人工免疫原理在網絡入侵檢測中的應用

[摘要] 通過把人工免疫機理引入到網絡入侵檢測技術中，出現了一個新興的研究方向:基于人工免疫的網絡入侵檢測。在概述生物免疫原理的基礎上，詳細討論了目前基于人工免疫的入侵檢測中的關鍵技術。

[關鍵詞] 入侵檢測免疫原理

一、引言

自然界中，生物的免疫系統成功地保護了生物自身免受外來病原體的侵害，入侵檢測是計算機安全研究中的一個新領域，目前已有許多網絡的入侵檢測系統被開發出來，免疫原理在入侵檢測領域的應用是一個剛剛興起的研究，它的目的是使檢測系統具有分布性、多樣性、自適應性、自動應答和自我修復的特點，具有檢測異常現象、利用不完備信息進行檢測的能力。

二、人類免疫系統的原理

人類肌體總是處于大量微小有機體例如細菌、寄生蟲、病毒、真菌或由這些組成的病菌的不斷的入侵中，這些病菌往往就是很多疾病的來源。人類的免疫系統就是用來防御這些入侵的系統，由具有免疫功能的器官、組織、細胞、免疫效應分子與有關基因組成。而其中很重要的一部分就是淋巴細胞，淋巴細胞主要有T細胞和B細胞兩類。T細胞在面對外來入侵的時候，擔任協調免疫系統各部分功能的作用。而B細胞通過其表面的抗體和抗原結合，來消滅抗原。抗體的主要工作就是區分本體細胞和異體細胞。其中本體細胞指的是正常的人體細胞;異體細胞是指有害的異質細胞，也稱抗原。每個B淋巴細胞可以產生一種抗體，并通過綁定機制識別一定數量結構相似的抗原細胞。免疫系統面對各種不同的外界入侵抗原，各種B細胞產生了數百萬種不同種類的抗體，利用抗體上有特定的物質和它的特殊功能，可以結合、粘附或消除入侵的抗原，增強其它吞噬細胞吞噬病原體的功能，以維持免疫平衡。同時免疫系統具有記憶能力，對曾經入侵過的抗原，能夠比新入侵抗原更迅速的識別。

三、人工免疫原理在IDS上的應用

合格的入侵檢測系統(IDS)要具有準確性、完整性、可擴展性、可適應性和自身的健壯性等特點。這就要求它達到以下的設計目標:(1)完備的;(2)分布式的;(3)自組織的和精簡的。

生物免疫系統與IDS有著功能上的相似之處。免疫系統的分布性、多樣性、自成體系、完備性和精簡性使它精確有效地保護著生物個體。如何模擬基因庫更新、陰性選擇、克隆選擇等抗體生成過程建立入侵檢測器是建立基于人工免疫原理的入侵檢測系統的關鍵。

1.模擬基因庫

人體免疫系統有著多層保護機制，包括: 皮膚、生理條件、先天免疫和適應免疫。適應免疫主要是由B細胞和T細胞來完成的免疫反應。B細胞和T細胞分別在骨髓和胸腺中產生。在骨髓和胸腺中有專門用于生成B細胞和T細胞的基因庫，基因庫中包含了用于構成這兩種細胞的基因片段。通過對基因庫中的基因片段進行重組、突變等操作來產生新的不同的細胞，這就使它們能夠識別各種病毒。人體免疫系統利用基因庫來產生免疫細胞，使產生合格免疫細胞的概率增大，人們把基因庫的機制引入到人工免疫系統中，用來產生更有效的檢測器集。但是對于如何構建基因庫還沒有確定的方法，有2種新提出的構建基因庫的方法: 一種為直接應用非我樣本來構建基因庫，另一種方法是通過統計所有非我樣本的分布來構建基因庫。這2種方法都能夠產生檢測率更高的檢測器集。

2.陰性選擇算法

陰性選擇算法是基于免疫系統的自體—非自體識別原理。它可以總結為以下三個步驟:(1)定義自我集:首先根據實際應用環境定義合適的自我集合。自我集合通常是由代表自我狀態的字符串組成的集合;(2)產生檢測器:首先隨機產生字符串，如果該字符串集合與自我集合中的任一字符匹配則刪除，否則保留來作為檢測器;如此循環迭代，直到產生足夠大小的檢測器集為止;(3)監視要保護的數據:如果需要保護的數據跟檢測器集合中的任何一個檢測器匹配，則表明要保護的數據發生了異常變化，從而起到了檢測異常變化的效果。該算法描述如下:(1)定義一組長度為L的有限字符串S表示“自己”;(2)產生檢測器集R，R中每個檢因器與S中的串都不匹配;(3)通過不斷地將R中的檢測器與S比較來監控S的改變。

3.克隆選擇算法

克隆選擇是免疫系統的一種自然選擇的型式。當B細胞被激活，它就開始大量的復制克隆自己。在這個復制的過程中，突變的概率是平常的9倍。這么高的概率將使得子代的所附著的抗體會與父代的不同，從而加強了對不同抗原的親和力。如果這些新B細胞能夠與超過激活門限的抗原結合，它們將被激活，繼續克隆復制下一代。因此，具有高親和力的B細胞更可能被克隆。換言之，在B細胞與病原體的競爭中，具有較高親和力的B細胞就具有更高的適應性，也就更容易被復制到下一代中，這個過程就是克隆選擇過程。

一個完整的免疫響應是由三個進化階段組成的:通過基因庫進化產生有效的抗體;通過陰性選擇消滅不適合的抗體;通過克隆選擇復制大量高效的抗體。這三個階段是自組織的，而不是由某一個中心器官預先下達指令來指導它們執行。可以將人體免疫系統的三個進化階段運用于IDS，在該系統中，將正常的網絡行為定義為“自我”，將異常的行為定義為“非我”，通過識別“自我”和“非我”來檢測入侵。首先，通過基因表達將產生大量的不成熟檢測器;接著，通過陰性選擇，只有那些成熟的檢測器會保留下來，這些成熟的檢測器就是高效檢測器;然后，這些成熟的檢測器一方面通過克隆選擇被大量復制后，傳送到網絡上用于檢測“非我”的入侵行為，另一方面，這些成熟的檢測器被基因優化后送到基因庫，形成基因庫進化。

四、結束語

生物免疫系統擁有許多值得借鑒的顯著特征，借鑒生物免疫系統的計算機免疫系統將成為解決入侵檢測問題的有效手段。

參考文獻:

倪長健丁晶李柞泳:基于優秀抗體的免疫算法及其收斂性問題的研究[J].系統工程，2002，20