树突状细胞算法研究及在监控系统入侵检测中的应用

论文摘要

计算机监控系统在水电厂得到了广泛应用,为水电厂的安全经济运行提供了保障。然而目前的网络安全形势日益严峻,计算机监控系统的网络安全问题显得尤为重要。被动的安全防护技术难以满足水电厂计算机监控系统对网络安全的高端需求,入侵检测作为一种积极主动的安全防护技术倍受关注。传统的入侵检测技术普遍存在计算规模庞大、对未知入侵识别能力差等问题。生物免疫系统的分布式实时自我保护机制给入侵检测的研究提供了新的思路。借鉴生物免疫机理建立基于人工免疫的入侵检测系统已成为研究热点,但大多研究建立在自体非自体识别模式上,属于适应性免疫的范畴,需要经过大量的训练,并且存在大量的误报和漏报。危险理论的研究使得免疫学的研究焦点从适应性免疫转向了先天性免疫。树突状细胞作为先天性免疫系统中专职的抗原提呈细胞,能够融合处理多种环境信号,并将信号与抗原相关联,分析得到抗原的异常指标。树突状细胞算法是对树突状细胞机理进行抽象而衍生的数据融合算法,具有计算规模较小、识别能力较强、无需大量训练样本等优点,但也存在一定的局限性,在算法设计和应用方面都有较大的改进空间。本文首先介绍了入侵检测系统、生物免疫系统、人工免疫系统、危险理论等相关领域知识,详细介绍了树突状细胞的生物学机理、树突状细胞算法的基本原理和算法流程,分析了树突状细胞算法的特点及局限,然后对树突状细胞算法进行了多项改进措施,最后将树突状细胞算法应用于入侵检测系统中。为了提高入侵检测系统的实时性,在尽可能短的时间内对出现的异常作出反应,对传统的树突状细胞算法的离线分析过程进行了改进,设计了一种实时分析算法。当抗原被足够多的树突状细胞提呈后立即输出评估结果,从而达到实时或接近实时分析的目的。足够的评判次数减少了误判的影响,与时间序列相关的抗原信号池消除了无关数据的相互干扰。实验表明该算法在实时分析的基础上还具有可观的检测精度。为了提高树突状细胞算法对无序数据集的异常检测性能,分析了上下文环境的频繁转换是导致检测精度降低的主要原因,设计了一个“倍增-归并”的树突状细胞算法。先将数据集放大n倍,即每种抗原产生n个实例,然后对每个实例进行评估,最后综合每种抗原的n次评估得到最终结果。算法体现了细胞环境决定抗原状态的生物机制,通过倍增营造了相对稳定的环境,通过归并综合了多数正确判断减少了误判的影响。实验表明该算法对无序数据集具有可观的检测精度和稳定的检测性能。为了解决传统树突状细胞算法对环境评判的盲目性,分析了输入信号到输出信号的权值矩阵对检测结果的影响,提出了倾向因子的概念,设计了两种可调控误报率和漏报率的树突状细胞算法。一种是改进的投票制树突状细胞算法,即在树突状细胞状态转换准则中融入倾向因子以求得对环境评判的公平,并通过对倾向因子的微调控制检测结果的误报率和漏报率；另一种是评分制树突状细胞算法,即在树突状细胞状态转化阶段忽略了对细胞环境的评判,改为直接对抗原进行评分,最后根据抗原的平均分分布调整异常阈值以达到调控误报率和漏报率的目的。实验表明两种算法均有效地实现了结果可控性,相比而言评分制树突状细胞算法可实现更为直观的调控。为了弥补树突状细胞算法在紊乱环境中缺乏抗原评价依据的不足,设计了一个树突状细胞算法与肯定选择算法相结合的检测算法。将树突状细胞算法的检测结果分为确定正常、确定异常和待定抗原三个区间,借助肯定选择算法对抗原的特异性识别,对待定区间中的抗原进行二次检测。肯定选择算法的检测器直接来自于树突状细胞算法检测得到的确定抗原,从而省略了检测器的训练过程。采用可变半径既是为了让检测器覆盖尽可能大的空间,又在最大程度上削减了不纯检测器的检测能力。实验表明树突状细胞算法和肯定选择算法相结合有效减少了误报和漏报。然后将改进的树突状细胞算法应用于入侵检测中。为了满足水电厂计算机监控系统对网络安全的严格要求,设计了一个先天性免疫和适应性免疫相结合的入侵检测模型。将树突状细胞算法对KDD99数据集中的不同攻击进行了分别检测和多种攻击的综合检测,数据显示树突状细胞算法对大部分攻击具有良好的检测效果,然后与适应性免疫相结合,进一步提高了检测精度,充分说明先天性免疫和适应性免疫相结合可以构建更为健全的防御体系。另外,为了验证树突状细胞算法在其他领域的应用能力,用振动分析数据集对各种改进的树突状细胞算法进行了测试,实验数据显示树突状细胞算法适用于振动异常检测领域。最后对全文的工作进行了总结和展望,期望进一步深入探索和研究生物免疫系统所蕴含的信息处理机制,设计更加有效的免疫算法,应用于更多的工程领域。

论文目录

• 中文摘要
• Abstract
• 1 引言
• 1.1 选题意义
• 1.2 国内外研究现状
• 1.3 本人的研究计划
• 2 入侵检测概述
• 2.1 网络安全现状
• 2.2 入侵检测系统的概念
• 2.3 入侵检测系统的分类
• 2.4 入侵检测的关键技术
• 2.5 入侵检测存在的主要问题和解决途径
• 2.6 本章小结
• 3 生物免疫与入侵检测
• 3.1 生物免疫系统
• 3.2 人工免疫系统
• 3.3 免疫识别
• 3.4 危险理论
• 3.5 生物免疫与入侵检测的相似性
• 3.6 基于先天性免疫的入侵检测
• 3.7 本章小结
• 4 树突状细胞算法及其改进
• 4.1 传统的树突状细胞算法
• 4.1.1 DC生物学机理
• 4.1.2 DCA原理
• 4.1.3 信号融合
• 4.1.4 DCA流程
• 4.1.5 实验数据
• 4.1.6 DCA的优点和局限
• 4.2 用于实时异常检测的树突状细胞算法
• 4.2.1 传统DCA的离线分析
• 4.2.2 实时DCA
• 4.2.3 实验与结果分析
• 4.2.4 下一步的工作
• 4.3 针对无序数据集异常检测的树突状细胞算法
• 4.3.1 设计思想
• 4.3.2 MMDCA算法流程
• 4.3.3 实验与结果分析
• 4.3.4 下一步的工作
• 4.4 可调控误报率和漏报率的树突状细胞算法
• 4.4.1 投票制DCA
• 4.4.2 权值矩阵对检测结果的影响
• 4.4.3 改进的投票制DCA
• 4.4.4 评分制DCA
• 4.5 本章小结
• 5 DCA与PSA相结合的免疫算法
• 5.1 否定选择算法与肯定选择算法对比研究
• 5.1.1 否定选择算法（NSA）
• 5.1.2 肯定选择算法（PSA）
• 5.2 匹配规则
• 5.3 DCA与PSA相结合的算法思想
• 5.4 实验与结果分析
• 5.5 本章小结
• 6 基于DCA的入侵检测系统
• 6.1 系统结构模型
• 6.1.1 抗原和信号采集模块
• 6.1.2 DCA检测模块
• 6.1.3 检测器模块
• 6.1.4 入侵综合评判模块
• 6.1.5 管理员确认模块
• 6.2 KDD Cup 99数据集
• 6.3 数据集预处理
• 6.4 实验结果
• 6.5 本章小结
• 7 DCA在振动数据集异常检测中的应用
• 7.1 振动分析数据集
• 7.2 数抓集预处理
• 7.3 实验与结果分析
• 7.4 本章小结
• 8 总结与展望
• 8.1 总结
• 8.2 展望
• 参考文献
• 攻博期间发表的科研成果目录
• 致谢