面向网络入侵检测克隆选择方法.pdf

摘 要 一个好的网络入侵检测系统应该是鲁棒的、可扩展的和高效的。人工免疫系统所具 有的分布式、自组织和轻量级特性正好满足了网络入侵检测系统的要求，因此人工免疫 系统在网络入侵检测中具有很大的优势。 基于否定选择算法的网络入侵检测在应用中存在着严重的扩展性问题，它不适合处 理网络环境中的繁重任务。而克隆选择算法能解决该问题，但“自我”(正常模式)定义 改变时，它对新规定的自我和非自我模式无法识别，监测到新攻击时产生很高的误报率。 而且为了获得较高的检测率，其记忆检测器需要大量协同刺激，严重耗费系统资源，不 适用于动态变化的网络环境。 本文结合网络入侵检测的上述问题，深入研究了否定选择、亲和力成熟过程以及免 疫记忆机制等，以现有克隆选择算法为主体，将否定选择、克隆选择、记忆检测器基因 Selection 库方法融合进来，提出嵌入否定选择的克隆选择算法(EmbededNegative ClonalSelection Operator 仅删除了那些新的未成熟检测器中耐受性差的检测器，而且协助记忆检测器实现了动态 更新过程，使得算法整体的检测性能提高。采用基因库进化策略，即将淘汰的记忆检测 器送入基因库备用，提高记忆检测器利用率，避免生成大量无效的未成熟检测器而浪费 系统计算时间。 为了缩短二进制编码表达的数据特征的码长、减少响应耗时，原型试验中采用实数 编码的特征。在遗传算法启发下定义的检测器间的亲和力计算公式，使算法更贴近现实 环境，也便于处理。最后，讨论两个影响ENCSA性能的重要参数：不成熟检测器的耐 受周期T和成熟检测器的生命周期L。通过设置这些参数，可以获得满意的检测率TP 和误报率FP。在记忆检测器库更新阶段，ENCSA的亲和力成熟机制，减少了的协同刺 激数量，降低过高的误报率。与CSA的性能比较中，相同参数和训练环境下，ENCSA 获得了较高的非自我检测率和较低的误报率，整体的检测性能有所提高。 关键词：网络入侵检测；嵌入；否定选择算子；克隆选择算法；免疫记忆：误报率； 检测率 ABSTRACT A Network-basedIntrusionDetection be good System(roDS)should and a efficient．Butat NIDSneeds time，cann’t theunknown present longdetecting recognize intrusions andhas false Immune high positive(FP)ratio．Artificial innetworkintrusion it satisfiesthese advantagedpredominance detections，because and these requirements：beingdistributed，self-organizedlight·weighted．Thisadopts paper fcaturesto effectivenetwork-basedIDS． construct worksused selection to in handletroubles Alth