[发明专利]一种基于免疫的动态实时网络异常检测方法

摘要

本发明提出了一种基于人工免疫原理的动态实时网络异常检测方法，属于信息安全领域。本方法借鉴人体免疫系统优异的自学习自适应机制，提出一种新的基于免疫的动态实时网络异常检测方法。该方法通过对检测模式进行动态描述(即动态产生及消亡、动态学习、动态自组织)，结合抗体细胞动态克隆原理，实现检测模式随真实网络环境同步演化，进一步通过免疫种痘及疫苗分发，以进行协同处理，从而提高网络异常检测的准确性和及时性。本发明有助于解决当前大规模网络异常检测研究中因静态检测模式描述而引起的检测率低、难以实时检测及协同性差等关键问题，在大规模安全事件爆发时进行快速有效的监测，为网络防御赢得时间将起到重要的作用。

主权项

一种基于人工免疫原理的动态实时网络异常检测方法，其特征是通过检测模式进行动态描述，即通过记忆细胞的动态产生及消亡、动态学习、动态自组织，结合抗体细胞动态克隆和淘汰机制，实现检测模式随真实网络环境同步演化，进一步通过免疫种痘及疫苗分发，以进行协同处理，从而提高网络异常检测的准确性和及时性，具体地，本方法由待检抗原数据提呈汇总、记忆细胞动态演化、抗体细胞动态克隆与淘汰及网络异常检测四个步骤组成，其中记忆细胞动态演化包括以下八个子步骤：(1)初始化记忆细胞集合的步骤，即初始时刻的抗体细胞集可为空，也可已收集或随机产生的表征网络异常的数据组成；(2)记忆细胞与待检抗原匹配的步骤：读入待检抗原，依次计算每个记忆细胞与待检抗原匹配函数值，如果匹配函数值小于给定正常数，则记忆细胞匹配数增加1，年龄置0；(3)记忆细胞与待检抗原不匹配的步骤：记忆细胞集合中的记忆细胞如果不与待检抗原匹配，则记忆细胞年龄增加1；(4)待检抗原加入记忆细胞集的步骤：如果记忆细胞集中没有记忆细胞与待检抗原匹配，且协同刺激指示异常，则将待检抗原加入记忆细胞集；(5)抗体细胞加入记忆细胞集的步骤：如果某抗体细胞或待检抗原之间的匹配函数值小于任一记忆细胞与待检抗原的匹配函数值，且协同刺激指示为异常，则将该抗体细胞加入记忆细胞集合；(6)免疫种痘与疫苗分发的步骤：如果某记忆细胞的匹配数大于给定的某个正整数γ，则将该记忆细胞作为疫苗分发到其他机器，另外将其它机器分发过来的疫苗加入到记忆细胞集合中；(7)记忆细胞死亡的步骤：如果某记忆细胞的生命周期大于正整数β，则 死亡，即从记忆细胞集中删除该记忆细胞；(8)记忆细胞合并的步骤：即如果记忆细胞集中存在记忆细胞两两相匹配，则将其中与待检抗原匹配函数值较大的记忆细胞从记忆细胞集合中删除。