4.1 仿真訓(xùn)練初始數(shù)據(jù)的收集

目前世界上很多研究機(jī)構(gòu)和研究人員致力于計(jì)算機(jī)病毒入侵檢測(cè)方面的研究和系統(tǒng)開發(fā)，提供了一些測(cè)試資料集合，包括網(wǎng)絡(luò)資料、基于主機(jī)的審計(jì)資料和系統(tǒng)調(diào)用序列。

網(wǎng)絡(luò)傳輸協(xié)議／網(wǎng)絡(luò)協(xié)議(TCP／IP)對(duì)需要組織傳輸?shù)馁Y料包進(jìn)行打包。TCP層在包中加入了頭信息如：源埠、目的埠、序列號(hào)、ACK確認(rèn)號(hào)、偏移量、SYN、FIN、窗口和緊急指針等。含有TCP頭信息的包被送到IP層，加IP資料包頭如：包頭長(zhǎng)度、服務(wù)類型、資料包長(zhǎng)度、分段偏移量、生存期、協(xié)議類型、源地址和目標(biāo)地址等。而正常和異常的數(shù)據(jù)包都在網(wǎng)上傳輸，其特征是有差別的。

為測(cè)試改進(jìn)后的網(wǎng)絡(luò)在病毒入侵檢測(cè)應(yīng)用中的效果，采用了具有30萬(wàn)條數(shù)據(jù)記錄的測(cè)試數(shù)據(jù)集，每條數(shù)據(jù)包括了網(wǎng)絡(luò)數(shù)據(jù)包的包頭信息、網(wǎng)絡(luò)連接信息和數(shù)據(jù)信息等，每條數(shù)據(jù)包含96位的二進(jìn)制代碼。其中前32位二進(jìn)制為源IP地址，32-64位二進(jìn)制為目標(biāo)IP地址，64-96位二進(jìn)制表示了一些數(shù)據(jù)信息，每個(gè)數(shù)據(jù)被標(biāo)記為異?；蛘哒?。該數(shù)據(jù)源由MATLAB利用random()函數(shù)產(chǎn)生一組隨機(jī)的小數(shù)，因?yàn)榭紤]到是二進(jìn)制運(yùn)算，規(guī)定：

這樣隨機(jī)產(chǎn)生的二進(jìn)制串96個(gè)為一組，模擬的IP數(shù)據(jù)包，一共產(chǎn)生96萬(wàn)個(gè)二進(jìn)制串組合。

4.2 抗體自體庫(kù)仿真訓(xùn)練(自體庫(kù)的建立)

使用這1萬(wàn)條數(shù)據(jù)進(jìn)行自體庫(kù)的建立和神經(jīng)網(wǎng)絡(luò)的學(xué)習(xí)。在不斷調(diào)整抗體自體庫(kù)的同時(shí)，使自體庫(kù)的解空間在最大程度上得到提高，最后趨近與一個(gè)穩(wěn)定的自體庫(kù)接集合。利用建立好的抗體檢測(cè)庫(kù)檢測(cè)未知的29萬(wàn)條數(shù)據(jù)紀(jì)錄。仿真試驗(yàn)算法如下：

4.3 病毒入侵檢測(cè)算法的仿真訓(xùn)練

建立起自體庫(kù)后，進(jìn)行病毒入侵檢測(cè)算法的仿真試驗(yàn)，步驟如下：

首先，引入新的一組數(shù)據(jù)向量，與自體庫(kù)也就是所謂的記憶細(xì)胞匹配，如果在一定的閾值范圍內(nèi)匹配度很高，則認(rèn)為該向量為入侵行為，并把匹配度提升1；相反，如果匹配度不高，則找出記憶細(xì)胞里與之親和力較大的進(jìn)行權(quán)值的調(diào)整，達(dá)到兩者之間的最優(yōu)匹配度，然后把新的向量作為抗體集合加入到記憶細(xì)胞，重復(fù)操作，完成后統(tǒng)計(jì)結(jié)果。

檢測(cè)算法仿真程序如下：

上一頁(yè) 1 2 3 下一頁(yè)