[發(fā)明專利]一種基于免疫的動態(tài)實時網(wǎng)絡(luò)異常檢測方法

有效

• 申請?zhí)枺?/td>: 201210088917.2
• 申請日: 2012-03-29
• 公開（公告）號: CN102638466A
• 公開（公告）日: 2012-08-15
• 發(fā)明（設(shè)計）人: 彭凌西;謝冬青;劉浩懷;熊偉
• 申請（專利權(quán)）人: 廣州大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 廣州市天河廬陽專利事務(wù)所 44244
• 代理人: 胡濟元

1.一種基于人工免疫原理的動態(tài)實時網(wǎng)絡(luò)異常檢測方法，其特征是通過檢測模式進行動態(tài)描述，即通過記憶細胞的動態(tài)產(chǎn)生及消亡、動態(tài)學(xué)習(xí)、動態(tài)自組織，結(jié)合抗體細胞動態(tài)克隆和淘汰機制，實現(xiàn)檢測模式隨真實網(wǎng)絡(luò)環(huán)境同步演化，進一步通過免疫種痘及疫苗分發(fā)，以進行協(xié)同處理，從而提高網(wǎng)絡(luò)異常檢測的準(zhǔn)確性和及時性，具體地，本方法由待檢抗原數(shù)據(jù)提呈匯總、記憶細胞動態(tài)演化、抗體細胞動態(tài)克隆與淘汰及網(wǎng)絡(luò)異常檢測四個步驟組成，其中記憶細胞動態(tài)演化包括以下八個子步驟：

(1)初始化記憶細胞集合的步驟，即初始時刻的抗體細胞集可為空，也可已收集或隨機產(chǎn)生的表征網(wǎng)絡(luò)異常的數(shù)據(jù)組成；

(2)記憶細胞與待檢抗原匹配的步驟：讀入待檢抗原，依次計算每個記憶細胞與待檢抗原匹配函數(shù)值，如果匹配函數(shù)值小于給定正常數(shù)，則記憶細胞匹配數(shù)增加1，年齡置0；

(3)記憶細胞與待檢抗原不匹配的步驟：記憶細胞集合中的記憶細胞如果不與待檢抗原匹配，則記憶細胞年齡增加1；

(4)待檢抗原加入記憶細胞集的步驟：如果記憶細胞集中沒有記憶細胞與待檢抗原匹配，且協(xié)同刺激指示異常，則將待檢抗原加入記憶細胞集；

(5)抗體細胞加入記憶細胞集的步驟：如果某抗體細胞或待檢抗原之間的匹配函數(shù)值小于任一記憶細胞與待檢抗原的匹配函數(shù)值，且協(xié)同刺激指示為異常，則將該抗體細胞加入記憶細胞集合；

(6)免疫種痘與疫苗分發(fā)的步驟：如果某記憶細胞的匹配數(shù)大于給定的某個正整數(shù)γ，則將該記憶細胞作為疫苗分發(fā)到其他機器，另外將其它機器分發(fā)過來的疫苗加入到記憶細胞集合中；

(7)記憶細胞死亡的步驟：如果某記憶細胞的生命周期大于正整數(shù)β，則死亡，即從記憶細胞集中刪除該記憶細胞；

(8)記憶細胞合并的步驟：即如果記憶細胞集中存在記憶細胞兩兩相匹配，則將其中與待檢抗原匹配函數(shù)值較大的記憶細胞從記憶細胞集合中刪除。

2.據(jù)權(quán)利要求1所述的一種基于人工免疫原理的動態(tài)實時網(wǎng)絡(luò)異常檢測方法，其特征是待檢抗原數(shù)據(jù)提呈匯總的步驟包括：

(1)收集網(wǎng)絡(luò)流量特征數(shù)據(jù)，構(gòu)成待檢抗原的步驟，以旁路偵聽方式獲取單位時間中TCP協(xié)議輸入數(shù)據(jù)包在總流量中所占的比重、ARP協(xié)議輸入數(shù)據(jù)包在總流量中所占的比重、輸出流量在總流量中所占的比重、網(wǎng)絡(luò)傳輸速率、實時連接會話數(shù)目、單位時間TCP-SYN的報文數(shù)量，這些描述網(wǎng)絡(luò)事務(wù)的特征數(shù)據(jù)，構(gòu)成待檢抗原特征向量的特征值；

(2)將待檢抗原特征值標(biāo)準(zhǔn)化的步驟：將待檢抗原特征向量各特征值標(biāo)準(zhǔn)化為0和1之間的實數(shù)。

3.據(jù)權(quán)利要求1所述的一種基于人工免疫原理的動態(tài)實時網(wǎng)絡(luò)異常檢測方法，其特征是抗體細胞動態(tài)克隆與淘汰的步驟包括：

(1)初始化抗體細胞集合的步驟：即初始時刻的抗體細胞集可為空，也可已收集或隨機產(chǎn)生的表征網(wǎng)絡(luò)異常的數(shù)據(jù)組成；

(2)記憶細胞匹配待檢抗原時進行克隆和變異的步驟：即記憶細胞與待檢抗原匹配時，對記憶細胞進行復(fù)制形成新的抗體細胞，并對其特征值進行變異，其變異概率按記憶細胞與待檢抗原之間的匹配函數(shù)值，變異抗體細胞年齡置0，并將其加入到抗體細胞集合中；

(3)抗體細胞匹配待檢抗原時進行克隆和變異的步驟，即抗體細胞與待檢抗原匹配時，對抗體細胞進行復(fù)制形成新的抗體細胞，并對其特征值進行變異，其變異概率按抗體細胞與待檢抗原之間的匹配函數(shù)值，抗體細胞年齡置0，并將其加入到抗體細胞集合中；

(4)抗體細胞與待檢抗原不匹配的步驟，即如果抗體細胞與待檢抗原不匹配，則將抗體細胞年齡增加1；

(5)抗體細胞死亡淘汰的步驟，即如果某抗體細胞的生命周期大于給定的正整數(shù)α則死亡，即將該抗體細胞從抗體細胞集中刪除；

(6)通過混沌方式隨機生成抗體細胞的步驟，即通過Kent混沌映射隨機產(chǎn)生新的抗體細胞特征值，并設(shè)置其年齡置0，構(gòu)成新的抗體細胞，生成抗體細胞的數(shù)量為正整數(shù)，并將其加入到抗體細胞集合中。

4.據(jù)權(quán)利要求1所述的一種基于人工免疫原理的動態(tài)實時網(wǎng)絡(luò)異常檢測方法，其特征是網(wǎng)絡(luò)異常檢測的步驟包括：

(1)讀入待檢抗原的步驟，即讀入一個待檢測的抗原；

(2)計算待檢抗原與記憶細胞匹配函數(shù)值的步驟：即計算待檢抗原與所有記憶細胞之間的匹配函數(shù)值；

(3)判斷待檢抗原類別的步驟，即根據(jù)計算出的匹配函數(shù)值，判斷待檢抗原是否與任一記憶細胞匹配，匹配則類別為異常，如果均不匹配則根據(jù)協(xié)同刺激判斷待檢抗原類別，協(xié)同刺激指示為異常則待檢抗原類別為異常，否則為正常。