外文翻译-基于免疫的网络安全风险评估

中国科学F辑信息科学2005卷48 No.5 557-578 基于免疫的网络安全风险评估基于免疫的网络安全风险评估 李涛 计算机科学系，四川大学，成都 610065，中国（电子邮箱：）接收 2004 年3月9日；修订2005年7月10日 摘要摘要：根据抗体浓度和病原体入侵强度，我们在这里提出了基于免疫学的模型， 用于网络安全风险评估(Insre)。在Insre中，给出了网络安全领域中的自己，异己，抗 体，抗原和淋巴细胞的概念和正式定义。然后建立自身耐受，克隆选择，成熟淋巴 细胞的生命周期，免疫记忆和免疫监视的数学模型。建立上述模型，提出了一个用 于网络安全风险评估的定量计算模型，它是基于抗体浓度的计算建立的。通过使用 Insre，网络攻击的种类和强度，以及网络安全的风险等级可以进行定量计算并实时 得到。我们的理论分析和实验结果反映了Insre对于网络安全实时风险评估而言是一 种好的解决办法。 关键词：关键词：人工免疫系统 攻击检测 网络安全 风险评估 DOI: 10.1360/04yf0140 网络安全有两种风险评估方法： 静态和实时。 静态方法通过静态评估网络价值、 安全漏洞，和安全事件1，如，COBRA1 ），OCTAVE2等发生的频率来评估网络。 专注于攻击系统的静态因素时，静态方法仅可以对过去网络面对的安全风险做一个 的粗略评估，不能实时评估网络易受到的网络攻击的风险。此外，他们不能检测即 将到来的新网络攻击，因此他们对网络安全的复杂环境没有自适应能力3。 与静态风险评估的研究相反，对网络安全实时风险评估的研究仍在摸索阶段并 只有有限的研究可用。1997 年，Jonsson and Olovsson4分析了基于马尔可夫模型的 攻击者行为，并根据系统被攻击者破坏的概率，预测了系统可靠性。1999 年，Ortalo 等人5提出基于特权图为在 UNIX 中的已知安全脆弱性的一个安全漏洞评估方法。 2002 年，Madan 等人6提出了一个状态转换模型来描述当系统遇到来自网络攻击时 的系统状态，并且提出了一个用于评估安全漏洞和可靠性的方法。2004 年，Chu 等 人7 为网络安全提出了一个介于静态和实时评估的方法。这个模型能根据一些简单 突然变化事件，如操作状态改变，元件缺失等来粗略估计网络安全。根据被攻击者 破坏的已知安全漏洞的概率或时间消耗，上述方法主要致力于网络可靠性的评估。 然而，他们无法正确评估网络所面临的系统风险。例如，他们无法评估网络正在面 对但未被破坏的的风险，对于 DDoS 攻击无计可施。此外，他们不能有效区分不同 种类的攻击，并对于未知攻击无检测能力。结果，在实际网络环境中，这些方法的 有效性和实时能力无法满足网络安全风险评估的要求。 在计算机网络安全和人体中的生物免疫系统 （BIS） 之间实际上有一个直接类比。 它们都需要在一个变化的环境8-13中维持稳定性。在 1958 年，Burnet14提出克隆选 择理论， 第一次解释了免疫反应的特点： 只有被抗原激活的细胞能够进行克隆过程。 在 1993 年， Kepler and Perelson15发展了克隆选择理论， 并讨论了体细胞突变理论， 这在克隆选择中是一项重要变异。1994 年，Forrest 等人16提出了阴性选择算法 （NSA） 。之后，Hofmeyr 和 Forrest 等人17-19为人工免疫系统(AIS)提出了一个通用 框架， 并在 ARTIS 的基础上建立了一个计算机免疫系统(CIS)， ARTIS 被称为 LISYS 并极大得促进了 CIS 的研究。例如，使用手机代理去监视网络活动，Dasgupta 和 Harmer 等人20,21建立了基于代理，在 ARTIS 上的 CIS 体系结构。Kim22提出了一 个动态克隆选择(DynamiCS)的算法，其中，可实时得改变自己的定义。Kim 同样也 提出了另一个基于实现 CIS 的 ARTIS。 人类免疫系统由一系列复杂的细胞和保护器官对抗感染的微粒组成。许多不同 种类的淋巴细胞（B 细胞，T 细胞等）分布在人类全身，人类免疫系统能从自己中 区分异己，并立刻消灭异己。一旦 B 细胞和抗原之间的亲和力达到一定临界值，B 细胞会进行自我克隆并产生许多抗体来抓取更多抗原，导致抗体浓度的急剧增加。 当抗原被消灭时，克隆过程将会受到抑制，抗体浓度会下降。在正常情况下，人体 中所有种类的抗体浓度是稳定的。因此，抗原入侵强度可以通过计算在人体免疫系 统中的所有种类抗体浓度来评估。 根据抗体浓度和病原体入侵强度之间的关系，在这里我们提出一个用于网络安 全风险评估(Insre)的基于免疫的模型。在 Insre 中，给出了网络安全领域的自己，异 己，抗体和淋巴细胞的概念和正式定义。然后建立了自身耐受，克隆选择，成熟淋 巴细胞的生命周期，免疫记忆和免疫监视的数学模型。在建立了上述模型后，提出 了一个用于网络安全风险评估的定量模型， 它是基于抗体浓度计算的。 通过使用 Insre， 网络攻击的种类和强度，以及网络安全风险等级可以定量、实时得计算。 除了实时风险评估，Insre 介绍了一种通过计算最大血缘谱系以分类网络攻击的 新方法，并通过检查最大血缘谱系的基因序列描述每个等级的特点，其中最大血缘 谱系和它的基因序列分别是被检测到攻击的种类和特征信息。此外，Insre 已经为模 拟在 BIS 中接收疫苗和疫苗接种的过程建立了一个完整程序，提供了一个快速抵抗 类似网络攻击的新方法。 此外，Insre采用了集合代数方法以定量描述在CIS中的主要元素，如，自己/异己， 抗体/抗原， 淋巴细胞， 自身耐受， 克隆选择， 成熟淋巴细胞的生命周期， 免疫记忆， 免疫监视，等。没有变量或变量赋值，只有表达式。因此，所有在Insre中的所有 集合的进化可以同时实现23。 1 提出模型提出模型 给出字符串集合=0,1 i=1 i ,网络协议(IP)包在网络 中转移。抗原(Ag)是 IP 包的特征，由下式给出 Ag=a,b a D,b , a =l,a = APCs b ( ) （1） 其中D = 0,1 l , l是自然数（常数） ， a是字符串a的长度。APCs b ( )模拟抗原 递呈细胞的功能(APCs),其中，IP 包 b 的特点，如 IP 源地址和目的地址，端口数， 协议类型，IP 标志，IP 整体数据包长度，TCP/UDP/ICMP 字段，等，被提取为抗原 决定簇。 在一个网络攻击检测系统中，异己模式Nonself Ag()代表了 IP 包来自计算机 网络攻击，而自己模式Self Ag()是正常认可的网络服务交易和无恶意背景杂斑， 如此 Self Nonself = Ag, Self Nonself = (2) 对于任意x Ag,运算符APCs和APCs被定义为 x APCsSelfiffx.a APCs(Self) x APCsSelfiffx.a APCs(Self) # $ % & % (3) 在 Insre 中，一个淋巴细胞用作检测器以识别异己抗原（网络攻击） ，并由下式 给出 B =d, p,age,count d D, p R,age N,count N (4) 其中 d 是用于同抗原匹配的淋巴细胞抗体，p 是抗体 d 的抗体浓度，age 是抗体 d 的细胞年龄，count(亲和力)是同抗体 d 匹配的抗原数量，R 是实数集合，N 是自然 数集合。d,p,age 和 count 也同样被分别称为淋巴细胞的 d,p,age 和 count 字段。为了 便于使用淋巴细胞 x 的字段，下标运算符“.”用于提取 x 的特定字段，如 x. fieldname = the value of field fieldname of x. (5) 淋巴细胞集合 B 包含了两个子集：成熟淋巴细胞(Tb)和记忆淋巴细胞(Mb) 。成 熟淋巴细胞是对自身耐受但未被抗原激活的淋巴细胞。记忆淋巴细胞从成熟淋巴细 胞进化而来，该成熟淋巴细胞在其生命周期中与足够多的抗原匹配。因此，我们有 Tb= x x B,y Selfx.d,y Matchx.count 0），该特定 值意味着淋巴细胞将被激活，克隆并在时间 t 进化为记忆细胞，也就是说可以检测 到一些新的网络攻击。 Mclonet( ) 和Tclone t( ) 的元素也被称为免疫细胞克隆，它将克隆 并产生更多淋巴细胞以解决相似和更为强烈的攻击。 淋巴细胞对抗原有两种可能反应。一个是初级反应，它是由成熟细胞（Tclone） 产生的,并需要一个亲和力累积过程，也就是成熟细胞尝试学习和识别之前未遇到过 的抗原，因而需要一段长学习期。因此初级反应的效率相对较低。另一个是二级反 应，由记忆细胞（ Mclone ）产生，比初级反应更快更强。一旦和抗原匹配，记忆细胞 将立即被激活。在此时，不需要更多的学习过程。 1.5 成熟淋巴细胞生命周期成熟淋巴细胞生命周期 其中 等式（29）描述了成熟淋巴细胞的生命周期，其中Tb t( ) 模仿了成熟细胞进化为 下一代细胞的过程（对于Tnew t( ) , Tb t( )和 P(t)，请参考 1.4 节）。Tnewt( ) 是在时间 t 从骨髓模型产生的新成熟细胞集合。是由免疫克隆产生的新细胞集合，其中新细 胞经历了变异和自身耐受过程。Tclone t( ) 是将在时间 t 进化为记忆细胞的成熟细胞克 隆集合。Tdead t( ) 是在生命周期（0）未与足够抗原（ 0 ）匹配或在时间 t 将自 己抗原分类成异己的淋巴细胞集合。 Mclonet( ) 是记忆细胞克隆集合。 T clone_new t( ) 是模拟克隆过程，其中每个克隆过程产生 . B t1 () Family x ( ) ! “ “ “ # $ $ $ 0 () 个新 细胞,其抗体通过等式（35）改变。克隆细胞的数量与在当前系统中基因与那些克隆 细胞的基因相似的细胞的细胞数量成反比，其中 Family(x)是淋巴细胞集合，这些淋 巴细胞的抗体同 x 的抗体相似，且 B t1 () 是当前系统在 t-1 时刻包括了记忆细胞和 成熟细胞的淋巴细胞数量。 fvariationx ( ) 模拟了细胞变异的过程，其中新细胞的抗体与 x 的相似。变异的目标是新克隆的淋巴细胞能识别一些被捕获抗原的变异。因此， 促进了系统多样性。 在成熟淋巴细胞生命周期中，淋巴细胞无法有效得发挥对通过克隆选择过程被 消灭的抗原分类的功能。然而淋巴细胞能有效发挥分类将进化为记忆细胞的抗原的 功能。因此，当他们再次入侵系统时，相似抗原能被迅速检测到。 1.6 动态免疫记忆模型动态免疫记忆模型 其中 Tother_machine_clone t( )=Tclone i t( ) i= 1,.,k (),ik (44) K 是网络中计算机的数量，k 是当前计算机的序列号。Tclone i t( )是第 i 台计算机的 Tclonet( )。 等式(37)描述了记忆淋巴细胞的动态进化。Mb 描述了记忆细胞进化为下一代细 胞的过程。Mnew是从成熟细胞进化来的新记忆细胞集合。Mdead模仿了记忆细胞的死 亡：如果记忆细胞同被确定为自己抗原的抗原匹配，也就是说，假阳性错误发生， 那么这个记忆细胞将被消灭。Mclone t( ) 是在时间 t 被激活记忆细胞集合，其抗体浓度 增加。 Mb t( ) 是在时间 t 未被抗原激活的记忆细胞集合，其抗体浓度应被减少。 (0,自然数)是记忆细胞的抗体浓度维持期。当记忆细胞 y 克隆时，包括刚从 成熟细胞进化而来的新记忆细胞的克隆，我们根据等式(39)或等式(42)提高抗体浓度， 其中1 0 ()，y.p, 2 0()分别是抗体浓度增加，当前抗体浓度和奖励因子（检测连 续类似攻击）。然而，如果在 期间记忆细胞不能同任何抗体匹配，根据理论 1， 抗体浓度将会减少至 0，也就意味着这种攻击被消灭了（注意，这里 x.age 意味着 x 多久未被激活）。然而，如果一个记忆细胞在 期间同抗原匹配，其抗体浓度会累 积（见等式(39)）,这意味着这种攻击持续增强。 Tother_machine_clone t( )是在时间 t 的网络中其他机器的被激活成熟细胞集合。当成熟 细胞被抗原激活时（即，检测到新攻击），它将被送给其他机器（就像疫苗）。因 此，这些机器将能抵抗相似网络攻击。Tother_machine_clone t( )模仿了从其他机器中接收疫 苗的过程（就像接种疫苗）。 在动态免疫系统记忆模型中， 记忆细胞的死亡能减少假阳性和假阴性错误概率。 此外，动态免疫记忆模型，独立于上述所提出的模型，能克服在传统入侵检测系统 中高错误率的缺点，提高自适应能力。 定理定理 1.如果记忆淋巴细胞不能同任何抗原匹配并在 期间进行自我克隆， 其抗 体浓度将会减至 0 。 证明.假定记忆细胞 x 和抗原匹配并自我克隆。那么根据(39)和(42)，x.age = 0。 注意， x.age 在这里意味有多少代 x 未再次与异己抗原匹配。 为了方便起见， 假定 Page 代表了 x 在 age 代的抗体浓度，其中0 0()。也就是说，在中，集合Ag内的抗原全部被新抗 原替换。AgNonselft( )和AgSelft( )分别是在时间t被检测为异己和自己抗原的抗原集合。 QAgt( )是同成熟淋巴细胞匹配的抗原， 然而， 这些细胞并未被激活。 换句话说，QAgt( ) 包含了不确定异己抗原。AgSelft( )包含了QAgt( )，这意味着，如果这不是确定异己抗 原元素，抗原被当成自己抗原。也就是说，免疫监视模型采取了攻击耐受策略。 1.8 实时风险评估实时风险评估 在讨论网络安全风险之前， 我们首先给出了在Mb中， Consanguinity 关系的定义： 给出X Mb, x,y X, x,y Consanguinity, X 是由 Consanguinity 产生的血 亲类。如果 X 是血亲类在任何 Mb X 元素和 X 元素之间没有任何 Consanguinity 关 系，X 被称为最大血亲类。 显然 Consanguinity 关系是自反和对称的，但不传递。使 x,y Consanguinity ， 即，在两个记忆淋巴细胞 x 和 y 之间有 Consanguinity 关系，我们知道 x 和 y 有类似 抗体基因。因此，被 x 和 y 检测到的攻击应来自相同攻击类型。 假定在Mb中的每个元素是二维空间的一个点。对于任意x,y Mb,如果 x,y Consanguinity，x 和 y 存在边。因此所有Mb的所有元素能组成一个图，被称 为血亲图。为了方便起见，画血亲图时，有向边被无向边取代，从一个顶点开始到 这个点的闭合曲线可忽略。 根据最大血亲类的定义，我们有： 定理定理 3. 在血亲图中一个孤立的点是一个最大血亲类；在最大完全子图中的所有点 形成一个最大血亲类；不是一个最大完全子图的一条边的两点，同样组成一个最大 血亲类。 由图1所示，最大血亲类是b , a,c, a,h, c,e, f, c,d, f,g 。 图1. 血亲图 给出= A1,A2,.,An, Mb 1 = Mb, Mb i = MbAj 1j 0 (),整个风险是rkt( )=c 2 1+e ix.p xAit( ) 1 % & ( ) * * * c 0 () 假定k0 k1()是网络中计算机k的重要因数，i0 i1()是网络中第i种攻击 Cigenet( )的危险因数，根据定理6和8，我们有定理10： 定理定理 10. 在时间t网络面对的第i种攻击Cigenet( )的安全风险Rit( )， 是 c 2 1+e ix.pk k j1jk,xMt( ) b j & ( )( * + ( ,( - . / / / / / / 0 1 2 2 2 2 2 2 xCit( ) 1 - . / / / / / / / / 0 1 2 2 2 2 2 2 2 2 c 0 () ,且整个风险 R t( )= ! c 2 1+e ix.pk k j1jk,xMt( ) b j ( ) *) + , ) -) . / 0 0 0 0 0 0 1 2 3 3 3 3 3 3 xCit( ) . / 0 0 0 0 0 0 1 2 3 3 3 3 3 3 i=1 m 1 . / 0 0 0 0 0 0 0 0 1 2 3 3 3 3 3 3 3 3 ! c 0 () 定理定理 11.计算网络安全风险的时间和空间的复杂性与网络中所有记忆淋巴细胞的数 量成线性关系。 证明证明. 由于新攻击的产生是很少的，且新攻击产生时只影响在某个时刻的风险计算 （在这个时刻，最大血亲类系t( )和 t( )需要重新计算以获得更多攻击类型的准确 信息），当考虑到风险计算的时间和空间复杂性时，t( )和 t( )的重新计算可大体 上忽略不计。 对于任意计算机k ， 我们从定理9得知，rkt( )的时间复杂性是O c Mb k t( ) (),其中， c (0)是在累计一个记忆细胞的抗体浓度时所耗费的时间 ，由于 gene t( )和每种攻击 的危险系数i合并在t( )中， rkt( )的空间复杂性主要是由t( )和Mb k t( )组成的。 对 于 rkt( )的空间复杂性，考虑到最坏情况t( )= Mb k t( ) 。那么t( )的空间复杂性是 同Mb k t( )的相同。因此rkt( )的空间复杂度是O 2 ! c Mb k t( ) ()，其中 c(0)是一个记忆 细胞需求的空间。 对于在网络环境中R(t)的时间和空间复杂度，考虑到最坏的情况 t( )=Mb k t( )= M t( ) k=1 K 。之后，根据定理10，R(t)的时间复杂性是O c M t( ) ()。由 于genet( ),每个攻击的危险因数i,和 t( )在每台计算机在网络中合并的重要因数 k, R(t)的空间复杂性是O 2 ! c M t( ) () Q.E.D. 网络安全风险评估的时间和空间复杂性是不太重要的，因为其在记忆淋巴细胞 上是线性的。我们的实验结果也显示网络安全风险计算与实际网络攻击是同时发生 的，且几乎没有延迟，因此它有实时计算能力。 2 仿真仿真 在网络中共有 40 太计算机处于监视之下，被监视的网络提供了一些如 WWW, FTP, Email, 等的服务，他们分别能被端口号识别。网络受到 20 种攻击的攻击，如 syn flood, land, smurf, teardrop,. ,等。抗原是 96 位长的二进制字符串，其合并了源/ 目标地址，端口号，协议类型，IP 标志，IP 总体数据包长度，TCP/UDP/ICMP 字段, 等. 总而言之，正常网络活动是几乎无改变的，耐受期=1 (如果正常网络活动频 繁改变，可能大于 1) 。匹配功能采取 r-连续位匹配原则（r=8）。由于受到计算 机能力的限制，如，内存大小，运算速度，等，在系统中淋巴细胞的数量被限制在 小于 300，然而，淋巴细胞越多，系统性能越好。克隆相似淋巴细胞的比例因数被 设定为 1，由于机器能力的限制，它应当尽可能得大。抗原更新期的值应尽可能大 （这里， =50）如果确定没有 IP 包丢失，那么淋巴细胞可能获得跟多检测时间。 成熟细胞的活动阀值和生命周期的选择原则能保证较高检测率(TP) 和较低错误 率(FP)。图 2 和图 3 显示了在 TP 和 FP 上的和影响,当 = 10, = 90 K 时能 获得一个满意的结果。 在实验中，网络环境下的计算机 A, B, C,.的重要因数被分别随机设为 0.5, 0.2, 0.8,.。 syn flood, land, smurf, teardrop,.的危险因数被分别随机设为 0.8, 0.5, 0.9, 0.5,.。 通过定理9和10能评估整个网络和一台特定计算机面对的一些攻击和一个特定 攻击的安全风险，其中，c = ! c =1。根据定理 2 获得抗体浓度系数1和2的值。 从定理 1，当攻击结束时，抗体浓度维持期( ! )将暂时确保抗体浓度处于保持在 一个较高的水平。这在实际网络环境中是十分重要的，因为假如相同攻击在短时间 内再次发生，网络能保持一个高警戒度。 ! 的值与警报期有关。图 4 显示了1，2 和 ! 在检测风险值上的影响。在实验中，在网络遭受攻击时，1，2和!的选择原 则能用于确保一个较高的匹配率， 即， 检测风险曲线和攻击强度曲线上的匹配率 （攻 击包/秒，在攻击结束时测量） 。实验结果显示，当1=0.001，2=0.9998 和!=5000 时，能获得一个满意的匹配率 图 2.在 TP/FP 上活动阀值的影响 图 3.在 TP/FP 上生命周期的影响 一台计算机或整个网络面对的所有攻击和特定攻击的安全风险，是分别进行评 估的。图5 分别显示了计算机A面对的整体攻击(图5(a), 计算了如syn flood, land, 等 的所有攻击)和单个攻击(图 5(b), 在所有攻击中的一个风险， 如， syn flood 风险) 。 图6 分别显示了整个网络面对的整体攻击(图6(a) 和单个攻击 (图6(b), syn flood 风 险)。我们从图5 和图6 中发现，当网络攻击发生以及攻击强度增强时，相应的评估 风险也会同时增加。此外，当攻击强度减小时，相应评估风险也会同步减小。然而， 当减小斜率主要与抗体浓度维持期 ! 有关时，安全风险曲线的减小斜率比攻击强度 的小。 这在实际网络环境中是十分重要的， 因为如果相同攻击在短时间内再次发生， 网络能保持一个高警报等级。 如在图5(a)中所示, 攻击强度减小的趋势是从时间0-20， 然而，相应风险值减小缓慢，系统仍保持一个较高警报等级；当在时间21时，高强 度攻击突然发生，攻击风险值会迅速升高；从时间21-37，网络攻击强度的提高是不 明显的，但是只保持在一个相对较高的位置，然而，评估的风险依旧在上升，并在 时间37时，到达最大值。这与真实网络环境一致：网络攻击越强，时间越长，系统 面对的危险越大。 图 4.抗体参数1，2和!在检测风险值上的影响 (a) 网络面对的真实攻击强度曲线(b)当!= 4000时， 1，2的影响. (c)，和在检测风险值1 = 0.001, 2= 0.9998时，!的影响 实验结果显示风险评估与网络面对的真实攻击是一致的，这也意味着该模型能 很好得预测网络风险。 当计算机或网络遭受到网络攻击时，系统性能会降低，我们根据这一点将安全 风险划分为7个等级，并在表1中列出。在实验期间，我们发现计算机或整个网络的 性能随着安全风险的上升而下降。当安全风险等级到达“较高”等级时，计算机或 网络也许会停止工作。且当安全风险到达“最高”等级时，在20个实验中，有16个 实验的系统崩溃。 然而当其风险等级处于“较低”以下时，系统运行良好。为了定量得实现Insre 与实际的关联性，进行了一些统计实验。实验在20种攻击下进行了200次。表1也显 示了Insre的准确率。为了测试Insre的准确性，也开展了相应的比较实验（见表2）