[發明專利]一種基于生物免疫機制的主機入侵檢測方法

無效

• 申請號: 201210011970.2
• 申請日: 2012-01-16
• 公開（公告）號: CN102592093A
• 公開（公告）日: 2012-07-18
• 發明（設計）人: 張雷;姜繼民;孟令瑞;侯春杰;范波
• 申請（專利權）人: 河南科技大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06N3/00
• 代理公司: 洛陽公信知識產權事務所(普通合伙) 41120
• 代理人: 孫笑飛

1.一種基于生物免疫機制的主機入侵檢測方法，其特征在于：包括基于生物免疫機制確定模糊關聯規則庫的階段和根據模糊關聯規則庫對主機監測行為的實時數據進行入侵檢測的階段；具體方法為：

（一）、確定模糊關聯規則庫的階段：

（1）、將已有的主機審計數據中的歷史入侵實例進行屬性約簡和統一編碼，選擇支持度高于設定閾值的屬性作為約簡后的屬性集合；

（2）、確定約簡后的屬性集合中每個屬性所對應的語言術語以及相應的隸屬度函數；對每個屬性進行模糊化，并且統一采用一定數量的語言術語進行描述，其對應的隸屬度函數采用三角形隸屬度函數；

（3）、隨機生成初始抗體種群，種群中每個個體的編碼形式如下為：???????????????????????????????????????????????

其中m表示每個屬性所對應的模糊集合數目，n表示所有的屬性數目；

（4）、基于個體的親和度函數評價種群中每個個體的優劣，從中選擇一定比例親和度最高的個體進行后續的克隆和變異操作，其中個體的親和度為其所對應的模糊關聯規則的確信度；

（5）、基于每個個體的親和度值和密度確定選取的個體的克隆數目，克隆數目的計算公式為：

式中NumC_max和NumC_min分別表示設定的最大克隆數目和最小克隆數目，Af_max表示當前種群中所有個體中的最高親和度；若當前種群中與該個體相似的個體數目超過設定比例，則克隆數目直接定為設定的最小克隆數；

（6）、按照步驟（5）確定的克隆數目對步驟（4）選取的個體進行克隆和變異操作，方法為：對選定的個體按照步驟（5）確定的克隆數目進行復制，復制過程中首先產生一個隨機數，當該隨機數小于所設定的變異概率時個體就實施變異操作，即從該個體中隨機地選擇某個屬性的整數編碼，然后用其變化范圍內的另一個數替換原值；

（7）、抗體種群和記憶種群的更新：計算新生成個體的確信度，將新生個體中與記憶種群的個體相比具有更高確信度的個體加入到記憶種群中，并且按照包含的定義去除記憶種群中被其它個體所包含的個體；同時從新生成的個體中選取一定比例親和度最高的個體替換掉原種群中親和度最差的一部分個體，得到更新的抗體種群；

（8）、重復上述步驟（4）—（7）的操作，直至當前記憶種群中的關聯規則集合的覆蓋比例超過設定閾值或者重復操作的次數達到設定的最大迭代次數，得到建立的模糊關聯規則庫；

（二）、對主機監測行為的實時數據進行入侵檢測的階段：

（1）、根據模糊關聯規則庫確定階段的步驟（1）—（3）的方法，對主機監測行為中的每條記錄的數據進行屬性約簡，去掉部分冗余屬性，并統一格式化為與模糊關聯規則庫確定階段的數據一樣的格式；

（2）、針對主機檢測行為中的每條記錄，計算其對于所得到的模糊關聯規則庫中每個規則的激勵強度；

（3）、然后分別計算該記錄針對規則庫中每一類規則的總的匹配值，反映了該記錄符合哪個類別特征的程度；

（4）、將該記錄歸類到匹配值最高的類別中，以確定該記錄的所屬類別，判斷其是否屬于異常行為和入侵行為；

（5）、如果在主機監測行為中出現新的攻擊類型，即當前模糊關聯規則庫中所有規則對該記錄的匹配值都小于設定閾值，則針對該攻擊行為的每個具體屬性值，直接從該屬性所包含的5個語言術語中選擇某個模糊集合，使得該屬性值的隸屬度最大，將選定的模糊集合作為新的關聯規則的前件，并用一個新的類別號作為該規則的類別，然后將該關聯規則加入到模糊關聯規則庫中；然后轉入步驟（1）對新的主機監測行為進行實時入侵檢測。