检测器的覆盖问题研究

论文摘要

入侵检测技术能够识别恶意破坏一个计算机或网络系统安全的行为,在系统受到危害之前拦截和响应入侵。生物免疫系统的主要功能是识别并清除抗原,实现免疫防卫功能。因此免疫系统的识别和保护机制对促进入侵检测中概念和技术的发展有一定作用。否定选择是整个免疫系统的一个过程,它能够消除那些识别自体抗原的不成熟抗体。经过否定选择后存活的抗体具有自我耐受性,并能够识别大多数的外来物体。可以说否定选择体现了免疫系统识别自体和非自体的能力。本文研究了人工免疫系统中否定选择算法生成检测器的覆盖问题,这对于研究它在入侵检测系统中的应用和它作为异常检测方法的性能有重要作用。本文提出了一个r-chunk检测器的生成算法,以研究汉明形状空间检测器的覆盖问题。并根据此算法估计出了生成检测器的平均数目,研究了检测器和黑洞的数目与字母表大小、自体集大小、匹配长度之间的关系。研究表明,只有检测器长度接近字体元素长度时,检测器才能正常生成,才能有较小的黑洞数目。随着自体集数目的增加,生成检测器的数目指数级减少,而黑洞数目却指数级增加。以上的分析表明,对于现实世界的入侵检测问题,即存在大数量的自体元素问题,汉明否定选择方法并不太适用。在实值形状空间下,本文通过实验研究了否定选择算法和肯定选择算法在低维和高维数据集的分类性能。结果表明否定选择算法在低维数据集的分类性能与肯定选择算法相近——有高检测率和低误报率,而在高维数据集上有较差的分类性能。于是,本文分析了实值否定选择算法的检测器——超球体——在高维空间的性质,如半径固定时,它的体体积趋于0;它的大部分体积靠近于表面;体积随维数变化时存在极大值等等。研究表明正是这些性质导致了实值否定选择在高维异常检测问题的局限性。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 引言
• 1.2 背景
• 1.2.1 入侵检测系统
• 1.2.2 人工免疫系统
• 1.2.3 否定选择算法
• 1.3 本文研究的主要内容和结构
• 1.3.1 课题来源
• 1.3.2 本文研究的主要内容
• 1.3.3 本文的结构
• 第2章 人工免疫系统
• 2.1 人工免疫系统
• 2.2 形状空间的形式化
• 2.2.1 汉明形状空间和匹配规则
• 2.2.2 实值形状空间和欧几里德距离
• 2.3 通用否定选择算法
• 2.4 随机生成检测器的检测概率
• 2.5 网络入侵检测系统
• 2.6 本章小结
• 第3章 汉明否定选择
• 3.1 未被检测到的元素
• 3.2 黑洞的数目
• 3.3 一种R-CHUNK 检测器生成算法
• 3.4 检测器的数目
• 3.5 实验验证
• 3.6 通过R-CHUNK 长度R 来调节检测器和黑洞的数目
• 3.7 汉明否定选择在网络入侵检测的应用
• 3.8 本章小结
• 第4章 实值否定选择
• 4.1 实值否定选择
• 4.2 实值肯定选择
• 4.3 实值否定/肯定选择的比较
• 4.4 低维数据集的实验
• 4.4.1 ROC 分析
• 4.4.2 确定合适的自体半径
• 4.4.3 实验数据及结果
• 4.5 高维数据集的实验
• 4.6 超球体检测器的覆盖问题
• 4.6.1 高维空间下的RNS 算法
• 4.6.2 超球体的体积
• 4.6.3 超球体的性质
• 4.6.4 体积的极值
• 4.7 本章小结
• 结论
• 参考文献
• 攻读硕士学位期间发表的学术论文
• 致谢