基于免疫遗传演化的检测器生成算法.pdfVIP

第1O卷 第6崩 VollONo．6 20l1年 6月 Jtil1．20ll 基于免疫遗传演化的检测器生成算法 吴 亮 (中南民族大学，湖北 武汉 430074) 摘 要 ：传统人工免疫方法中对 自体的定义不是动态的，这并不符合真实的系统环境。因为随着时间的积累，有些正 常与异常的区别会变小，甚至相互转化。所以，必须根据环境 的变化动态调整 自体集。另外，采用有限差异变异和基 因重排机制产生初始检测器集，将遗传算法引入到成熟检测器的免疫进化过程 中，由于遗传算法具有 良好 的全局寻 优 能力 ，可有效地提高优质成熟检测器的产生并缩短成熟时间。基于KDDcup数据集上 的仿真实验结果证明了本方 法在检测异常和入侵方面能表现 出良好的性能。 关键词 ：人工免疫；入侵检测；检测器 中图分类号 ：TP301．6 文献标识码 ：A 文章编号 ：1672—7800(2011)06—005203 式 ，其 中F(t，t)表示亲和度 ， (t，t，)表示抗体 t与抗原 1 人工免疫系统 t之 间的距离 。从公式易知 ：抗体与抗原的距离越近 ，亲 和度越高，反之则越低 。 通过研究生物免疫系统的各个组成和入侵检测模型 1 的各个方面，可 以列出它们所具有的相似性 。生物机体 F(,tj 蕊 ¨’ 里面的抗原入侵可对应计算机网络待检测事件；入侵检测 由于编码方式不同，可选 的距离函数也不 同。当用二 动作则模拟 了抗体对抗原的检测 ，同时，生物 的免疫记忆 进制编码时，一般可 以用连续 r位匹配或海 明距离表示 ； 特性也正好对应着检测器 的规则提取 。基于人工免疫原 当用实数编码时，可以用欧式距离或曼哈顿距离表示。 理构建入侵检测系统给当前入侵检测研究很大的启发 ，这 也正是我们将其引入到入侵检测研究的重要原因。 2 检测模型概述 免疫方法中的基本定义 ： (1)自体集 ／非 自体集 。在不同的问题域 中，对 自体和 本文提 出的检测模型如 图 1所示 ，下面从检测器成熟 非 自体的定义是不同的。因为本文主要研究网络入侵检测 的角度来介绍这一模型的工作原理：首先是未成熟检测器 方面，所 以非 自体代表来 自网络攻击数据包，自体代表正常 的生成 ；未成熟检测器 的生成是该模型 中的重要一环 ，因 的网络数据连接。设问题域为X∈{0，1}(0表示正常，1表 为它直接影响了成熟检测器的可选范围。我们在传统的 示异常)，它包含两个子集：自体集 0和非 自体集 F，这两个 随机生成算法 中加入了亲和度变异和基 因重排机制 ，并 以 集合有 OF=S，ONF一 ，其 中 S表示形态空间。 此来生成未成熟检测器。然后是成熟检测器的生成 ：在成 (2)抗体与抗原。由于本文的入侵检测数据源主要来 熟检测器的选择过程 中，首先是经历否定选择 ，而后通过 至于网络 ，而网络数据包含了多个属性特征。我们可 以将 遗传进化生成成熟检测器 。最后在检测 的过程 中，根据检 这些属性特征映射到某一实数范 围内，并将每一个 网络连 测效果 ，实时 的启动成熟检测器再生过程 。 接数据与一个 d维向量相对应 。d维向量的每一个分量 代表了其对应网络数据的一个测度，同时，各个分量也可