基于生物免疫学中危险理论的入侵检测研究

The Dendritic Cells Algorithm (DCA) inspired by biological behaviours of dendritic cells in Danger theory is the second generation AIS algorithm. At present, DCA has produced promosing results because it is successfully applied in intrusion detection field. But the DCA has some problems, especially, it is necessary to investigate the formal describtion for DCA algorithm, the automated data processing method for signal selection and categorisation, the optimization of detection speed and accuracy for intrusion detection tasks. In this proposal, a formal definition of the DCA will be presented clearly using quantitative measures at the function level, and basic set theory and computational functions such as addition, multiplication and recursion are used for clarity. The source input data of DCA is automated the data pre-processing by using Principal Component Analysis(PCA), which performs dimensionality reduction for high dimensionality data, extracts and selects relevant features, and adapts the algorithm to characteristics of the underlying data. An online analysis component based on segmentation approaches is proposed to enable periodic and continuous analysis of the processed information presented by DCs，which can produce multiple sets of results. As a result it can effectively improve detection speed and robustness without compromising detection accuracy. Eventually, a novel DCA-based IDS architecture and prototype software system would be implemented, which features algorithm uniqueness, parallel processing, data fusion capability, real-time, robustness and portability.

受Danger theory提出的树突细胞生物学行为启发而开发的树突细胞算法DCA属于第二代AIS算法。目前DCA在入侵检测领域的成功应用已显示其一定的前景，但是仍然有一些问题需要研究与解决，特别是在算法的形式化描述、算法输入数据的自动预处理、检测速度与检测精度的优化等方面需作进一步的研究工作。本项目对DCA算法在函数层使用定量计算、集合论、基本计算功能对算法进行清晰的形式化描述；对DCA的输入源数据采用主成分分析法（PCA）进行自动预处理，对高维数据源进行维数约简，对基础数据中的相关特征自动抽取、选择、分类；对算法执行过程中由树突细胞呈递的已处理信息采用“分片”思想进行实时、周期性的分析，产生多个检测结果集，以提高算法的检测精度、检测速度及鲁棒性。最终研究目标拟实现一个新颖的基于DCA的IDS体系结构及原型软件系统，并具有算法独特性、并行处理、数据融合、实时性、鲁棒性和可移植性等特性。

该项目把重点放在DCA的形式化描述、算法理论分析研究、DCA应用于僵尸程序检测等方面进行了研究。完成了如下研究成果：（1）实现了DCA形式化描述。包括数据结构的定义，在函数层使用定量计算对算法中的一系列过程操作使用集合论及基本的计算功能如加、乘、递归等进行了描述，给出了DCA算法的形式化描述的伪代码。（2）完成了对DCA算法的理论分析。归纳揭示出DCA算法的数学性质，得出了DCA算法运行时间复杂度的上下界为Ω(n)和O(n^2)；若通过“分片”思想，在最坏情况下可以将算法分析阶段的时间复杂度降低为O(max(nN, nδ))，其中n是输入规模，N是树突细胞群体大小，δ是每个分片的大小；推理得出DCA算法获得最佳检测分类性能的条件。以上两项研究成果已形成论文“Theoretical Investigation into the Dendritic Cells Algorithm”，并已录用在Journal of Beijing Institute of Technology。（3）提出了利用主成分分析法（PCA）实现DCA 的自动数据预处理，提取和选择相关特征使算法适应于基础数据的特点。该研究成果形成的论文已被《计算机工程与应用》期刊录用。另外针对此应用，该项目提出了将DCA应用于bots检测时输入数据预处理的几种方法，这些方法适用于不同协议的僵尸程序检测如IRC和P2P协议。此研究成果发表在IEEE 国际会议论文集Proceeding of 2013 6rd International Congress on Image and Signal Processing (CISP 2013)。（4）该项目的研究还综述了基于第1 代和第2 代AIS 的入侵检测常用算法，并指出算法特点。阐述树突细胞算法(DCA)适合于解决入侵检测问题的优势，给出针对DCA 算法的未来研究工作，包括如何通过分片思想实现DCA 在线分析组件等。此研究成果发表在期刊《计算机工程》。（5）在人才培养方面，完成了3名研究生的培养工作，资助了3位研究生的硕士论文《树突细胞算法在线分析组件的研究及其应用》、《树突细胞算法数据预处理技术研究》、《基于树突细胞算法数据融合的僵尸程序检测》的研究工作。