基于免疫遗传演化检测器生成算法.docVIP

基于免疫遗传演化检测器生成算法 　　摘 要：传统人工免疫方法中对自体的定义不是动态的，这并不符合真实的系统环境。因为随着时间的积累，有些正常与异常的区别会变小，甚至相互转化。所以，必须根据环境的变化动态调整自体集。另外，采用有限差异变异和基因重排机制产生初始检测器集，将遗传算法引入到成熟检测器的免疫进化过程中，由于遗传算法具有良好的全局寻优能力，可有效地提高优质成熟检测器的产生并缩短成熟时间。基于KDDcup数据集上的仿真实验结果证明了本方法在检测异常和入侵方面能表现出良好的性能。?? 　　 　　 　　关键词：人工免疫；入侵检测；检测器?? 　　中图分类号：TP301.6 文献标识码：A 文章编号：1672-7800（2011）06-0052-03?お? 　　?? 　　1 人工免疫系统?? 　　 通过研究生物免疫系统的各个组成和入侵检测模型的各个方面，可以列出它们所具有的相似性 。生物机体里面的抗原入侵可对应计算机网络待检测事件；入侵检测动作则模拟了抗体对抗原的检测，同时，生物的免疫记忆特性也正好对应着检测器的规则提取。基于人工免疫原理构建入侵检测系统给当前入侵检测研究很大的启发，这也正是我们将其引入到入侵检测研究的重要原因。?? 　　免疫方法中的基本定义：?? 　　 (1)自体集/非自体集。在不同的问题域中，对自体和非自体的定义是不同的。因为本文主要研究网络入侵检测方面，所以非自体代表来自网络攻击数据包，自体代表正常的网络数据连接。设问题域为??X∈{0，1}(0表示正常，1表示异常)，它包含两个子集：自体集O和非自体集F，这两个集合有OF=S，O∩F=?粒?其中S表示形态空间。???? 　　 (2)抗体与抗原。由于本文的入侵检测数据源主要来至于网络，而网络数据包含了多个属性特征。我们可以将这些属性特征映射到某一实数范围内，并将每一个网络连接数据与一个d维向量相对应。d维向量的每一个分量代表了其对应网络数据的一个测度，同时，各个分量也可以看成是一个基因。?? 　　 (3)亲和度。免疫识别机理是通过抗原表位与抗体表位的结合度来实现的，这在人工免疫方法中表现为亲和度的概念。亲和度是一种度量抗原与抗体紧密程度的一种数据量。另外，亲和度也可以用于测量两个抗体之间的结合程度，因为从数据检测的角度，我们不区分它们各自的特性，而只关心它们的数据构成。式(1) 为亲和度计算公式，其中??F(t\-i,t\-j)表示亲和度，d(t\-i,t\-j)表示抗体t\-i与抗原t\-j之间的距离。从公式易知：抗体与抗原的距离越近，亲和度越高，反之则越低??。?? 　　??[JZ(]F(t\-i,t\-j)=[SX(]1[]1+d(t\-i,t\-j)[SX)][JZ)][JY](1)?オ? 　　由于编码方式不同，可选的距离函数也不同。当用二进制编码时，一般可以用连续r位匹配或海明距离表示；当用实数编码时，可以用欧式距离或曼哈顿距离表示。?? 　　2 检测模型概述?? 　　 本文提出的检测模型如图1所示，下面从检测器成熟的角度来介绍这一模型的工作原理：首先是未成熟检测器的生成；未成熟检测器的生成是该模型中的重要一环，因为它直接影响了成熟检测器的可选范围。我们在传统的随机生成算法中加入了亲和度变异和基因重排机制，并以此来生成未成熟检测器。然后是成熟检测器的生成:在成熟检测器的选择过程中，首先是经历否定选择，而后通过遗传进化生成成熟检测器。最后在检测的过程中，根据检测效果，实时的启动成熟检测器再生过程。?? 　　 　　3 免疫检测器自适应生成算法?? 　　 本文采用有限差异变异和基因重排机制产生初始检测器集，通过耐受过程使其在较短的时间内生成更多的有效成熟检测器。将遗传算法引入到成熟检测器的免疫进化过程中，由于遗传算法具有良好的全局寻优能力，可有效的提高优质成熟检测器的产生并缩短成熟时间。?? 　　3.1 未成熟检测器生成?? 　　 未成熟检测器的生成直接影响到成熟检测器的选择搜索范围，在实际应用中需要检测的往往是多种异常。这些异常可能在不同的时刻发生，并且与一些正常的数据混在一起，需要通过进化来不断区分。在面对这样的情形时，自适应否定选择学习算法将很难快速搜索，所以要对该算法进行改进使其具有更加合理的多样性保持方法，从而避免陷于局部最优。?? 　　 为达到一个较好的全局搜索，必须有多样化的初始检测器生成机制。本文结合随机生成、亲和度变异和基因重排产生未成熟检测器。?? 　　 未成熟检测器的生成方法按照以下步骤：①产生初始检测器集合；②对检测器集合中的每一个检测器，与引导抗原数据相匹配，记录其亲和度；③达到最大进化代数则结束；④依据亲和度变异产生新的检测器集合Rl；⑤随机产生新的预检测器集合R2；⑥基因重排产