CN102750490B - 一种基于协作免疫网络进化算法的病毒检测方法 - Google Patents

Abstract

本发明公开了一种基于协作免疫网络进化算法的病毒检测方法，属于网络安全技术领域。本发明通过不同类型免疫细胞之间的相互协作不断优化免疫网络中的检测器。在进化过程中引入非我集，根据检测器对非我集的适应度对成熟检测器进行克隆选择；同时，通过进化代数来更新变异步长自适应的改变成熟检测器的变异方式，并提出基于浓度分区的网络抑制策略，从而在提高网络细胞多样性的同时降低检测器的冗余度。本发明结合了进化学习和人工免疫技术的优越性，充分利用二者的优点，提高了网络病毒的检测效率。

Description

一种基于协作免疫网络进化算法的病毒检测方法

技术领域

本发明涉及一种病毒检测方法，尤其涉及一种基于协作免疫网络进化算法的病毒检测方法，属于计算机网络、信息安全、人工免疫系统的交叉技术应用领域。

背景技术

计算机病毒的发展，特别是变形病毒和网络病毒肆虐，使得反病毒研究者越来越难以找到一个可以满足人们需要的防治病毒的方法。人工免疫的研究带给人们一些启发。因为面对大量的变形病毒，防治计算机病毒的研究陷入一个如何使计算机系统识别哪些是系统应用程序（“自己”），哪些是病毒（“非己”）的基本问题中。生物免疫系统是由器官、细胞和分子组成的一个复杂系统，在该系统中通过免疫细胞的相互作用来实现准确地识别“自我/非我”、学习记忆、和发起特异性免疫应答等功能。生物免疫系统所具备的这些特点让越来越多的人致力于将人工免疫原理应用于防治病毒和防御黑客入侵方面。

计算机人工免疫原理是基于生物免疫原理而提出来的，具有许多优良的特性，如耐受性，分布性，鲁棒性，自学习性和多样性等。人工免疫理论的基本原则是，把计算机系统看做“自体”，把病毒（或入侵）看做“非自体”或者“抗原”，与已知病毒相对应的可以生成“抗体”，该抗体能够识别“抗原”，“抗体”按照一定的算法进行变异和进化，可以实现免疫应答，并保持自适应性和自稳定性的特征。计算机免疫网络是对生物免疫系统的模拟，它具备强大的信息处理能力，且能自适应地识别已知和未知病毒，因此，基于免疫原理的病毒检测方法可有效提高网络系统的安全性。

人工免疫模型大致可以分成两类：一类是基于克隆选择理论的模型，该模型中各个免疫细胞均为离散的，因此个别免疫细胞的识别能力突出，但忽略了免疫细胞整体的识别能力。另一类是基于免疫网络理论的模型，该模型认为免疫系统是一个由免疫细胞组成的能够互相识别、刺激和协调的动态平衡网络。目前典型的免疫网络理论模型是TimmiS等提出的资源受限人工免疫系统和de Casto等人提出的aiNet人工免疫网络。aiNet免疫网络把整个免疫系统看成一个由免疫细胞组成的能够相互作用的网络，通过免疫细胞之间的连接相互协作，保持免疫网络中的细胞处于稳定状态。aiNet免疫网络模型是一个边界加权图，该模型通过计算抗体与抗原之间的亲和力，对亲和力高的抗体进行克隆变异和网络抑制后，剩余抗体之间以亲和力为权值建立连接。但是，aiNet免疫网络模型存在过分依赖网络抑制来降低冗余度、运算量大、执行速度慢等问题。

发明内容

本发明所要解决的技术问题在于克服现有技术的不足，对现有aiNet免疫网络模型进行改进，提供一种基于协作免疫网络进化算法的病毒检测方法。

本发明的基于协作免疫网络进化算法的病毒检测方法，包括免疫网络构建的步骤，免疫网络协作进化的步骤，以及利用协作进化后的免疫网络进行病毒检测的步骤，所述免疫网络构建的步骤，包括：

步骤1、定义自我集为正常的程序代码集合，定义非我集为网络中出现过的已知病毒的特征码集合，将非我集元素信息进行拆分，得到基因片段并将其加入基因库；

步骤2、通过选取基因库中的基因片段随机组合产生一个未成熟检测器集；

步骤3、将由基因库生成的未成熟检测器集与自我集进行耐受训练，计算未成熟检测器与自我集中所有元素的亲和力，若该检测器不与任何自我元素匹配则将此检测器加入成熟检测器集合；

步骤4、将所有成熟检测器作为免疫网络的节点，计算其中任意两个成熟检测器之间的亲和力，若两个成熟检测器之间的亲和力大于一预设的阈值，则在它们之间建立连接边，并以其亲和力作为该边的权值；否则，成熟检测器对应的节点之间无连接。

上述技术方案在生成成熟检测器的过程中引入非我集，并通过非我集元素信息拆分所获得的基因片段的随机组合产生未成熟检测器集，从而提高成熟检测器的生成效率，降低运算所需开销。

进一步地，所述免疫网络协作进化的步骤，包括：

步骤5、成熟检测器的选择：通过下式计算各成熟检测器对非我集的适应度，并删除免疫网络中对非我集的适应度低于一预设阈值的成熟检测器：

式中，表示检测器对非我集的适应度；为检测器与非我集中的元素之间的亲和力；

步骤6、对选择出的成熟检测器进行克隆；

步骤7、成熟检测器的变异，生成记忆检测器；

步骤8、网络抑制；

步骤9、当达到预设的更新条件时，转而重新执行步骤1—步骤8，实现协作进化免疫网络的更新。

    更进一步地，所述对选择出的成熟检测器进行克隆是根据对非我集的适应度从低到高形成等差级数关系，具体按照以下方法：设适应度最低的成熟检测器克隆的数量为，最高的成熟检测器克隆的数量为，则成熟检测器集中每个被刺激的抗体的克隆数目通过下式计算：

                                        

其中：为四舍五入的取整函数；为成熟检测器集合中元素的个数。

    又进一步地，所述成熟检测器的变异采用自适应变异方法，具体为：随进化代数动态调整抗体变异步长，具体按照下式：

 

式中，为当前进化代数；，，表示记忆检测器与记忆检测器集合中其它所有记忆检测器之间的亲和力之和。

再进一步地，所述网络抑制为根据浓度分区进行网络抑制，具体为：首先计算变异后得到的记忆检测器的浓度值，然后按照浓度值将记忆检测器集划分为P个子集，分别计算在每个子集内部检测器之间的亲和力，最后删除每个子集内部检测器之间亲和力高于抑制阈值的记忆检测器；协作免疫网络中记忆检测器的浓度值和刺激水平的计算公式为：

，

式中，为进化代数，为记忆检测器集合；为抗原集合；表示记忆检测器与记忆检测器集合中记忆检测器之间的亲和力；表示记忆检测器与抗原集合中的抗原的亲和力。

所述利用协作进化后的免疫网络进行病毒检测的步骤具体为：提取待检测样本文件的特征码，并计算该特征码与所述记忆检测器集中各记忆检测器的亲和力，如亲和力大于预先设定的匹配阈值，则判断该样本文件为病毒；否则判断为正常文件。

本发明在免疫网络进化过程中引入非我集，通过加强抗体-非我集、抗体-抗原、抗体-抗体之间的相互协作，使通过协作进化后的免疫网络具备全局更优的检测能力。相比现有技术，本发明具有以下有益效果：

（1）本发明在免疫网络进化过程中引入非我集，通过计算成熟检测器对非我集的适应度删除免疫网络中适应度低的检测器，可降低检测器集的冗余度；同时选择适应度高的检测器进行克隆变异，不仅可增加记忆检测器的多样性，而且可使网络中检测器不断进化，从而通过非我集、成熟检测器之间的协作达到整个免疫网络的快速进化。

（2）由于适应度表达了检测器与非我集的亲和力，适应度越高则该成熟检测器与非我集中匹配的元素越多，该成熟检测器的检测性能越强，因此根据成熟检测器对非我集的适应度从低到高形成等差级数关系克隆相应数量的成熟检测器，可在保证成熟检测器多样性的同时克隆更多检测性能较强的成熟检测器。

（3）参数控制了每次进化的平均变异情况，的值设置偏小将导致算法的收敛速度慢，而的值过大则不利于检测器向最优检测能力变异，因此理想情况下应该动态调整参数的值。本发明提出成熟检测器的自适应变异，通过将设置为进化代数的函数，根据进化代数自适应调整参数的值。随着进化代数的增加值增加，因此值减小，在此过程中可在提高检测器多样性的同时保证检测器朝更优方向变异。

（4）为保证免疫网络中抗体的多样性并降低抗体冗余度，本发明方法提出根据浓度分区进行网络抑制，浓度的计算充分考虑了记忆检测器与整个免疫网络中其它记忆检测器之间的亲和力，加强了免疫网络中不同免疫细胞之间的激励和协作，从而增加了记忆检测器群多样性。

附图说明

图1为本发明免疫网络构建的流程示意图；

图2为免疫网络初始化结构示意图；

图3为本发明免疫网络协作进化的流程示意图；

图4本发明方法的整体流程示意图。

具体实施方式

下面结合附图对本发明的技术方案进行详细说明：

本发明的基于协作免疫网络进化算法的病毒检测方法，具体包括：

步骤1、定义自我集为正常的程序代码集合，定义非我集为网络中出现过的已知病毒的特征码集合，将非我集元素信息进行拆分，得到基因片段并将其加入基因库。

步骤2、通过选取基因库中的基因片段随机组合产生一个未成熟检测器集。

步骤3、将由基因库生成的未成熟检测器集与自我集进行耐受训练，计算未成熟检测器与自我集中所有元素的亲和力，若该检测器不与任何自我元素匹配则将此检测器加入成熟检测器集合。

步骤4、将所有成熟检测器作为免疫网络的节点，计算其中任意两个成熟检测器之间的亲和力，若两个成熟检测器之间的亲和力大于一预设的阈值，则在它们之间建立连接边，并以其亲和力作为该边的权值；否则，成熟检测器对应的节点之间无连接。

检测器与自我(非我)元素的亲和力越高，表示它们之间越匹配。当亲和力达到设定阈值时，检测器就识别了元素。亲和力函数定义为：

                                                 

式中，1表示识别了，0表示不识别；为预先设定的匹配阈值，；为检测器链长；为与中连续匹配的位数。

至此，即完成了免疫网络的构建，其流程如图1所示，构建的免疫网络如图2所示，免疫网络由个节点组成，节点之间存在条连接，免疫网络中的节点即为检测器，节点之间连接边的权重表示节点之间的亲和力。设是其中一个节点，是其中一条连接，权重为，免疫网络可表示为：

  。

本发明在免疫网络中引入了非我集，并通过非我集元素信息拆分所获得的基因片段的随机组合产生未成熟检测器集，从而提高成熟检测器的生成效率，降低运算所需开销。后续的免疫网络协作进化，以及利用协作进化后的免疫网络进行病毒检测，可以采用现有的方法。但为了使协作进化后的免疫网络具备全局更优的检测能力，进一步提高协作免疫网络中记忆检测器对病毒的检测能力，本发明还对免疫网络的协作进化进行了以下几点改进：通过抗体元素对非我集的适应度加强非我集与抗体之间的相互协作，在增加记忆检测器多样性的同时提高协作免疫网络的进化效率；对变异后的检测器集提出基于浓度分区的网络抑制策略，通过抗原及整个免疫网络中抗体之间的刺激作用实现免疫细胞之间的协作，进一步增加了记忆检测器群的多样性。具体地，免疫网络的协作进化包括：

步骤5、成熟检测器的选择：通过下式计算各成熟检测器对非我集的适应度，并删除免疫网络中对非我集的适应度低于一预设阈值的成熟检测器：

式中，表示检测器对非我集的适应度；为检测器与非我集中的元素之间的亲和力。

步骤6、对选择出的成熟检测器进行克隆；本发明根据成熟检测器对非我集的适应度从低到高形成等差级数关系克隆相应数量的成熟检测器，具体按照以下方法：设适应度最低的成熟检测器克隆的数量为，最高的成熟检测器克隆的数量为，则成熟检测器集中每个被刺激的抗体的克隆数目通过下式计算：

                                        

其中：为四舍五入的取整函数；为成熟检测器集合中元素的个数。

步骤7、成熟检测器的变异，生成记忆检测器；

成熟检测器的变异可表示为以下公式：

  ，

上式表示成熟检测器在变异步长的作用下变异得到记忆检测器，为一个随机正态分布，为用户预先设定的参数，，为成熟检测器与其它成熟检测器之间的亲和力之和。

在成熟检测器变异过程中，抗体变异步长控制了每次进化的平均变异情况，的值设置偏小将导致算法的收敛速度慢，而的值过大则不利于检测器向最优检测能力变异，因此理想情况下应该动态调整参数的值。而参数值的设置直接决定了的大小，在变异初期，设置的小，则值大有利于提高检测器的多样性，而多次迭代后，减小的值有利于检测器朝最优方向变异。为实现参数的动态调整，本发明采用自适应变异，将设置为进化代数的函数，为当前进化代数，根据进化代数自适应调整参数的值。即根据下式随进化代数动态调整抗体变异步长：

 

式中，为当前进化代数；，，表示记忆检测器与记忆检测器集合中其它所有记忆检测器之间的亲和力之和。

步骤8、网络抑制；本发明根据浓度分区进行网络抑制，具体为：首先计算变异后得到的记忆检测器的浓度值，然后按照浓度值将记忆检测器集划分为P个子集，分别计算在每个子集内部检测器之间的亲和力，最后删除每子集内部检测器之间亲和力高于抑制阈值的记忆检测器；协作免疫网络中记忆检测器的浓度值和刺激水平的计算公式为：

，

式中，为进化代数，为记忆检测器集合；为抗原集合；表示记忆检测器与记忆检测器集合中记忆检测器之间的亲和力；表示记忆检测器与抗原集合中的抗原的亲和力。本步骤通过消除过于相似的记忆检测器实现对记忆检测器集的抑制，是增加记忆检测器群多样性的重要环节。

步骤9、当达到预设的更新条件时，转而重新执行步骤1—步骤8，实现协作进化免疫网络的更新；免疫网络经网络抑制后，若记忆检测器数少于一定数量或达到设定的网络更新周期时，则调用基于基因库的成熟检测器生成算法向免疫网络中注入新的成熟检测器，继续对更新后的免疫网络进行协作进化。

本发明中免疫网络的协作进化过程如图3所示。经协作进化后的免疫网络，其记忆检测器集即可用于对可疑文件进行检测。

步骤10、提取待检测样本文件的特征码，并计算该特征码与协作进化后免疫网络中记忆检测器集中各记忆检测器的亲和力，如亲和力大于预先设定的匹配阈值，则判断该样本发明件为病毒；否则判断为正常文件。

    本发明病毒检测方法的完整流程如图4所示。

为了方便描述，我们假定有如下应用实例：

网络中的普通节点Pc1，描述节点Pc1上免疫网络初始化过程、节点Pc1上免疫网络协作进化过程及节点Pc1检测某可疑样本文件过程。本实施方式中采用连续r位匹配算法：两个属性串在匹配过程中当且仅当它们在r或多于r个连续位上有相同字符时，认为两个字符串在连续r位匹配规则下匹配，即两属性串的匹配阈值为r。

具体实施方式为：

（1）免疫网络的初始化包括以下步骤：

步骤1.1）节点Pc1从M个正常的可执行文件中提取特征码，再排列组合得到长度为m位的字符串集合为自我集，非自体采用m位的病毒特征码，每一个m位的字符串为一个病毒特征码，选择网络中已知的T个病毒特征码组成初始非自我集合，将非我集元素信息拆分成等长s的基因片段，将得到的基因片段加入基因库；其中M、T、m、s可根据实际需要选取；

步骤1.2）选取基因库中的基因片段随机组合成长度为m位的未成熟检测器，组合生成的多个未成熟检测器构成一个未成熟检测器集；

步骤1.3）将由基因库生成的初始未成熟检测器集即m位属性串集合与自我集进行耐受训练，若未成熟检测器中的免疫细胞与自我集匹配概率达到预先设定的匹配阈值，说明检测器识别自体元素；检测器识别出的自体集中的任何一个元素，将其丢弃，剩下属性串集合成为成熟检测器集；

其中，为由基因片段生成的未成熟免疫细胞与自我集匹配的阈值。

步骤1.4）节点Pc1将所有成熟检测器作为免疫网络的节点，计算其中任意两个检测器之间的亲和力。若两个成熟检测器之间的亲和力大于网络构建阈值，则在它们之间建立连接边，并以其亲和力作为该边的权值；否则，成熟检测器对应的节点之间无连接。当节点Pc1中的成熟检测器两两之间计算完成后，节点Pc1上免疫网络的初始化过程完成。

（2）节点Pc1上免疫网络的协作进化过程包括以下步骤：

步骤2.1）节点Pc1选择成熟检测器：在免疫网络进化过程中引入非我集，通过计算成熟检测器对非我集的适应度删除免疫网络中适应度低的检测器，同时选择适应度高的检测器进行克隆变异；

步骤2.2）成熟检测器的分级克隆：节点Pc1根据成熟检测器对非我集的适应度从低到高形成等差级数关系克隆相应数量的成熟检测器。设适应度最低的成熟检测器克隆的数量为，最高的成熟检测器克隆的数量为，则成熟检测器集中每个被刺激的抗体的克隆数目通过下式计算：

                                          

其中：为四舍五入的取整函数。通过克隆扩增产生新的成熟检测器的总量为：。

步骤2.3）节点Pc1上成熟检测器的自适应变异：节点Pc1上成熟检测器变异过程中为实现参数的动态调整，将 设置为进化代数的函数，为当前进化代数，根据进化代数自适应调整参数的值。随着进化代数的增加值增加，值减小，此过程提高了节点Pc1上检测器的多样性同时保证检测器朝更优方向变异；

步骤2.4）节点Pc1根据检测器浓度值不同分区进行网络抑制：首先计算变异后得到的记忆检测器的浓度值，然后按照浓度值将记忆检测器集划分为P个子集，分别计算在每个子集内部检测器之间的亲和力，最后删除每子集内部检测器之间亲和力高于抑制阈值的记忆检测器；协作免疫网络中记忆检测器的浓度值和刺激水平的计算公式为：

，

式中，为进化代数，为记忆检测器集合；为抗原集合；表示记忆检测器与记忆检测器集合中记忆检测器之间的亲和力；表示记忆检测器与抗原集合中的抗原的亲和力；

步骤2.5）免疫网络更新：免疫网络经网络抑制后，若记忆检测器数少于一定数量或达到设定的网络更新周期时，则调用基于基因库的成熟检测器生成算法向免疫网络中注入新的成熟检测器，继续对更新后的免疫网络进行协作进化。

（3）节点Pc1利用自身协作免疫网络中的记忆检测器进行病毒检测过程包括以下步骤：

步骤3.1）节点Pc1提取待检测样本文件的特征码m位字符串，读取进化后协作免疫网络中的记忆检测器集； 

步骤3.2）将待检测样本文件的m位字符串与协作免疫网络中的记忆检测器相匹配，计算待检测文件特征码与免疫网络中的记忆检测器之间的亲和力，若亲和力大于预先设定的匹配阈值，则判断该样本文件为病毒，否则判断为正常文件。检测结束。

本发明通过不同类型免疫细胞之间的相互协作不断优化免疫网络中的检测器。在协作免疫网络进化过程中引入非我集，根据检测器对非我集的适应度对成熟检测器进行克隆选择；同时，通过进化代数来更新变异步长自适应的改变成熟检测器的变异方式，并提出基于浓度分区的网络抑制策略，从而在提高网络细胞多样性的同时降低检测器的冗余度。本发明结合人工免疫技术的优越性，充分利用免疫细胞之间的相互协作，提高了网络病毒的检测效率。

Claims (4)

1.一种基于协作免疫网络进化算法的病毒检测方法，包括免疫网络构建的步骤，免疫网络协作进化的步骤，以及利用协作进化后的免疫网络进行病毒检测的步骤，其特征在于，所述免疫网络构建的步骤，包括：

步骤1、定义自我集为正常的程序代码集合，定义非我集为网络中出现过的已知病毒的特征码集合，将非我集元素信息进行拆分，得到基因片段并将其加入基因库；

步骤2、通过选取基因库中的基因片段随机组合产生一个未成熟检测器集；

步骤3、将由基因库生成的未成熟检测器集与自我集进行耐受训练，计算未成熟检测器与自我集中所有元素的亲和力，若该检测器不与任何自我元素匹配则将此检测器加入成熟检测器集合；

步骤4、将所有成熟检测器作为免疫网络的节点，计算其中任意两个成熟检测器之间的亲和力，若两个成熟检测器之间的亲和力大于一预设的阈值，则在它们之间建立连接边，并以其亲和力作为该边的权值；否则，成熟检测器对应的节点之间无连接；

所述免疫网络协作进化的步骤，包括：

步骤5、成熟检测器的选择：通过下式计算各成熟检测器对非我集的适应度，并删除免疫网络中对非我集的适应度低于一预设阈值的成熟检测器：

式中，表示检测器对非我集的适应度；为检测器与非我集中的元素之间的亲和力；

步骤6、对选择出的成熟检测器进行克隆；所述对选择出的成熟检测器进行克隆是根据对非我集的适应度从低到高形成等差级数关系，具体按照以下方法：设适应度最低的成熟检测器克隆的数量为，最高的成熟检测器克隆的数量为，则成熟检测器集中每个被刺激的抗体的克隆数目通过下式计算：

                                        

其中：为四舍五入的取整函数；为成熟检测器集合中元素的个数；

步骤7、成熟检测器的变异，生成记忆检测器；

步骤8、网络抑制；

步骤9、当达到预设的更新条件时，转而重新执行步骤1—步骤8，实现协作进化免疫网络的更新。

2.如权利要求1所述基于协作免疫网络进化算法的病毒检测方法，其特征在于，所述成熟检测器的变异采用自适应变异方法，具体为：随进化代数动态调整抗体变异步长，具体按照下式：

 

式中，为当前进化代数；，，表示记忆检测器与记忆检测器集合中其它所有记忆检测器之间的亲和力之和。

3.如权利要求2所述基于协作免疫网络进化算法的病毒检测方法，其特征在于，所述网络抑制是指根据浓度分区进行网络抑制，具体为：首先计算变异后得到的记忆检测器的浓度值，然后按照浓度值将记忆检测器集划分为P个子集，分别计算在每个子集内部检测器之间的亲和力，最后删除每个子集内部检测器之间亲和力高于抑制阈值的记忆检测器；协作免疫网络中记忆检测器的浓度值和刺激水平的计算公式为：

，

式中，为进化代数，为记忆检测器集合；为抗原集合；表示记忆检测器与记忆检测器集合中记忆检测器之间的亲和力；表示记忆检测器与抗原集合中的抗原的亲和力。

4.如权利要求3所述基于协作免疫网络进化算法的病毒检测方法，其特征在于，所述利用协作进化后的免疫网络进行病毒检测的步骤为：提取待检测样本文件的特征码，并计算该特征码与所述记忆检测器集中各记忆检测器的亲和力，如亲和力大于预先设定的匹配阈值，则判断该样本文件为病毒；否则判断为正常文件。