[发明专利]一种基于人工免疫原理的网络异常检测方法

权利要求书

1.一种基于人工免疫原理的网络异常检测方法，其特征是首先进行训练抗 原数据收集，即通过收集正异常网络环境下描述网络事务的特征数据，在对 特征数据进行标准化和正异常类别标识处理后，作为训练人工免疫系统的训 练抗原；然后是人工免疫系统学习的步骤，人工免疫系统通过每一个训练抗 原的学习，进行抗体细胞进化，在抗体细胞收敛后，优选出抗体细胞对记忆 细胞进行更新；最后是网络异常检测步骤，通过已训练人工免疫系统中的记 忆细胞投票对网络进行异常检测，人工免疫系统学习的步骤包括初始化抗体 集和记忆细胞集、抗体细胞克隆和变异、抗体细胞资源竞争、记忆细胞集更 新和控制、判断是否继续进行学习五个子步骤，其中记忆细胞集更新和控制 的步骤包括：

(1)挑选候选记忆细胞的步骤，从抗体细胞集中挑选出与正学习的训练 抗原同类且最大刺激值的抗体细胞作为候选记忆细胞；

(2)计算刺激值的步骤，分别计算候选记忆细胞和匹配记忆细胞与训练 抗原之间的刺激值，分别为CandStim和MatchStim；

(3)判断是否加入候选记忆细胞的步骤，如果CandStim小于MatchStim， 则结束记忆细胞集更新和控制步骤，否则进行下一个步骤；

(4)更新记忆细胞集的步骤，将候选记忆细胞加入记忆细胞集；

(5)记忆细胞集控制的步骤，计算匹配记忆细胞与其它任一记忆细胞间 亲和力，如小于训练抗原间的平均距离与距离阈值比例的乘积，则从记忆细 胞集中删除匹配记忆细胞。

2.据权利要求1所述的一种基于人工免疫原理的网络异常检测方法，其 特征是训练抗原数据收集步骤包括以下步骤：

(1)收集网络流量特征数据的步骤，即以旁路侦听方式获取正异常网络 环境下单位时间流入字节数、流出字节数、TCP连接数、ICMP数据包数、紧 急数据包数，将这些描述网络事务的特征数据，作为训练抗原特征向量的特 征值；

(2)训练抗原特征向量标准化的步骤，将训练抗原的特征向量各个特征 值标准化为[0，1]间的实数；

(3)训练抗原的抗原类别标识的步骤，将训练抗原类别根据网络正异常 情况标识为0或1，即正常或异常；

(4)计算训练抗原间的平均距离的步骤，即计算训练抗原间的平均距离。

3.据权利要求1所述的一种基于人工免疫原理的网络异常检测方法，其 特征是初始化抗体集和记忆细胞集，即随机从训练抗原中挑选出一些抗原加 入抗体集合和记忆细胞集合，构成最初的抗体集合和记忆细胞集合。

4.据权利要求1所述的一种基于人工免疫原理的网络异常检测方法，其 特征是抗体细胞克隆和变异的步骤包括：

(1)读入一个训练抗原的步骤，读入一个没有学习过的训练抗原；

(2)寻找匹配记忆细胞的步骤，从记忆细胞集中寻找与训练抗原同类且 刺激最大的记忆细胞作为匹配记忆细胞，如没有同类记忆细胞，则将训练抗 原作为匹配记忆细胞并加入记忆细胞集；

(3)对匹配记忆细胞进行克隆的步骤，对匹配记忆细胞进行复制形成克 隆抗体细胞；

(4)对克隆抗体细胞进行变异的步骤，对克隆抗体细胞的特征向量各特 征值和抗原类别按匹配记忆细胞和训练抗原间的亲和力值为变异概率进行变 异；

(5)抗体集合更新的步骤，将克隆抗体细胞中变异的抗体细胞加入抗体 细胞集合中。