[发明专利]一种基于多层免疫的网络入侵检测方法

说明书

技术领域

本发明属于信息安全技术领域，尤其涉及一种基于多层免疫的网络入侵检测方法。

背景技术

随着网络技术的不断发展，互联网已成为人们学习、工作和生活中不可或缺的重要工具之一；但另一方面，开放的互联网也导致了病毒入侵和网络攻击成为互联网的灾难。病毒入侵和网络攻击从诸多方面影响着网络的安全使用，主要危害包括：对计算机软硬件资源和网络设施的危害，对正常网络服务和信息的危害，对政治、经济、社会和文化等诸多方面的危害。当前，我国网络基础设施相对较为落后，网络入侵防护措施相对不足，网络安全的需求非常严峻和迫切，应对病毒入侵和黑客攻击等网络入侵的安全防线极为脆弱。在此需求背景下，急需一种能够有效检测网络入侵攻击行为的工具，维护网络使用环境的安全。

网络入侵检测是一种重要的网络安全技术，通过对网络数据包进行采集分析和监控以发现网络入侵数据并产生报警及响应措施的网络安全技术手段。网络入侵检测首先需要根据正常网络数据包进行训练以建立系统的正常模式轮廓，当对网络数据包进行监控发现其超过了所建立模式轮廓的正常阈值范围，则说明检测到了网络入侵攻击。现有的基于人工免疫的网络入侵检测方法(或者是病毒检测，网络攻击检测)中，如专利公开号CN1567810、CN1848765、CN101478534等，利用否定选择算法训练抗原数据生成检测器，检测器的生成采用一次否定选择算法产生，生成的检测器直接用于网络入侵检测过程。上述方法用于网络入侵检测存在以下的不足：

1、检测器数量过多。检测器采用一次否定选择产生导致大量候选检测器对非自体(异常网络数据包)空间的重复覆盖，从而导致达到对非自体空间(网络入侵数据包)的相同期望覆盖率所需的检测器数量过于庞大。

2、检测器的生成效率较低。采用一次否定选择产生检测器集导致了大量候选检测器对非自体空间的重复覆盖，大量无效候选检测器均经历了耗时的自体耐受过程(生成不识别正常网络数据包的检测器集的过程)，从而导致了检测器生成效率低下，检测器集对非自体空间覆盖效果不佳。

3、检测误报率较高。利用检测器对网络数据包检测时因其缺乏自学习和自适应能力，导致其检测误报率较高。

发明内容

本发明的目的在于解决现有基于人工免疫的网络入侵检测方法中检测器生成过多、检测器生成效率过低及检测误报率过高的缺点，提供一种能够有效减少生成的成熟检测器数量，提高成熟检测器的生成效率，并在保持检测率稳定的同时，进一步降低检测误报率的基于多层免疫的网络入侵检测方法。

一种基于多层免疫的网络入侵检测方法，包括以下步骤：

(1)采集正常网络数据包作为自体集；

(2)对网络数据包进行数值化和归一化预处理；

(3)固有免疫层进行自体聚类生成模式检测器集，使用K-Means聚类方法对自体集进行数据聚类；

(4)自适应免疫层进行二次否定选择生成成熟检测器集，第一次否定选择对候选检测器进行成熟检测器集耐受生成半成熟检测器；第二次否定选择对半成熟检测器进行自体训练集耐受生成成熟检测器；

(5)检测响应层利用模式检测器集和成熟检测器集对待检测网络数据包进行检测和反馈记忆。

进一步地，如上所述的基于多层免疫的网络入侵检测方法，所述采集正常网络数据包作为自体集包括：通过网络侦听工具软件采集网络数据包，并选择出其中正常的网络数据包。

进一步地，如上所述的基于多层免疫的网络入侵检测方法，所述对网络数据包进行数值化和归一化预处理包括：

1)网络数据包数值化处理：对数据集中文本特征的数据维，按其类型分别赋以不同的整数值，将其转化为数值特征；

2)网络数据包归一化处理：对数值化后的网络数据包逐维进行归一化处理；