CN104753948B - 一种基于三重实值否定选择的入侵检测方法 - Google Patents

Abstract

发明公开了一种基于三重实值否定选择的入侵检测方法，属于网络信息安全领域。本发明模拟生物体内的免疫机制，将自身正常行为数据作为自体集，首先将候选检测器与成熟检测器集合中的个体进行匹配，若匹配失败，候选检测器将成为入围检测器；然后，再使用训练后的自体集对入围检测器进行检测，其中与训练自体集无交集的入围检测器将成为成熟检测器集合中的元素；最后，将对成熟检测器集合中的元素进行整合和优化。本发明解决了目前入侵检测过程中黑洞数量过多、成熟检测器集合规模过大以及检测效率偏低的问题，能够在提高检测能力的同时压缩了成熟检测器集合规模，有助于推动入侵检测理论的发展，具有很好的应用价值。

Description

一种基于三重实值否定选择的入侵检测方法

技术领域

本发明属于网络信息安全领域，具体涉及一种基于三重实值否定选择的入侵检测方法。

背景技术

计算机网络的广泛应用为人类的生产、生活带来了极大的便利，然而日益严峻的网络安全现状也时刻敲响警钟，业已成为我们无法忽视的现实问题。目前，针对网络入侵检测方法的研究已经引起国内外相关领域内学者的广泛关注，其中具有深刻生物免疫学背景的入侵检测否定选择算法更是成为研究热点。

生物免疫学中，机体内的免疫细胞可以对异体进行有效检测和攻击，类似地，计算机网络中的访问行为也可以划分为两大类，其中获得许可或通过正常途径访问的行为称为正常访问行为；而通过非法入侵行为或目前尚未被认可的方式加以访问的行为称为异常访问行为。基于否定选择算法的入侵检测方法会生成能够对异常访问行为进行检测的成熟检测器集合，基于经典否定选择算法的入侵检测方法流程图如图1所示，该方法可以在很大程度上对新近出现的网络攻击模式进行检测，具有较好的检测性能。

目前出现的一系列基于否定选择算法的入侵检测方法陷入了两种极端：(1)经典否定选择算法认为：只要不位于自体集半径范围内的候选检测器便可作为成熟检测器集合中的元素。该类算法容易导致成熟检测器集合中元素过滥、检测器之间覆盖范围过分重复，从而降低了检测效率；(2)新近出现的改进型否定选择算法片面强调候选检测器与现有成熟检测器集合中元素的绝对相异性，但对相互间存在一定覆盖率的成熟检测器集合元素的优化问题却鲜有涉及。因此，该类算法在一定程度上仍然存在检测结果中黑洞数量过多、成熟检测器集合规模过大以及检测效率偏低的问题。

发明内容

本发明针对上述问题，提出了一种基于三重实值否定选择的入侵检测方法。

本发明采用的技术方案是：一种基于三重实值否定选择的入侵检测方法，包括如下步骤：

S1，候选检测器与成熟检测器集合中的个体进行匹配；

S2，训练自体集针对入围检测器进行检测；

S3，成熟检测器集合的整合与优化；

所述步骤S1具体为：

S11，随机生成一个候选检测器Xi；

S12，计算Xi中心与成熟检测器中每个检测器间的距离；

S13，判断距离值是否大于成熟检测器中每一个检测器的半径；在距离值大于成熟检测器中每一个检测器的半径的情况下，该候选检测器将成为入围检测器；否则将该候选检测器删除；

所述步骤S2具体为：

S21，训练一组自体集self；

S22，计算入围检测器Xi中心与自体集self中每一个自体的距离；

S23，判断距离值是否大于自体集self中每一个自体的半径；在距离值大于自体集self中每一个自体的半径的情况下，入围检测器成为成熟检测器集合中的元素；否则将该入围检测器删除；

所述步骤S3具体为：

S31，选取成熟检测器集合中的某一个检测器作为基准；

S32，比较其它检测器与基准检测器中心之间的距离，并根据不同的距离值对成熟检测器集合进行整合和优化；

S33，判断成熟检测器集合中的所有检测器是否均被讨论；在成熟检测器集合中的所有检测器均被讨论的情况下，结束优化；否则循环执行步骤S32；

所述步骤S32具体包括：

S321，选取成熟检测器集合中的检测器Di作为基准检测器；

S322，计算检测器Di与成熟检测器集合中其它检测器Dj(j≠i)间的距离dis(Di,Dj)；

S323，若dis(Di,Dj)≤|RDi-RDj|，则检测器间存在“包含”情况，从成熟检测器集合中删除半径较小的检测器个体；否则，转向步骤S324；

其中，RDi与RDj分别表示基准检测器Di与其它检测器Dj的半径；

S324，若dis(Di,Dj)>RDi+RDj，则检测器间存在“分离”情况，以基准检测器Di与其它检测器Dj中心位置连线的中点作为圆心，以dis(Di,Dj)-(RDi+RDj)作为半径构建新检测器D(new)k，并删除检测器Dj；特殊地，若dis(Di,Dj)-(RDi+RDj)<rs[j]，则不构建新检测器D(new)k，并保持检测器Di，Dj不变；否则，转向步骤S325；

S325，若|RDi-RDj|≤dis(Di,Dj)≤RDi+RDj，则检测器间存在“重叠”情况；

定义参数β,γ分别为RDi与dis(Di,Dj)、RDj与dis(Di,Dj)间的夹角，即：

若max(β,γ)≥π/3且β≥γ，则删除检测器Di；若max(β,γ)≥π/3且β<γ，则删除检测器Dj；否则，保持检测器Di，Dj不变。

本发明采用上述技术方案，具有以下优点：

(1)能够利用数量较少的成熟检测器，尽可能地覆盖较大的非自体集空间，有利于检测效率的提升；

(2)成熟检测器集合的结构和规模得到了整合和优化，检测结果中的黑洞数量显著下降；

(3)成熟检测器检测半径的自适应优化使得该方法拥有更好的鲁棒性。

除了上面所描述的目的、特征和优点之外，本发明还有其它的目的、特征和优点。下面将参照图，对本发明作进一步详细的说明。

附图说明

构成本申请的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1为基于经典否定选择算法的入侵检测方法流程图；

图2为实值否定选择算法中的固定半径和可变半径检测器生成模式；

图3为本发明实施例的方法流程图；

图4为本发明实施例的候选检测器与成熟检测器匹配的流程图；

图5为本发明实施例的训练自体集针对入围检测器进行检测的流程图；

图6为本发明实施例的成熟检测器集合中检测器间可能存在的覆盖情况；

图7为本发明实施例的成熟检测器集合整合与优化的流程图；

图8为本发明实施例的检测器间存在“包含”情况的示意图；

图9为本发明实施例的检测器间存在“分离”情况的示意图；

图10为本发明实施例的检测器间存在“重叠”情况的示意图；

图11为本发明实施例的三种方法在不同异体覆盖率下的检测器数目对比仿真图；

图12为本发明实施例的三种方法在不同异体覆盖率下的检测效率对比仿真图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

参考图3，如图3所示，一种基于三重实值否定选择的入侵检测方法，包括如下步骤：

S1，候选检测器与成熟检测器集合中的个体进行匹配；

S2，训练自体集针对入围检测器进行检测；

S3，成熟检测器集合的整合与优化；

所述步骤S1具体为：

S11，随机生成一个候选检测器Xi；

S12，计算Xi中心与成熟检测器中每个检测器间的距离；

S13，判断距离值是否大于成熟检测器中每一个检测器的半径；在距离值大于成熟检测器中每一个检测器的半径的情况下，该候选检测器将成为入围检测器；否则将该候选检测器删除；

所述步骤S2具体为：

S21，训练一组自体集self；

S22，计算入围检测器Xi中心与自体集self中每一个自体的距离；

S23，判断距离值是否大于自体集self中每一个自体的半径；在距离值大于自体集self中每一个自体的半径的情况下，入围检测器成为成熟检测器集合中的元素；否则将该入围检测器删除；

所述步骤S3具体为：

S31，选取成熟检测器集合中的某一个检测器作为基准；

S32，比较其它检测器与基准检测器中心之间的距离，并根据不同的距离值对成熟检测器集合进行整合和优化；

S33，判断成熟检测器集合中的所有检测器是否均被讨论；在成熟检测器集合中的所有检测器均被讨论的情况下，结束优化；否则循环执行步骤S32；

所述步骤S32具体包括：

S321，选取成熟检测器集合中的检测器Di作为基准检测器；

S322，计算检测器Di与成熟检测器集合中其它检测器Dj(j≠i)间的距离dis(Di,Dj)；

S323，若dis(Di,Dj)≤|RDi-RDj|，则检测器间存在“包含”情况，从成熟检测器集合中删除半径较小的检测器个体；否则，转向步骤S324；

其中，RDi与RDj分别表示基准检测器Di与其它检测器Dj的半径；

S324，若dis(Di,Dj)>RDi+RDj，则检测器间存在“分离”情况，以基准检测器Di与其它检测器Dj中心位置连线的中点作为圆心，以dis(Di,Dj)-(RDi+RDj)作为半径构建新检测器D(new)k，并删除检测器Dj；特殊地，若dis(Di,Dj)-(RDi+RDj)<rs[j]，则不构建新检测器D(new)k，并保持检测器Di，Dj不变；否则，转向步骤S325；

S325，若|RDi-RDj|≤dis(Di,Dj)≤RDi+RDj，则检测器间存在“重叠”情况；

定义参数β,γ分别为RDi与dis(Di,Dj)、RDj与dis(Di,Dj)间的夹角，即：

若max(β,γ)≥π/3且β≥γ，则删除检测器Di；若max(β,γ)≥π/3且β<γ，则删除检测器Dj；否则，保持检测器Di，Dj不变。

以Iris数据集中Setosa的25个实例作为自体训练集为例，图3为本发明实施例的方法流程图，步骤具体包括：

(1)候选检测器与成熟检测器集合中的个体进行匹配，图4为本发明实施例的候选检测器与成熟检测器匹配的流程图：

(11)随机生成一个候选检测器Xi；

(12)计算Xi中心与成熟检测器中每个检测器间的距离dis(dXi,dn)；

其中，n＝1,2,...,Nd.Nd表示成熟检测器集合中检测器的个数，dXi与dn分别表示候选检测器与成熟检测器集合中第n个检测器的中心位置。

(13)判断距离值dis是否大于成熟检测器中每一个检测器的半径；若dis(dXi,dn)>rdn，则该候选检测器将成为入围检测器；否则将该候选检测器删除；

(2)训练自体集针对入围检测器进行检测，图5为本发明实施例的训练自体集针对入围检测器进行检测的流程图：

(21)训练一组自体集self；

(22)计算入围检测器Xi中心与自体集self中每一个自体的距离dis(dXi,ds[j])；

其中，s[j]表示自体集self中的个体，j＝1,2,...,Ns.Ns表示自体集self中的个体个数，dXi与ds[j]分别表示候选检测器与自体集self中第s[j]个自体的中心位置。

(23)判断距离值dis是否大于self中每一个自体的半径；若dis(dXi,ds[j])>rs[j]，则入围检测器成为成熟检测器集合中的元素；否则将该入围检测器删除。

(3)成熟检测器集合的整合与优化，图6为成熟检测器集合中检测器间可能存在的覆盖情况，图7为本发明实施例的成熟检测器集合整合与优化的流程图：

(31)选取成熟检测器集合中的检测器Di作为基准检测器；

(32)计算检测器Di与成熟检测器集合中其它检测器Dj(j≠i)间的距离dis(Di,Dj)；

(33)若dis(Di,Dj)≤|RDi-RDj|，则检测器间存在“包含”情况，图8为本发明实施例的检测器间存在“包含”情况的示意图，从成熟检测器集合中删除半径较小的检测器个体；否则，转向步骤(34)；

其中，RDi与RDj分别表示基准检测器Di与其它检测器Dj的半径。

(34)若dis(Di,Dj)>RDi+RDj，则检测器间存在“分离”情况，图9为本发明实施例的检测器间存在“分离”情况的示意图，并以基准检测器Di与其它检测器Dj中心位置连线的中点作为圆心，以dis(Di,Dj)-(RDi+RDj)作为半径构建新检测器D(new)k，并删除检测器Dj；特殊地，若dis(Di,Dj)-(RDi+RDj)<rs[j]，则不构建新检测器D(new)k，并保持检测器Di，Dj不变；否则，转向步骤(35)；

(35)若|RDi-RDj|≤dis(Di,Dj)≤RDi+RDj，则检测器间存在“重叠”情况，图10为本发明实施例的检测器间存在“重叠”情况的示意图；

定义参数β,γ分别为图10中RDi与dis(Di,Dj)、RDj与dis(Di,Dj)间的夹角，即：

若max(β,γ)≥π/3且β≥γ，则删除检测器Di；若max(β,γ)≥π/3且β<γ，则删除检测器Dj；否则，保持检测器Di，Dj不变；

(36)若成熟检测器中所有检测器均参与了讨论，算法结束；否则转向步骤(32)。

实验分析：

以Iris数据集中Setosa的25个实例作为自体训练集测试本发明。并将本发明提出的基于三重实值否定选择的入侵检测方法(Proposed technique)与实值否定选择算法(RNSA)以及V-detector入侵检测方法作仿真结果的对比。

仿真参数设置为：自体集半径为0.05，所有数据归一化处理到实值[0,1]2空间，RNSA中检测器采用固定半径rd＝0.1。

图11为本发明实施例的三种方法在不同异体覆盖率下的检测器数目对比仿真图。仿真结果图说明了随着覆盖率的不断增大，三种方法对应的成熟检测器数量也随之增加，然而，明显地，RNSA和V-detector方法相对本发明方法更为敏感，检测器数目的增长趋势也更为强烈，而本发明方法的检测器数目增长幅度较为缓慢，表现出本发明良好的鲁棒性。例如，当异体覆盖率均为95％时，RNSA、V-detector以及本发明方法的成熟检测器数目分别为8105，265.20和10.35。

图12为本发明实施例的三种方法在不同异体覆盖率下的检测效率对比仿真图。不难看出，本发明方法的检测效率显著高于RNSA和V-detector方法。

表1为本发明实施例的三种方法平均运行时间比较结果。

表1三种方法的平均运行时间比较结果

结果显示，相比其他两种方法，本发明方法的平均运行时间最少。例如，当覆盖率达到95％时，RNSA和V-detector方法的耗时量分别为5.122秒和0.057秒，而本发明方法耗时仅为0.020秒，体现出较高的运行效率。

本发明的有益效果：

(1)能够利用数量较少的成熟检测器，尽可能地覆盖较大的非自体集空间，有利于检测效率的提升；

(2)成熟检测器集合的结构和规模得到了整合和优化，检测结果中的黑洞数量显著下降；

(3)成熟检测器检测半径的自适应优化使得该方法拥有更好的鲁棒性。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种基于三重实值否定选择的入侵检测方法，其特征在于，包括如下步骤：

S1，候选检测器与成熟检测器集合中的个体进行匹配；

S2，训练自体集针对入围检测器进行检测；

S3，成熟检测器集合的整合与优化；

所述步骤S1具体为：

S11，随机生成一个候选检测器Xi；

S12，计算Xi中心与成熟检测器中每个检测器间的距离；

S13，判断距离值是否大于成熟检测器中每一个检测器的半径；在距离值大于成熟检测器中每一个检测器的半径的情况下，该候选检测器将成为入围检测器；否则将该候选检测器删除；

所述步骤S2具体为：

S21，训练一组自体集self；

S22，计算入围检测器Xi中心与自体集self中每一个自体的距离；

S23，判断距离值是否大于自体集self中每一个自体的半径；在距离值大于自体集self中每一个自体的半径的情况下，入围检测器成为成熟检测器集合中的元素；否则将该入围检测器删除；

所述步骤S3具体为：

S31，选取成熟检测器集合中的某一个检测器作为基准；

S32，比较其它检测器与基准检测器中心之间的距离，并根据不同的距离值对成熟检测器集合进行整合和优化；

S33，判断成熟检测器集合中的所有检测器是否均被讨论；在成熟检测器集合中的所有检测器均被讨论的情况下，结束优化；否则循环执行步骤S32；

所述步骤S32具体包括：

S321，选取成熟检测器集合中的检测器Di作为基准检测器；

S322，计算检测器Di与成熟检测器集合中其它检测器Dj(j≠i)间的距离dis(Di,Dj)；

S323，若dis(Di,Dj)≤|RDi-RDj|，则检测器间存在“包含”情况，从成熟检测器集合中删除半径较小的检测器个体；否则，转向步骤S324；

其中，RDi与RDj分别表示基准检测器Di与其它检测器Dj的半径；

S324，若dis(Di,Dj)>RDi+RDj，则检测器间存在“分离”情况，以基准检测器Di与其它检测器Dj中心位置连线的中点作为圆心，以dis(Di,Dj)-(RDi+RDj)作为半径构建新检测器D(new)k，并删除检测器Dj；特殊地，若dis(Di,Dj)-(RDi+RDj)<rs[j]，则不构建新检测器D(new)k，并保持检测器Di，Dj不变；否则，转向步骤S325；

S325，若|RDi-RDj|≤dis(Di,Dj)≤RDi+RDj，则检测器间存在“重叠”情况；

定义参数β,γ分别为RDi与dis(Di,Dj)、RDj与dis(Di,Dj)间的夹角，即：

若max(β,γ)≥π/3且β≥γ，则删除检测器Di；若max(β,γ)≥π/3且β<γ，则删除检测器Dj；否则，保持检测器Di，Dj不变。