Системы обнаружения атак на основе искусственных иммунных систем. Лекция 7

ИСКУССТВЕННАЯ ИММУННАЯ СИСТЕМА, ИИС (Artificial Immune System, AIS) – это защитная система, основанная на принципах иммунитета, т.е. обладающая заложенной в нее способностью противостоять внешним чужеродным воздействиям, а также возникшим внутренним аномалиям в поведении системы.
1974 – модель иммунной сети (Н. Ерне)
1990 – иммунная система обнаружения вторжений (С. Форрест, Д. Дасгупта)
1999 – книга “Artificial Immune Systems and Their Applications” (под ред.
Д. Дасгупты)
2002 – 1-я Международная конференция по ИИС (ICARIS’2002), Великобритания

СРАВНИТЕЛЬНЫЕ ХАРАКТЕРИСТИКИ ИИС И НС
Сходства ИИС и НС:
обучение на шаблонах;
наличие ассоциативной памяти;
необходимость в предварительной настройке параметров;
функционирование в условиях неполноты и неопределенности информации.
Отличия ИИС:
базовые элементы – лимфоциты и антитела;
количество элементов, их положение и взаимодействие изменяется динамически;
децентрализация управления;
самоорганизация поведения.

МЕХАНИЗМЫ ФУНКЦИОНИРОВАНИЯ ИММУННОЙ СИСТЕМЫ ЧЕЛОВЕКА
Специфичность распознавания патогенов
Приобретенный иммунитет
Врожденный иммунитет
Биохимический
барьер
Физический
иммунитет
Лимфоциты
Макрофаги, лейкоциты, бактерии
Пот, слезы, слюна
Кожа, слизистые оболочки

ОБЩАЯ СХЕМА ФОРМИРОВАНИЯ ПРИОБРЕТЕННОГО (АДАПТИВНОГО) ИММУНИТЕТА

МЕХАНИЗМ ОТРИЦАТЕЛЬНОГО ОТБОРА
(T-лимфоциты)

МЕХАНИЗМ КЛОНАЛЬНОЙ СЕЛЕКЦИИ
(B-лимфоциты)

ОБНАРУЖЕНИЕ АНОМАЛИЙ ПРОЦЕССА НА ОСНОВЕ МЕХАНИЗМОВ ИММУННОЙ СИСТЕМЫ
Этап 1. Сбор исходных данных о работе ИС
Пусть – временной ряд, составленный из условных номеров (кодов) системных вызовов, последовательно выполняемых различными приложениями информационной системы (ИС) на конечном интервале времени при ее нормальной работе.
Способ кодирования:

Этап 2. Формирование шаблонов нормальной активности ИС
Последовательность системных вызовов:
51 4 27 3 4 4 3 15 3 113 4 40 3 4 4
Размер скользящего временного окна: n = 6;
Сдвиг временного окна (шаг): h = 1
Набор шаблонов (профилей) нормальной активности:
51 4 27 3 4 4
4 27 3 4 4 3
27 3 4 4 3 15
113 4 40 3 4 4
……………………………………...
1
2
3
10

Этап 3. Формирование набора детекторов (алгоритм отрицательного отбора)

АФФИННОСТЬ (от лат. affinitas – близость, родство) – определяется как число совпадающих смежных элементов 2-х строк: кандидата в детекторы
и шаблона нормальной активности
где – расстояние Хемминга (число несовпадающих элементов строк и в идентичных позициях), i и j – соответственно номера случайно сгенерированной строки и шаблона n – длина строк
и
Правило частичного совпадения 2-х строк: строки и совпадают, если они совпадают по крайней мере в r идентичных смежных позициях:
где r – заданный порог аффинности.
Пример. Дано: n = 8; r = 5;
→ Данные строки совпадают, т.к.
(1)

Этап 4. Обнаружение аномалий в поведении процесса

СХЕМА РАБОТЫ СИСТЕМЫ ОБНАРУЖЕНИЯ АНОМАЛИЙ