张福勇

(东莞理工学院　计算机学院， 广东东莞　523808)



人工免疫算法在恶意代码检测中的应用研究

张福勇

(东莞理工学院计算机学院， 广东东莞523808)

随着恶意代码复杂度的提高，要求恶意代码检测方法不仅能实现高效的检测，而且要具有很好的鲁棒性来应对可能出现的迷惑检测策略。研究了“两代”人工免疫算法——否定选择算法(NSA)和树突细胞算法(DCA)，在运行时恶意代码检测中的应用。通过捕获程序运行时产生的IRP请求序列来实现恶意代码的检测。实验结果表明，NSA是一种有效的运行时恶意代码检测方法，而DCA的检测结果存在很大的不确定性。

人工免疫系统，恶意代码检测，否定选择算法，树突细胞算法

恶意代码的数量增加之快已使得传统的检测方法不能满足需求[1]。因此，安全专家将注意力集中到了更高效和更具鲁棒性的运行时恶意代码检测技术上，通过分析程序运行时的行为来区分正常程序和恶意代码。

人工免疫系统(Artificial Immune System, AIS)是受生物免疫系统(Biological Immune System, BIS)启发而产生的智能计算方法。AIS发展初期主要是模仿适应性免疫系统而产生的自体/非自体(Self/Nonself)理论。Forrest等人[2]根据自体/非自体思想提出了否定选择算法(Negative Selection Algorithm, NSA)，用于异常进程的检测。近年来，出现了新一代AIS——受内在免疫系统启发而产生的树突细胞算法(Dentritic Cell Algorithm, DCA)[3]。

对两代AIS在恶意代码检测中的优缺点进行研究，分析了在不同检测环境下两代AIS的检测率。文章第1部分介绍了两代AIS在异常检测中的应用情况；第2部分对两代AIS算法进行了介绍；……