陈岳兵，冯超，张权，唐朝京

(1.总参第六十一研究所，北京 100141；2.国防科技大学 电子科学与工程学院，湖南 长沙 410073)

1 引言

人体免疫系统保护人体免受各种病原体的入侵，为入侵检测系统提供了丰富的启发。研究者应用免疫学原理来设计智能计算范例，逐渐发展成一个新的研究领域，称为人工免疫系统[1]。研究者分别基于否定选择机制和危险模型[2]提出了 NSA和DCA[3]。2种算法都可以用于入侵检测，但前者可用性欠佳，后者检测性能偏低，在应用方面都有局限性。

在入侵检测研究中，追求高检测率、低误报率[4]和快速的检测速度。根据检测方法不同，分为误用检测和异常检测。误用检测又称为特征检测，它是通过对已知入侵的研究，提取攻击的特征形成特征集合，利用这些特征集合对当前的数据进行各种处理后，再进行特征匹配工作，如果匹配成功，则判定为入侵。该方法能够很好地检测已知的入侵，具有检测率高、误报率低和检测速度快等特点，缺点是它不能检测未知的入侵。当有未知的入侵出现的时候，模式库必须随之更新，给系统的维护管理带来困难。异常检测又称为基于行为的检测，它是利用与系统行为相关的一些统计量来构造正常的行为模式[5]，如果待检测行为偏离正常行为，则判定为入侵。该方法存在统计量选取困难、异常阈值确定困难、误报率较高的问题，但是它能对未知的入侵进行检测。

本文对危险模型进行了分析，指出否定选择机制和危险模型两者之间并不矛盾:在危险模型中，否定选择机制和危险性判别机制在不同的位置发挥各自的作用，两者协作完成检测和应答。……