基于免疫机制的入侵检测系统模型研究-信号与信息处理专业论文.docxVIP

摘 摘 要 借鉴和模拟自然免疫系统的保护原理和机制，构造具有准确性、分布性、多 样性、轻巧性、鲁棒性和扩展性的入侵检测系统(IDS)是一个新颖而有发展前 景的研究方向。早在1987年，计算机安全系统与自然生物系统的相似性就由于 “计算机病毒”的出现而被认识到了。然而，迄今为止，保护计算机及计算机网 络的产品，无论是针对病毒还是针对其它的入侵和攻击，都还没有利用自然生物 系统对自身的保护机制。具体到基于免疫机制的入侵检测系统的研究也只局限于 Forrest，Dasgupta和Kim三个研究小组所做的研究工作。为此，在深入细致地 分析了入侵检测系统的各种体系结构、数据源和检测技术，并充分了解和认识了 它们各自相应的特点及优缺点的基础上，在导师黄厚宽教授的指导下，沿着上面 三个研究小组所做的工作，本文对结合免疫机制和数据挖掘技术的入侵检测系统 模型及其在各种不同条件下的性能进行了研究，取得了以下主要成果： (1)目前，尚未有关于免疫系统的原理、机制以及相应免疫IDS模型的全 面、完整和准确的形式化描述，也没有关于入侵检测系统性能度量的统一标准。 针对这一现状，本文在理解、分析和综合了当前各种免疫IDS模型的基础上， 结合数据挖掘技术，提出了一个新的基于免疫机制的IDS模型，并对该模型以 及其中所应用的各种免疫机制进行了全面、完整和准确的形式化描述：同时，对 所提出的免疫IDS模型的一些具体实现技术进行了探讨。另外，本文还提出了 一种度量入侵检测系统检测性能、鲁棒性和扩展性的标准及相应公式。 (2)由于当前还没有关于统计计算给定模式集覆盖规模的快速有效的算法 (当前的算法都是指数型算法)，所以，无法对真实应用环境中免疫IDS模型的 各种性能进行详细的分析和准确的估计，而只能针对随机分布假设进行一些理论 探讨。为了解决这个问题，本文提出了模式模板及其覆盖的概念，引入了模板之 间重叠规模的一种度量方式；在此基础上，推导出了给定模式集覆盖规模的计算 公式，并据此设计了相应的算法。该算法使得快速统计计算给定自我模式集的检 测盲点数、有效检测子数和检测盲点率成为了可能，也使得快速统计计算给定检 测子集对非我模式空间的覆盖规模成为了可能，这样就可以对单个检测节点和多 北方交通大学博士学位论文个检测节点形成的入侵检测系统在不同应用环境和参数条件下的各种性能做出 北方交通大学博士学位论文 个检测节点形成的入侵检测系统在不同应用环境和参数条件下的各种性能做出 快速准确的估计，以此指导实际入侵检测系统的设计，从而使得基于免疫机制入 侵检测系统模型的设计具有了可预测性。本文利用上述算法对所提出的免疫IDS 模型在不同环境条件和不同模型参数值下的检测性能变化规律进行了分析、总结 和预测，并据此对系统参数值的设计和选择提出了一些指导性的建议。实验证明 了预测结果的可靠性和准确性。 (3)在当前的免疫[DS模型中，生成检测子集的算法都采用的是随机尝试 法，而该算法的时间复杂度与模式编码长度、连续位匹配长度和自我模式集规模 都呈指数关系，因此，生成检测子的效率极低，在有些情况下，甚至根本无法在 合理的时间内‘l三成一个检测子。尽管Forrest小组后来又曾给出了线性时削算法 和贪婪算法t但这两个算法在空间复杂度上又都是指数型算法，因此，并未在实 践中得以应用。为此，本文设计实现了一个新的基于划分的检测子生成算法—— SBDG算法，该算法的时侧复杂度与模式编码长度和连续位匹配长度呈线性关 系，与自我模式集觇模呈二次多项式关系，而空间复杂度与上述参数都呈线性关 系。不仅如此r该算法还可以保证检测子集的质量，使得每个检测子集都可以覆 盖尽可能最大的非我模式空间。由于该算法可以在各种条件下快速有效地生成检 测子集，从而使得基于免疫机制的入侵检测模型具有了实用性。 (4)在上述免疫IDS框架下，本文还提出了一个基于主机的入侵检测组件。 孩组件利用了变长记忆马尔可夫链模型、信息率失真理论、最小描述长度原理和 确定性退火算法，可以通过对一个主机系统用户账户中命令行字符序列轨迹的分 析，来判断是否存在“伪装”及其它具有相同或相似特征的入侵行为。该组件具 百捕捉用户在击键行为中存在的不定长频繁短序列的能力，可以通过不同用户的 1_f==同击键特征对命令行字倚序列中具有显著差异的不同行为方式进f亍区分，从而 可以检测和判断一个用户的账户是否存在被入侵和利用的安全问题。实验结果表 明，该模型确实可以将具有不同统计特眭的行为方式区分开来。 关键词：计算机网络，网络安全， 入侵硷测，免疫计算，免疫IDS模型，变 长记忆马尔可夫链，信息率失真理论 最小描述长度原理，确定性退火算法 ABSTRACTIt ABSTRACT It is a novel and promising way to