒng)平衡狀態(tài)的刻畫。

信息系統(tǒng)中，捕捉到的各種資源占用情況是以時間為單位的離散量，本文利用數(shù)值微分的方法來對這些離散的數(shù)據(jù)點進行分析和描述以刻畫其變化趨勢。數(shù)值微分的基本思想是，利用函數(shù)f(x)在一系列離散點上的信息來近似構(gòu)造一個簡單函數(shù)g(x)去逼近f(x)，然后用g(x)的微商去近似模擬f(x)的微商，以此實現(xiàn)離散信息的連續(xù)描述。

其微商可用如下方法來表示[19]：

(1)

(2)

公式(1)表示了一階微商的向前差商近似，公式(2)表示了一階微商的向后差商近似，其中h表示相鄰離散信息點之間的距離，即xi+1=xi+h，該距離可以表示為單位時間或者相鄰事件。圖1表示了3個離散數(shù)據(jù)點及其變化關(guān)系，利用數(shù)值微分的思想，可以將其以特征三元組{f′(xi)left,f(xi),f′(xi)right}的形式進行表現(xiàn)，該三元組中的f′(xi)left和f′(xi)right分別表示了特征信息點xi左右兩邊曲線的變化趨勢(即針對特征信息點的變化是上升、下降還是趨于平緩)，類似于特征點與其前后樣本信息點所組成的線段的斜率，其中ki-1和ki分別表示兩個直線的斜率[20]。利用該特征三元組可以實現(xiàn)資源占用特征的描述，即實現(xiàn)了某一資源變化趨勢的度量和平衡關(guān)系的刻畫，如圖1。

圖1 特征三元組中元素特征的圖形化描述

3.2 狀態(tài)失衡的判定

利用上節(jié)中的特征三元組描述法，可以實現(xiàn)對信息系統(tǒng)運行時資源占用變化特征的描述。由于信息系統(tǒng)中的資源占用均為離散的數(shù)據(jù)，因此可以利用曲線擬合函數(shù)來進行形式化描述，擬合函數(shù)的形式包括：多項式、冪指數(shù)等。

若系統(tǒng)狀態(tài)發(fā)生變化，則這種資源占用指標的平衡關(guān)系會被打破，那么擬合函數(shù)的特征也會發(fā)生變化。數(shù)學中，常用導數(shù)來描述自變量和因變量在變化過程中的關(guān)系。因此，若指標間的平衡關(guān)系被打破，會表現(xiàn)在擬合函數(shù)導數(shù)的變化上，也就存在擬合函數(shù)導數(shù)的不一致情況，如公式(3)所示。

(3)

其中:f(xt)表示時間狀態(tài)t時刻，指標特征三元組所形成的擬合函數(shù)導數(shù)值，f′(x0)表示作為比較樣本的正常狀態(tài)下指標特征三元組形成的擬合函數(shù)導數(shù)值。通過比較擬合函數(shù)導數(shù)值的變化，來判斷狀態(tài)是否發(fā)生變化，平衡是否打破。

4 實驗

本實驗的目的是在不依賴先驗知識的情況下，以僵尸程序(SpyBot)為對象驗證本文提出的利用免疫平衡理論檢測危險方法的有效性。主要通過比較相同惡意軟件和惡意行為在不同環(huán)境下對系統(tǒng)資源的占用是否存在相似的平衡特征來進行驗證。

4.1 實驗設(shè)計

本次實驗采集的指標類型如表1所示，包括計算機的系統(tǒng)資源指標和網(wǎng)絡(luò)資源指標兩類。這兩類指標作為僵尸程序分析的依據(jù)，不依賴于歷史經(jīng)驗，根據(jù)兩類指標的特征變化情況自適應的提取危險信號而忽略不產(chǎn)生突變的指標，因此并不需設(shè)置相應的權(quán)重值，見表1。

表1 采集指標列表

實驗將對僵尸程序在進行惡意行為操作時的資源占用情況進行記錄，以此作為后續(xù)分析的依據(jù)，其步驟可總結(jié)如下：

1)潛伏階段：在主機中植入僵尸程序，但此時僵尸處于休眠階段，不進行任何惡意操作；

2)喚醒階段：攻擊者向僵尸主機發(fā)送命令以喚醒僵尸主機；

3)鍵盤偵聽：攻擊者命令僵尸程序監(jiān)聽用戶擊鍵函數(shù)令，并遠程將鍵盤輸入信息傳遞給攻擊者；

4)系統(tǒng)進程掃描：僵尸程序掃描主機系統(tǒng)當前正在運行的進程，并將結(jié)果傳遞給攻擊者；

5)切斷進程行為：攻擊者命令僵尸程序終止主機上正在運行的程序；

6)停止惡意行為，退出僵尸程序。

4.2 實驗分析

本次試驗中，在兩臺不同的機器上部署了僵尸程序，以僵尸程序處在潛伏階段IRC包的變化情況為例，比較僵尸程序在兩個機器上表現(xiàn)出的特征是否相同或相似。

圖2展示了在不同的主機A和B上運行僵尸程序時，IRC數(shù)據(jù)包的占用情況。其中主要采集了執(zhí)行4.1節(jié)中所介紹的實驗流程中的第2～5步，共4個操作步驟，3種惡意行為的IRC數(shù)據(jù)包。從圖上可以看出，兩個主機上運行僵尸程序時，IRC數(shù)據(jù)包的占用情況不同，但整體趨勢和特征大體相同，如圖2。

圖2 僵尸程序運行時IRC數(shù)據(jù)包占用情況

以僵尸處在未激活的潛伏狀態(tài)下時，IRC數(shù)據(jù)包占用情況為例，利用前面所介紹的特征三元組方法來描述其運行特征，對數(shù)據(jù)進行擬合得到如圖3。

圖3 僵尸程序潛伏階段不同主機的IRC占用特征

在該圖中，僅關(guān)注IRC數(shù)據(jù)包發(fā)生突變時的狀態(tài)，而忽略其中一般性的變化，可以發(fā)現(xiàn)在相同惡意行為發(fā)生時，兩臺主機上IRC數(shù)據(jù)包的占用特征基本相同，利用三次方多項式進行擬合后得到的擬合函數(shù)分別為：

y=12.492x3-176.77x2+672.26x-313.86

(5)

y=12.182x3-171.73x2+649.57x-296.43

(6)

通過分析可以發(fā)現(xiàn)，不同主機上僵尸程序?qū)Y源占用情況所描述出的擬合函數(shù)特征相似，對擬合函數(shù)求導后特征基本相同。即在相同惡意行為發(fā)生時，惡意行為所需要調(diào)用的系統(tǒng)資源滿足一定規(guī)律，構(gòu)成了一個平衡關(guān)系。當不同惡意行為發(fā)生時，其惡意特征所構(gòu)成的平衡關(guān)系是不同的。

根據(jù)該實驗結(jié)果可以推知，若在免疫系統(tǒng)的學習階段建立正常行為的平衡關(guān)系模型，就能夠在不依賴先驗知識的情況下，通過捕捉平衡是否被打破來判斷是否有危險產(chǎn)生。

5 結(jié)論

本文從生物免疫系統(tǒng)保障機體生理平衡這一機理出發(fā)，將免疫系統(tǒng)中的平衡思想引入危險理論中，通過尋找導致信息系統(tǒng)失衡的變化因素，來實現(xiàn)危險的自適應發(fā)現(xiàn)。通過對軟件正常運行過程中，對各種資源指標的占用情況及其之間關(guān)系的描述和刻畫來描述信息系統(tǒng)的平衡狀態(tài)，通過捕捉導致系統(tǒng)失衡的因素來實現(xiàn)危險的自適應感知。借鑒數(shù)學中微分的思想，構(gòu)造出系統(tǒng)資源及其相互關(guān)系的形式化描述方法，以實現(xiàn)系統(tǒng)運行狀態(tài)的表達。希望以此為基礎(chǔ)，建立基于資源關(guān)系特征的變化比較方法來發(fā)現(xiàn)軟件的異常，為危險理論中危險信號的自適應定義提供一條新的思路。

本文對上述方法的可行性進行了一些理論上的研究和初步的實驗驗證，下一步將更進一步增加實驗用例，對該方法的適用范圍和執(zhí)行效率進行更深入的研究。

[1] Vella M, Roper M, Terzis S. Danger theory and intrusion detection: possibilities and limitations of the analogy[C]. Proceedings of the 9th International Conference on Artificial Immune Systems. Springer, 2010:276-289.

[2] Greensmith J, Aickelin U. Dendritic cells for SYN scan detection[A]. Proceedings of the 9th Annual Conference on Genetic and Evolutionary Computation[C]. New York: ACM, 2007:49-56.

[3] Zhu Y, Tan Y. A danger theory inspired learning model and its application to spam detection[J]. Advances in Swarm Intelligence Lecture Notes in Computer Science, 2011, 6728:382-389.

[4] Secker A, Freitasa A, Timmis J. A danger theory inspired approach to web mining[A]. Proceedings of 2th International Conference on Artificial Immune Systems[C]. Heidelberg: Springer, 2003:156-167.

[5] Kim J, Bentley P, Aickelin U, et al. Immune system approaches to intrusion detection-a review[J]. Natural Computing, 2007, 6(4):413-466.

[6] Aickelin U, Cayzer S. The danger theory and its application to artificial immune systems[A]. Proceedings of the 1st International Conference on Artificial Immune Systems[C]. Heidelberg: Springer, 2002:141-148.

[7] Aickelin, Bentley P, Cayzer S, et al. Danger theory: the link between AIS and IDS[A]. Proceedings of the 2nd International Conference on Artificial Immune Systems[C]. Heidelberg: Springer, 2003:147-155.

[8] Al-Hammad Y, Aickelin U, Greensmith J. DCA for bot detection[C]. Proceedings of IEEE Congress on Evolutionary Computation. Washington DC: IEEE Computer Society, 2008:1807-1816.

[9] Greensmith J, Aickelin U, Tedesco G. Information fusion for anomaly detection with the dendritic cell algorithm[J]. Information Fusion, 2010, 11(1):21-34.

[10] 莫宏偉, 左興權(quán). 人工免疫系統(tǒng)[M]. 北京:科學出版社, 2009.

[11] 陳慰峰. 醫(yī)學免疫學[M]. 北京:人民衛(wèi)生出版社, 2000.

[12] Cannon W B. The wisdom of the body[M]. New York: Norton, 1932.

[13] Owens N, Timmes J, Greensmith J, et al. On immune inspired homeostasis for electronic systems[C]. Proceedings of 6th International Conference on Artificial Immune Systems. Heidelberg: Springer, 2007:216-227.

[14] Cohen I R. Tending Adams garden: evolving the cognitive immune self[M]. Amsterdam: Elsevier Academic Press, 2000.

[15] Tew J, Phipps P, Mandel T. The maintenance and regulation of the humoral immune response: persisting antigen and the role of follicular antigen-binding dendritic cells [J]. Immunological Review, 1980, 53:175-211.

[16] Delves P, Martin S, Burton D, et al. Roitt’s essential immunology[M]. 12nd ed. USA: Wiley-Blackwell, 2011:15-25.

[17] 楊芙清. 軟件工程技術(shù)發(fā)展思索[J]. 軟件學報, 2005,16(1):1-7.

[18] Widmaier E P, Raff H, Strang K T. Vander’s human physiology: The mechanisms of body function[M]. 10th ed. USA: Mc-Graw Hill, 2006:100-125.

[19] 周 鐵. 計算方法[M]. 北京:清華大學出版社, 2006.

[20] Yang C, Liang Y W, Liu A. The danger sensed method by feature changes[J]. Energy Procedia, 2011(13):4429-443.

Research and Application of Immune Homeostasis Mechanism in Danger Theory

Yang Chao1,2，Zhang Yan1,2，Qin Tingdong1

(1.School of Computer Science and Information Engineering, Hubei University, Wuhan 430062, China;2.Education Information Engineering Technology Research Center of Hubei Province, Wuhan 430065, China)

Danger theory is a new research direction of artificial immune system. Its main idea is to detect anomalies by the discovery and fusion of danger signals. The adaptive perception of danger was the most important question need to be solved in Danger Theory. Based on the mechanism that the physiological balance was protected by biological immune system, the balance mechanism was introduced into Danger Theory in order to realize that the danger can be adaptive found through looking for changing factors which may lead to the imbalance of information system. This paper started from the immune homeostasis theory to formally describe the various characteristics of system resource indicators by using a differential calculus the balance in the information system was described in the feature of resource occupy. Besides, it is given the explanation of its meaning and implementation. Finally, use SpyBot as an example to test the effectiveness of the proposed method.

artificial immune system; danger theory; homeostasis mechanism; differential calculus

2016-04-10；

2016-05-05。

湖北省教育廳中青年人才項目(Q2015001)。

楊 超(1982-)，男，湖北武漢人，博士，講師，主要從事信息安全和人工免疫學方向的研究。

1671-4598(2016)07-0294-04

10.16526/j.cnki.11-4762/tp.2016.07.079

TP18 文獻標識碼：A