【摘要】 一种基于生物免疫机制的主机入侵检测方法，首先将已有主机审计数据中的历史入侵实例进行属性约简和统一编码，确定每个属性的语言术语及隶属度函数；随机生成初始抗体种群，并从中选择一定比例亲和度最高的个体进行克隆和变异操作，然后更新抗体种群和记忆种群，最终得到建立的模糊关联规则库；最后使用所得到的模糊关联规则库对主机监测行为的实时数据进行入侵检测；如果在主机监测行为中出现新的攻击类型，则根据该攻击行为确定新的关联规则并加入到模糊关联规则库中。该检测方法具有自适应、自组织、高效率和可理解性强的特性，可自适应地确定模糊关联规则库，基于入侵行为的动态变化增加模糊关联规则库，达到保护宿主主机系统信息安全的目的。 【专利类型】发明授权 【申请人】河南科技大学 【申请人类型】学校 【申请人地址】471000 河南省洛阳市涧西区西苑路48号 【申请人地区】中国 【申请人城市】洛阳市 【申请人区县】涧西区 【申请号】CN201210011970.2 【申请日】2012-01-16 【申请年份】2012 【公开公告号】CN102592093B 【公开公告日】2014-12-10 【公开公告年份】2014 【授权公告号】CN102592093B 【授权公告日】2014-12-10 【授权公告年份】2014.0 【IPC分类号】G06F21/55; G06N3/00 【发明人】张雷; 姜继民; 孟令瑞; 侯春杰; 范波 【主权项内容】1.一种基于生物免疫机制的主机入侵检测方法，其特征在于：包括基于生物免疫机制确定模糊关联规则库的阶段和根据模糊关联规则库对主机监测行为的实时数据进行入侵检测的阶段；具体方法为： (一)、确定模糊关联规则库的阶段： (1)、将已有的主机审计数据中的历史入侵实例进行属性约简和统一编码，选择支持度高于设定阈值的属性作为约简后的属性集合； (2)、确定约简后的属性集合中每个属性所对应的语言术语以及相应的隶属度函数；对每个属性进行模糊化，并且统一采用一定数量的语言术语进行描述，其对应的隶属度函数采用三角形隶属度函数； (3)、随机生成初始抗体种群，种群中每个个体的编码形式如下为： 其中m表示每个属性所对应的模糊集合数目，n表示所有的属性数目； (4)、基于个体的亲和度函数评价种群中每个个体的优劣，从中选择一定比例亲和度最高的个体进行后续的克隆和变异操作，其中个体的亲和度为其所对应的模糊关联规则的确信度； (5)、基于每个个体的亲和度值和密度确定选取的个体的克隆数目，克隆数目的计算公式为： 式中NumCmax和NumCmin分别表示设定的最大克隆数目和最小克隆数目，Afmax表示当前种群中所有个体中的最高亲和度；的含义是个体Ri的亲和度, 若当前种群中与该个体相似的个体数目超过设定比例，则克隆数目直接定为设定的最小克隆数； (6)、按照步骤(5)确定的克隆数目对步骤(4)选取的个体进行克隆和变异操作，方法为：对选定的个体按照步骤(5)确定的克隆数目进行复制，复制过程中首先产生一个随机数，当该随机数小于所设定的变异概率时个体就实施变异操作，即从该个体中随机地选择某个属性的整数编码，然后用其变化范围内的另一个数替换原值；所述的变化范围即该属性的取值范围； (7)、抗体种群和记忆种群的更新：计算新生成个体的确信度，将新生个体中与记忆种群的个体相比具有更高确信度的个体加入到记忆种群中，并且按照包含的定义去除记忆种群中被其它个体所包含的个体；同时从新生成的个体中选取一定比例亲和度最高的个体替换掉原种群中亲和度最差的一部分个体，得到更新的抗体种群；包含的含义如下：对于两个类别相同的规则R1 : X→ci 和 R2 : Y→ci，如果其满足下面的条件：，则称规则2包含规则1，或者规则1被规则2所包含； (8)、重复上述步骤(4)—(7)的操作，直至当前记忆种群中的关联规则集合的覆盖比例超过设定阈值或者重复操作的次数达到设定的最大迭代次数，得到建立的模糊关联规则库； (二)、对主机监测行为的实时数据进行入侵检测的阶段： (a)、根据模糊关联规则库确定阶段的步骤(1)—(3)的方法，对主机监测行为中的每条记录的数据进行属性约简，去掉部分冗余属性，并统一格式化为与模糊关联规则库确定阶段的数据一样的格式； (b)、针对主机检测行为中的每条记录，计算其对于所得到的模糊关联规则库中每个规则的激励强度； (c)、然后分别计算该记录针对规则库中每一类规则的总的匹配值，反映了该记录符合哪个类别特征的程度； (d)、将该记录归类到匹配值最高的类别中，以确定该记录的所属类别，判断其是否属于异常行为和入侵行为； (e)、如果在主机监测行为中出现新的攻击类型，即当前模糊关联规则库中所有规则对该记录的匹配值都小于设定阈值，则针对该攻击行为的每个具体属性值，直接从该属性所包含的5个语言术语中选择某个模糊集合，使得该属性值的隶属度最大，将选定的模糊集合作为新的关联规则的前件，并用一个新的类别号作为该规则的类别，然后将该关联规则加入到模糊关联规则库中；然后转入步骤(a)对新的主机监测行为进行实时入侵检测。。-官网 【当前权利人】河南科技大学 【当前专利权人地址】河南省洛阳市涧西区西苑路48号 【专利权人类型】公立 【统一社会信用代码】124100004165265089 【引证次数】2.0 【被引证次数】1 【他引次数】2.0 【被他引次数】1.0 【家族引证次数】2.0 【家族被引证次数】11

未经允许不得转载：http://www.zhongzhencnc.com/1791138170.html