2023年7月8日发(作者：)

《　《　嚣　魏　璧蓑　一种基于网络交全风险评估的入侵检测方法　陈恢明，陈文，梁刚　（四川Ｉ大学计算机学院，四ＪＩｌ成都６１００６５）　摘要：针对传统的入侵检测系统存在报警数量大、误报率高等缺陷，提出了一种基于网络安全风险评估的入侵检测方法，该　方法基于入侵检测结果，引入抗体浓度随入侵强度动态变化这一人工免疫理论的最新研究成果进行网络安全风险的计算，然　后根据当前网络面临的实时安全风险动态设置报警策略。实验结果表明，该方法能够实时、定量地计算主机和网络所面临的　风险，并极大地降低报警数量和误报率。　关键词：入侵检测系统；报警数量；风险评估；网络安全；误报率；人工免疫　Ａ　Ｍｅｔｈｏｄ　ｏｆ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　ｂａｓｅｄ　ｏｎ　Ｎｅｔｗｏｒｋ　Ｓｅｃｕｒｉｔｙ　Ｒｉｓｋ　Ａｓｓｅｓｓｍｅｎｔ　ＣＨＥＮ　Ｈｕｉ—ｍｉｎｇ，ＣＨＥＮ　Ｗｅｎ，ＬＩＡＮＧ　Ｇａｎｇ　（Ｃｏ／／ｅｇｅ　ｏｆ　Ｅｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，Ｓ／ｂｈｕａｎ　Ｕｎ／ｗｒｓ＃ｙ，Ｃｈｅｎｇｄｕ，Ｓ／ｂｈｕａｎ　６１００６５，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｒａｄｉｔｉｏｎａｌ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｆａｃｅｓ　ｔｈｅ　ｄｅｆｅｃｔｓ　ｏｆ　ｈｕｇｅ　ａｌａｒｍ　ｑｕａｎｔｉｔｙ　ａｎｄ　ｈｉｇｈ　ｆａｌｓｅ　ｐｏｓｉｔｉｖｅｓ　ｒａｔｅ．Ｉｎ　ｏｒｄｅｒ　ｔＯ　ｏｖｅｒｃｏｍｅ　ｔｈｅ　ｄｅｆｅｃｔｓ．ａ　ｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ　ｒｉｓｋ　ａｓｓｅｓｓｍｅｎｔ　ｂａｓｅｄ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｍｅｔｈｏｄ　ｉＳ　ｐｒｏｐｏｓｅｄ　ｉｎ　ｔｈｉｓ　ａｒｔｉｃｌｅ．Ｔｈｅ　ｍｅｔｈｏｄ　ｃａｌｃｕｌａｔｅｓ　ｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ　ｒｉｓｋ　ｕｓｅｓ　ｔｈｅ　ｌａｔｅｓｔ　ｒｅｓｅａｒｃｈ　ｒｅｓｕｌｔｓ　ｏｆ　ａｒｔｉｆｉｃｉａｌ　ｉｍｍｕｎｅ　ｔｈｅｏｒｙ，ｗｈｉｃｈ　ｍａｉｎｌｙ　ｉｎｃｌｕｄｅ　ｔｈａｔ　ｔｈｅ　ａｎｔｉｂｏｄｙ　ｃｏｎｃｅｎｔｒａｔｉｏｎ　ｃｈａｎｇｅｓ　ｄｙｎａｍｉｃ　ｗｉｔｈ　ｓｔｒｅｎｇｔｈ　ｏｆ　ｉｎｖａｓｉｏｎ　Ｔｈｅｎ　ｄｙｎａｍｉｃｌｙ　ｓｅｔ　ｔｈｅ　ａｌａｒｍ　ｓｔｒａｔｅｇｙ　ｂａｓｅｄ　ｏｎ　ｒｅａｌ－ｔｉｍｅ　ｓｅｃｕｒｉｔｙ　ｒｉｓｋｓ　ｆａｃｅｄ　ｂｙ　ｔｈｅ　ｃｕｒｒｅｎｔ　ｎｅｔｗｏｒｋ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｍｏｄｅｌ　ｃａｎ　ｃａｌｃｕｌａｔｅ　ｈｏｓｔ　ａｎｄ　ｎｅｔｗｏｒｋ　ｒｉｓｋ　ｉｎ　Ｐｅａ】ｔｉｍｅ　ａｎｄ　ｑｕａｎｔｉｔａｔｉｖｅ．ｔｈｅ　ａｌａｒｍ　ｑｕａｎｔｉｔｙ　ａｎｄ　ｔｈｅ　ｆａｌｓｅ　ｐｏｓｉｔｉｖｅｓ　ｒａｔｅ　ｉｓ　ｇｒｅａｔｌｙ　ｒｅｄｕｃｅｄ．　Ｋｅｙ　ｗｏｒｄｓ：ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ；ａｌａｒｍ　ｑｕａｎｔｉｔｙ；ｒｉｓｋ　ａｓｓｅｓｓｍｅｎｔ；ｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ；ｆａｌｓｅ　ｐｏｓｉｔｉｖｅｓ　ｒａｔｅ；ａｒｔｉｆｉｃｉａｌ　ｉｍｍｕｎｅ　０引言　网络入侵检测系统（ＮＩＤＳ）是一种对网络中传　输的数据包进行即时监视和分析，从丽对网络攻击　行为进行检测和报警的网络安全设备…。随着计算　机网络技术的飞速发展，网络攻击与入侵事件与日　俱增，曾经作为网络安全主要手段的防火墙已经不　能满足人们对网络安全的需求，作为防火墙之后的　第一道安全闸门，ＩＤＳ正成为必不可少的安全防护　工具。然而传统的ＩＤＳ捕获到的数据包特征与任意　ＩＤＳ规则相匹配都会触发报警，连续运行的ＩＤＳ报　警数量非常大，据统计，最多的时候有９９％以上是　无关报警　。这些报警信息大部分都是误报，即把　正常的网络活动当成是入侵行为，误报率高是ＩＤＳ　等通过对ＩＤＳ中ａｌｅｒｔ信息的过滤处理提出一种降　低误报率的方法，该方法对报警信息进行特征统计　分析并提取真正攻击产生的报警的特征，但是由于　该方法仅针对ＩＤＳ的ａｌｅｒｔ信息进行后期处理，所　以缺乏实时性。Ｄｅｗａｎ　等提出了使用ＮＢＴＦｅｅ　提高ＩＤＳ检测率和降低误报率的方案，该方案将　混合了决策树和贝叶斯分类器的自适应贝叶斯树　ＮＢＴｒｅｅ应用于ＩＤＳ，结合了决策树在复杂、动态　的大规模入侵检测数据集环境下的高检测效率和　贝叶斯分类器在其他环境下的良好分类效果的优　点，实验证明该方案能够有效降低ＩＤＳ的误报率。　Ｇａｎｇ　Ｗａｎｇ　等提出一种基于人工神经网络和模糊　聚类的入侵检测方法，基于该方法的入侵检测系统　的一个普遍问题。如何实时定量地描述网络所面临　的威胁状况，减少虚假报警数量、降低ＩＤＳ的误报　率有重要的实用意义　。　有较高的检测率、小误报率和良好的稳定性。上述　方法均集中于ＩＤＳ检测规则本身进行优化以降低误　报率和报警数量，忽略了网络面临的实时风险，因　而对ＩＤＳ检测性能的提升有限。研究表明　当网络　目前国内外专家学者对ＩＤＳ报警量大、误报率　高这・问题进行ｒ深入的研究和探讨。Ｇｅｏｒｇｉｏｓｓ　安全风险较低时，入侵检测的误报数量较多，因此　基金项目：教育部重大项目培育基金７０８０７５　国家自然科学基金６１　１　７５１　５９；四川大学青年教师科研启动基金２０１　１　ＳＣＵ１　１　０８６　２　０　ｊ　２　０　７圈圈题圈。　０　，　Ｓ　‘　ｆ　根据网络面临的实时安全风险动态设置ＩＤＳ的报警　策略，将有效地降低报警数量和误报率。　实时的网络安全风险评估作为下一代网络安全　防御的关键技术受到国内外专家学者的普遍关注。　Ｙａｃｏｖ　对风险评估和风险管理模型做了综述，提　出了层次化全息风险评估模型和多对象决策树分析　等风险分析方法。Ｈａｓｌｕｍ　等基于分布式入侵防御　系统，提出一种基于模糊逻辑的在线风险评估模型，　运用隐马尔可夫模型预测网络风险，以保护本地资　产不被攻击和滥用，然而上述方法缺乏定量地计算　网络安全风险的手段。文献［１０】通过分析基于隐马　尔卡夫模型的实时网络安全风险量化方法配置复杂、　评估容易出现误差等问题，提出了利用遗传算法来　自动求解隐马尔卡夫模型中的矩阵参数的优化方法，　然而这种方法计算量大而且实现复杂。　本文针对传统ＩＤＳ报警数量大、误报率高的　缺点　”提出了一种基于网络安全风险评估的入　侵检测方法（Ａ　Ｍｅｔｈｏｄ　ｏｆ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｂａｓｅｄ　Ｏｉｌ　Ｎｅｔｗｏｒｋ　Ｓｅｃｕｒｉｔｙ　Ｒｉｓｋ　Ａｓｓｅｓｓｍｅｎｔ，　ＭＮＳＲＡ），该方法运用人工免疫理论中的抗体浓度　模型进行网络安全风险的实时计算，然后根据当前　网络面临的实时安全风险动态设置报警策略，以降　低报警数量和误报率。　１风险评估模型理论要素　１．１免疫模型的基本定义　定义１记忆细胞　本模型将ＩＤＳ的检测规则抽象为记忆细胞，记　忆细胞依据其识别的入侵种类被划分为不同的类别，　由此建立记忆细胞种类与网络风险类别之间的对应　关系。把ＩＤＳ每类规则抽象成人工免疫模型　里　的记忆细胞。　定义２抗体浓度　记忆细胞的浓度值。每个记忆细胞的初始浓度定　义为，７ｌ，如果ＩＤＳ的规则被匹配，那么这条规则对　应的记忆细胞的抗体浓度增加，否则进行浓度衰减。　定义３衰减周期　《　《》　藿ｊ　囊ｊ　如果记忆细胞在　周期内没有被再次克隆，相　应的抗体浓度要逐渐衰减至０，表明危险已解除，　这类威胁被清除。　定义４风险值　根据人工免疫理论，运用免疫模型计算出的主　机和网络的量化风险值，有助于网络管理员理解网　络的安全趋势和规律，以便做出相应的响应措施。　１．２　ＭＮＳＲＡ体系架构　本文所涉及的ＭＮＳＲＡ的体系结构如图１所示。　主要由五部分组成：数据包捕获模块、预处理模块、　数据包检测模块、网络风险实时评估和报警模块。　其中数据包捕获模块负责接收网络主干道上流经的　网络数据包；预处理模块对数据包进行ＩＰ分片重组、　ＴＣＰ流重组等预处理工作；数据包检测模块把预先　定义的规则和数据包进行模式匹配；网络风险实时　评估模块根据数据包检测模块的检测结果，运用人　工免疫理论实时定量地计算整个网络所面临的风险，　此模块是整个系统的核心模块；报警模块根据风险　评估的计算结果，运用阈值报警策略进行报警操作。　图１　ＭＮＳｇＡ体系结构图　耋　２网络安全风险评估流程　网络安全风险评估的总体流程如图２所示。　Ｉ　盾　数据包捕获Ｈ．——　二二ｊ［二二　　Ｊ植测　ｊ擎Ｌ～…。　：如厂—　—一　浓度值计算【　　ＩＬ丁　风险值计算　风险值输出　］二二　。　。～　Ｌ一—　目值过滤　图２网络安全风险评估总体流程图　总流程分为两个并行的子模块：包处理模块和　２　０　１　２．１　０　蕊　ｉ＝Ｉ豳　８　ｗｗｗ　ｎｓｃｏｒ９　ｃ　麓　ｊ　风险评估模块。包处理模块对数据包进行特征检测，　主要负责循环抓取数据包并进行特征匹配。风险评　估模块根据包处理模块的检测结果每隔　计算网络　风险，根据计算结果报警。初始化阶段完成以下工　作：设置初始浓度　，奖励因子　，衰减周期　的初始值，配置每类攻击的危害性权重　和每台主　机的资产权重　，把每类攻击的初始浓度值和衰减　步长初始化为０。除此之外，ＩＤＳ还要完成检测数　据包前的所有准备工作，如检测引擎初始化、命令　行解析等。　当包检测模块检测到一条攻击，就会触发对　该类攻击信息的标记，记录下数据包的攻击特征　ｓｈ／　ｃ　，，其中ＩＰ是攻击包的目的ＩＰ地址，　ｓｉｃ／是攻击匹配到的规则号，Ｃ是攻击类别。这个　攻击特征三元组供风险评估模块使用。　浓度计算模块每隔　进行抗体浓度计算，该　模型存储网络中每个主机的所有攻击类型的浓度　值，其初始浓度值都为零。进行浓度计算时，对存　储的每个主机的每类攻击进行扫描，如果这类攻击　在厂．内被包处理模块检测到而且被标记，就根据公　式（１）进行浓度增加操作，同时利用公式（２）把衰　减步长数清零。其中ｐ（ｔ）为ｔ时刻记忆细胞的浓度，　ｓｔｅｐ（ｔ）为　时刻抗体浓度衰减步长。　ｉ　（　）＝，７：＋，７：’ｐ（ｔ一１）　（１）　１　，　㈤：０　（２）　否则用公式（３）进行浓度衰减操作，同时利用　公式（４）将攻击衰减步长累加ｌ，其中　是抗体浓　度的衰减周期。　（３）　ｆ４）　风险值的计算是在浓度计算完成以后，根据公　式（５）和公式（６）计算主机力在　时刻第／类攻击风　险值ＮＲ　和主机１２的整体风险值ｒａ（ｔ）。其中　＋　表示主机上第　类攻击的危害性。　（ｆＪ－＝０表明主机　当前处于正常状态，ｒｎｆｔ）　１表明主机处于极度危险　Ｕ　ｌ　ｌ　Ｕ　９圈Ｉ＝＝｜＝Ｉ圈　４　ｒ　Ｃ　０｛　３（’、　状态。　ｒ∽　斋一　（５）　　－’　）＝一÷一一　１＋Ｐ暑　ｆ６）　在　时刻网络所面临的第　类攻击风险值蝴　和网络整体风险　（　）根据公式（７）和公式（８）计算　得来。其中　表示第　个主机的资产重要性，　）　表示第七个主机的第　类风险值，　）是第五个主　机的整体风险值。　２　（　＝——　一１　『　”ｒ。　｝　ｌ　ｅ　（，）：一—　—一一１　１上口　＝，　　“　（８）＼ｕ，　网络风险的计算过程是首先计算各个主机遭受　每类攻击的风险值，然后计算主机的整体风险值，　进而计算子网、总网的分类风险值和总体风险值，　从下到上层次化计算。风险计算完成以后对把风险　值输出到前台，同时写入风险历史记录，方便系统　管理员根据风险值对入侵行为进行响应。　３　ＩＤ￥报警策略　为了有效解决ＩＤＳ报警数量大、误报率高的问　题，本文提出一种基于网络安全风险评估结果的报　警策略。　定义报警阈值　作为报警模块闽值报警策略的依据。如果第　类攻击的风险值超过报警阈值，报警模块对该类攻　击进行报警；否则如果风险值低于此阈值，不对此　类攻击进行报警，表示系统对此类攻击的容忍度。　记主机ｈ的网络风险阈值为Ｒ　，记网络力的网络风　险阂值为Ｒ　。　公式（９）用于描述主机白的报警策略，当主机　ｈ的整体风险值，＿ｈ（，大于Ｒ　而且主机的第　类风险　值　∽大于主机所有攻击风险的平均值，表明主机　的危险度已经威胁到了主机的正常运行，而且主机　中第　类攻击已经对主机产生威胁，对满足条件　的攻击进行报警，否则忽略此次攻击行为不对其进　０Ｍ《　　Ｐ匿Ｊ｜髓］　：　曩鬻　｜　＿■匮ｅ：曩　■　行报警。其中Ｉ表示攻击分类种数。　ｊ　（，）≥咫（０＜Ｒ　＜１）．Ａａｔｄ　一（　　。　，（ｆ））　Ｊ　一一　Ｅｌｓｅ　Ｐｄｓｓ　（９）　其中三—　表示主机中分类风险的平均值，　Ａｌｅｒｔ表示对主机的这类攻击进行报警，　ｓｓ表示　忽略这类攻击。　类似的，对于整个网络，报警策略如下：网络　ｎ的整体风险值　㈦大于霞　而且网络的第ｉ类风险　值ＮＲ　（０大于此网络所有攻击风险的平均值，表明网　络的危险度已经威胁到了网络的正常运行，而且网　络／／中第　类攻击已经对网络整体产生威胁，对满　足条件的攻击进行报警，否则忽略此次攻击行为不　对其进行报警。具体定义见公式（１０）。　ｆ　ＮＲ（Ｏ　２Ｒ　（０＜Ｒ　１）Ａｎｄ　ＮＲ　（　）　（１０）　ｌＮＲ（，）　—　——一Ｔｈｏ｝　｛　一　，　Ｅｌ５ｅ　Ｐａｓ　ｓ　ｉ　其中　ｗ　ｅ，，表示网络中分类风险的平均值，　Ａｌｅｒｔ表示对网络的这类攻击进行报警，Ｐａｓｓ表示　忽略这类攻击。　阈值过滤模块根据风险评估模块的风险值计算　结果对ＩＤＳ的报警信息过滤，对于低于阈值的攻击，　将不会报警，否则会写一条报警信息到ａｌｅｒｔ文件。　此模块能够有效减少ＩＤＳ的虚假报警数量，从而降　低系统的误报率。　４实验与分析　本文将ｓｎｏ　ｒｔ的规则抽象为记忆细胞并给每条　规则增加一个浓度域，ＩＤＳ的规则按照其匹配攻　击的类别分为ｏｖｅｒｆｌｏｗ、ｓｃａｎ、ｄｏｓ和ｉｃｍｐ等３４　类。为验证本文提出的ＭＮＳＲＡ的有效性，运用　ｘ８６架构ＰＣ机搭建模拟实验平台，该平台运行　ｕｂｕｎｔｕ　１０．１０操作系统，包含ｉｎｔｅｌ双核ＣＰＵ，主　频２．９３ＧＨＺ，２Ｇ内存，３２０Ｇ硬盘，运行网络安　全风险评估系统。实验中有两台受保护主机Ａ和　Ｂ，其中Ａ运行ｕｂｕｎｔｕ　１　１．０４，运行有Ｔｅｌｎｅｔ和　Ａｐａｃｈｅ服务，主机Ｂ是运行ＣｅｎｔＯＳ５．０的普通个　人Ｐ　Ｃ，Ａ和Ｂ处于同一个子网。主机Ａ的资产权　重。．＝ｏ　６，主机Ｂ的资产权重设为　０　４。另有一台主　机Ｃ装有Ｗｉｎｄｏｗｓ　ＸＰ系统，其上运行ＢＬＡＤＥ　ｓｏｆｔｗａｒｅ公司的Ｂｌａｄｅ　ＩＤＳ　Ｉｎｆｏｒｍｅｒ　４．０程序，　负责向两台受保护主机发送攻击数据包。在实验的　网络环境中，初始浓度、奖励因子和衰减周期分别　设定如下：玑＝０　００２，　ｏ　９９８，）￣＝１０００，这三个参数　根据实验调整所得。风险计算时间间隔　设为１秒。　实验的评价标准误报率如式（Ｉ　Ｉ）所示：　ＦＰＲ＝ｃｌ一　Ⅳ　。ｏ０。　（１Ｉ）“，　定义误报率ＦＰＲ为入侵检测系统中虚假报警　数量占总报警数量的百分比，其中Ｌｓ　Ⅳ（Ｔｒｕｅ　Ａｌａｒｍ　Ｎｕｍｂｅｒ）为正确的报警数量，即会对系　统产生威胁的报警数量，　（Ｔ０ｔａｌ　Ａｌａｒｉｆｔ　Ｎｕｍｂｅｒ）为ＩＤＳ的报警总数量。　攻击机Ｃ向受保护的主机Ａ、Ｂ同时发送　ＢａｃｋＤｏｏｒ和ＨＴＴＰ攻击，这两类攻击的权重分别　设为　。ｌ５，　Ｏ．３。攻击持续两分钟，实验测得　主机Ａ的总体风险和Ａ和Ｂ所在的整个网络的风　险结果见图３。　图５攻击曲线和风险值曲线　从图３可知，主机Ａ和主机Ａ、Ｂ所在的网络　的风险值随着攻击强度的增加而上升，随着攻击强　度的减小而下降，而且风险值在０到ｌ问不断变化，其　中０表示安全状态，ｌ表示极度危险状态。这说明系统　能够实时定量计算主机和网络当前面临的风险。　为了验证本文提出的风险评估模型减少报警数　量、降低误报率的能力，针对受保护主机Ａ进行攻　２　０　１　２　１　０　厨翻　图ｌ１０　ＷＷＷ　ｎｓＣ　Ｏｆ９　ｃｎ　Ｃ　》髓Ｐ　《’　击测试。在模拟实验平台Ａ上安装两个ＩＤＳ，一个　添加风险评估模块，采用本文提出的ＭＮＳＲＡ方法　并动态阈值设置策略，记为ＭＮＳＲＡ版本。一个为　标准版本ＳＴＤ，没有添加风险评估模块，以作为对　比。把它们都设置为混杂模式使两者都能够捕获到　主机Ａ上昕有的数据包，设主机Ａ整体风险的阈　值ＲＡ和网络的整体风险的阈值Ｒ１＂１都设置为０．１，　连续运行６０分钟，前２０分钟不发送攻击包，这时　报警信息来自网络环境本身少量报警，２０分钟到　４０分钟用ｂｌａｄｅ向主机Ａ持续发送ＢａｃｋＤｏｏｒ攻击　包，每秒发送１００个攻击包，最后２０分钟停止发包。　两者产生的报警数量如图４所示。　图４报警数量对比图　由图４可知，在０－２０分钟和４０－６０分钟这两　段时间内，没有发生攻击行为，相对于没有阈值报　警策略模块的ＳＴＤ版本的ＩＤＳ，采用闽值报警策　略的ＭＮＳＲＡ版本的ＩＤＳ也存在虚假报警，但是　其虚假报警数量低于ＳＴＤ版本，所以其报警质量　高１二前者。在２０－４０分钟内持续发送ＢａｃｋＤｏｏｒ攻　击，２Ｏ分钟一共发送ｌ２００００个攻击包，每次攻击　发送２５４个包，所以一共约４７３次攻击，根据图　４中两者的报警记录和公式（１１）可以计算出ＳＴＤ　版本的ＦＰＲ为９５．４％，ＭＮＳＲＡ版本的ＦＰＲ为　ｌ０．２％。实验表明该模型能够大幅度降低入侵检测　系统的误报率，同时采取阈值报警策略的ＩＤＳ能够　大幅度减少报警数量。　～一一　一一一５结束语　传统的入侵检测系统对激活任意检测规则的数　据包都进行报警，从而产生大量的虚假报警信息　和误报。针对此问题，本文提出了ＭＮＳＲＡ方法。　＾一　…　１１　弱　瓤嘲　　。一“ｎ　一ｔＨｑ　Ｃ　－　ＭＮＳＲＡ根据ＩＤＳ的入侵检测结果，运用人工免疫　理论抗体浓度模型计算网络所面临的实时风险，动　态设置报警。实验结果表明，ＭＮＳＲＡ能够实时定　量地计算整个网络所面临的风险，并有效地降低虚　假报警的数量和误报率。　　【８］Ｙ一　　ａ　ｃｏｖ　Ｙ．Ｈ一一　　ａｉｍ　ｅ　ｓ．ｇｉ～　ｓｋ　～Ｍｏ　一ｄｅ１ｉ一ｎ　ｇ，　Ａ　ｓ　ｓ一　ｅ　ｓ　ｓ　ｒ～ｒ　ｌｅｎｔ，一　ａｎ　ｄ　Ｍａｎａｇｅｍｅｎｔ［Ｍ】．Ｗｉｌｅｙ　Ｓｅｔｉｅ　ｓ　ｉｎ　Ｓｙ　ｓｔ　ｅｍ　ｓ　Ｅ　ｎｇｉｎｅｅ　ｒｉｎｇ　ａ　ｎｄ　Ｍａｎａｇｅｍｅｎｔ，２００９，５：９０－－４２６　ｆ９】Ｋｊｅｔｉｌ　Ｈａ　ｓｌｕｍ，Ａｊｉｔ　ｈ　Ａｂ　ｒａｈａｍ　ａｎｄ　Ｓｖｅｉｎ　Ｋ　ｎａｐｓｋ　ｏｇ．　Ｆｕ　ｚ　ｚｙ　ｏ　ｎＩｉ　ｎ　ｅ　ｒｉ　ｓｋ　ａ　ｓ　ｓ　ｅ　ｓ　ｓｍｅ　ｎｔ　ｆｏ　ｒ　ｄｉ　ｓｔ　ｒｉｂｕｔ　ｅ　ｄ　ｉ　ｎｔ　ｒ　ｕ　ｓｉ　ｏ　ｎ　ｐｒｅｄｉｃｔｉｏｎ　ａｎｄ　ｐｒｅｖｅｎｔｉｏｎ　ｓｙｓｔｅｍｓ［Ｊ］．Ｃｏｍｐｕｔｅｒ　Ｍｏｄｅｌｉｎｇ　ａｎｄ　一～一《》激　嚣　：嘲Ｓｉｍｕｌａｔｉｏｎ．２００８：２１　６—２２　．　ｆｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ　Ｂａｓｅｄ　ｏｎ　Ａｒｔｉｆｉｃｉａｌ　ｉｍｍｕｎｅ　Ｍｏｄｅｌ［ｊ】．　［１　０］ＬＩ　Ｗｅｉ—Ｍｉｎｇ，ＬＥＩ　Ｊｉｅ，ＤＯＮＧ　Ｊｉｎｇ，Ｌ】Ｚｈｉ—Ｔａｎｇ．　Ａ　ｎ　０Ｐｔｉｍｆ　ｚｅｄ　Ｍｅｔｈｏｄ　ｆｏ　ｒ　Ｒｅａ　Ｊ　Ｔｉｍｅ　Ｎｅｔｗｏ　ｒｋ　Ｓｅｃｕ　ｒｆｔｙ　Ｊｏｕｒｎａｌ　ｏｆ　Ｊｉｌｉｎ　ｕｎｉＶｅｒｓｆｔｙ（ｓｃｉｅｎｃｅ　Ｅｄｉｔｉｏｎ），２　０　１　０，４８（１）：６　７—７２．　［胡亮，王程明，赵阔，努尔布力，姜千．基于人工免疫模　型的入侵检测系统中检测器生成算法的分析与改进［Ｊ］．吉　林大学学报：理学版，２０１　０，４８（１）：６７—７２．】　［１　４］ＰＥＮＧ　Ｌｉｎｇ—ｘｉ，ＣＨＥＮ　Ｙｕｅ—Ｆｅｎｇ，ＬＩＵ　Ｃａｉ—ｍｉｎｇ，ＺＥＮＧ　Ｊｉｎ－－ｑｕａｎ，ＬＩＵ　Ｓｕｎ－－ｊｕｎ，ＺＨＡＯ　Ｈｕｉ．Ｄａｎｇｅｒ　Ｔｈｅｏｒｙ　Ｂａｓｅｄ　Ｎｅｔｗｏｒｋ　Ｑｕａｎｔｉｆｉｃａｔｉｏｎ［Ｊ】．Ｃｈｉｎｅｓｅ　ｊｏｕｒｎａｌ　ｏｆ　ｃｏｍｐｕｔｅｒｓ．２００９，３２（４）：７９１—　８０３．［李伟明，雷杰，董静，等．一种优化的实时网络安全　风险量化方法［Ｊ］．计算机学报，２００９，３２（４）：７９１—８０３．】　［１　１】ＣＨＥＮ　Ｔｉａｎ—ｐｉｎｇ，ＸＵ　Ｓｈｉ—ｊｕｎ，ＺＨＡＮＧ　Ｃｈｕａｎ－－ｒｏｎｇ，ＺＨＥＮＧ　Ｌｉａｎ－ｑｉｎｇ．Ｅｉｓｋ　Ａｓｓｅｓｓｍｅｎｔ　Ｍｅｔｈｏｄ　ｆｏｒ　Ｎｅｔｗｏｒｋ　Ｓｅｃｕｒｉｔｙ　Ｂａｓｅｄ　ｏｎ　ｇｉｓｋ　Ｅｖａｌｕａｔｉｏｎ　Ｍｏｄｅｌ［Ｊ】．Ｊｏｕｒｎａｌ　ｏｆ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｅｌｅｃｔｒｏｎｉｃ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ［Ｊ］．Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，２０　１　０，４８（１）：９４－－９　６．［陈天平，许世军，张串绒，郑连清．基于攻击检测的网　络安全风险评估方法［Ｊ］．计算机科学，２０１　０，４８（１）：９４—９６．】　【１　２］ＸＵ　Ｂｉｎ，ＺＨＵＡＮＧ　Ｙｉ．Ａｄａｐｔｉｖｅ　Ｉｍｍｕｎｅ　Ａｌｇｏｒｉｔｈｍ　Ｂａｓｅｄ　ｏｎ　Ｄａｎｇｅｒ　Ｔｈｅｏｒｙ［Ｊ］．Ｊｏｕｒｎａｌ　ｏｆ　Ｓｉｃｈｕａｎ　Ｕｎｉｖｅｒｓｉｔｙ：Ｅｎｇｉｎｅｅｒｉｎｇ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　ｏｆ　Ｃｈｉｎａ，２００７，５６（６）：１　９９８－－２Ｏ０１．［彭　凌西，陈月峰等．基于危险理论的网络风险评估模型［Ｊ］．　电子科技大学学报，２００７，３６（６）：１　９９８－－２００１．】　作者简介：陈恢明（１　９８７一），男，硕士研究生，主要研究　领域为信息安全与并行计算；陈文（１　９８３一），男，博士，　讲师，研究方向为计算机网络安全；梁刚（１　９　７６一），男，　博士，讲师，研究方向为计算机网络安全。　Ｓｃｉｅｎｃｅ　Ｅｄｉｔｉｏｎ，２０１　１，４８（１）：１　２５—１　５２．［许斌，庄毅．基于危　险理论的自适应免疫算法［Ｊ］．四川大学学报：工程科学　版，２０１１，４８（１）：１　２５—１　３２．Ｊ　［１　５】ＨＵ　Ｌｉａｎｇ，ＷＡＮＧ　Ｃｈｅｎｇ—ｒａｉｎ，ＺＨＡＯ　Ｋｕｏ，Ｎｕｒｂｏｌ，ＪＩＡＮＧ　Ｑｉａｎ．　ｇｅｓｅａｒｃｈ　ａｎｄ　Ｉｍｐｒｏｖｅｍｅｎｔ　ｏｆ　Ｄｅｔｅｃｔｏｒ　Ｇｅｎｅｒａｔｉｏｎ　Ａｌｇｏｒｉｔｈｍ　ｉｎ　收稿日期：２０｛２－０６—０４　（上接第６页）　概念与设计［Ｍ】．北京：机械工业出版社，２ＯＯ４．２１—１　５２．　［１　１］刘仕一，　李涛，　刘哲奇，李峰．　异地备份系统　数据一致性检测方法［Ｊ】．计算机工程与设计，２０１　０，　５１（１　７）：５７６６－－３７６８．（ＬＩＵ　Ｓ　ｈｊ—Ｙｉ，Ｌｌ　Ｔａ　ｏ、ＬＩＵ　Ｚ　ｈ　ｅ—　ｇｅ　Ｌｆ　Ｆｅｎｇ．Ｄａｔａ　ｃｏｎｓｉｓｔｅｎｃｙ　ｃｈｅｃｋｉｎｇ　ｍｅｔｈｏｄ　ｉｎ　ｒｅｍｏｔｅ　［５］Ｍａｒｋｏ　Ｂｏｇｅｒ．Ｊａｖａ与分布式系统［Ｍ】．北京：机械工业出版　社．２００５．５１－－５９．　［６］Ｊ　Ｍａｎｃｈｅｓｔｅｒ，Ｄ　Ｓａｈａ，Ｓ．Ｋ　Ｔｒｉｐａｔｈｉ．Ｇｕｅｓｔ　ｅｄｉｔｏｒｉａｌ－　Ｐｒｏｔｅｃｔｉｏｎ，ｒｅｓｔｏｒａｔｉｏｎ，ａｎｄ　ｄｉｓａｓｔｅｒ　ｒｅｃｏｖｅｒｙ［Ｊ】．ＩＥＥＥ　Ｎｅｔｗｏｒｋ，　２００４，１　８（２）：３－４．　［７］ＬＡＷＬＥｇ　Ｃ　Ｍ，ＳＺＹＧＥＮＤＡ　Ｓ　Ａ，ＴＨ０ｇＮＴＯＮ　Ｍ　Ａ．Ｔｅｃｈｎｉｑｕｅｓ　ｂａｃｋｕｐ　ｓｙｓｔｅｍ［Ｊ］．Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　ａｎｄ　Ｄｅｓｉｇｎ，２Ｏ　１　０，　５】（１　７）：３７６６－－３７６８．）　［１　２］陈鹏，杨频，赵奎，李雯，吕若楠，仲慧慧．一种远　程容灾系统的设计与实现．　计算机工程与设计，２Ｏ１　１年　１　０期．（ＣＨＥＮ　Ｐｅｎｇ，ＹＡＮＧ　Ｐｉｎ，ＺＨＡＯ　Ｋｕｉ，ＬＩ　Ｗｅｎ，ＬＶ　ｇｕｏ－　ｎａｎ．ＺＨＯＮＧ　Ｈｕｊ—ｈｕｉ．Ｄｅｓｉｇｎ　ａｎｄ　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　ａ　ｇｅｍｏｔｅ　Ｄｉｓａｓｔｅｒ　Ｔｏｌｅｒａｎｔ　Ｓｙｓｔｅｍ，Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　ａｎｄ　Ｄｅｓｉｇｎｆ　ｏ　ｒ　ｄｉ　ｓａ　ｓｔｅ　ｒ　ｔｏｌｅ　ｒａ　ｎｔ　ｉｎｆｏ　ｒｍａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ　ｓｙ　ｓｔ　ｅｍｓ［Ｃ］．　Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１　ｓｔ　Ａｎｎｕａｌ　２　０　０　７　ＩＥＥＥ　Ｓｙｓｔｅｍｓ　ＣｏｎｆｅｒｅｎｃｅＨｏｎｏｌｕｌｕ，ＨＩ，Ｕｎｉｔｅｄ　Ｓｔａｔｅｓ，２００７：３５５－５３８．　．　［８］Ｃｈａｄ　Ｌ，Ｍｉｃｈａｅｌ　Ｈ．Ｃ　ｏｍｐｏｎｅｎｔ　ｓ　ｏｆ　ｄｉｓａ　ｓｔｅ　ｒ—ｔ　ｏｌｅ　ｒａｎｔ　ｃｏｍｐｕｔｉｎｇ：ａｎａｌｙｓｉｓ　ｏｆ　ｄｉｓａｓｔｅｒ　ｒｅｃｏｖｅｒｙ．１Ｔ　ａｐｐｌｉｃａｔｉｏｎ　ｄｏｗｎｔｉｍｅ　，　２０１　１，１　０）　ａｎｄ　ｅｘｅｃｕｔｉｖｅ　ｖｉｓｉｂｉｌｉｔｙ［Ｊ】．Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｊｏｕｒｎａｌ　ｏｆ　Ｂｕｓｉｎｅｓｓ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｙｓｔｅｍｓ．２００８．３（３）：５　１　７－３３　１．　作者简介：王鸿（１　９８７一），男，硕士研究生，主要研究方　向为计算机网络与信息安全杨频（１　９６７），男，副教授，　硕士生导师，主要研究方向为计算机网络与安全。　［９］Ｔｅｓｔａ　Ｓ，Ｃｈｏｕ　Ｗ．Ｔｈｅ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｄａｔａ　Ｃｅｎｔｅｒ：Ｆｒｏｎｔ　ｅｎｄ　Ｓｏｌｕｔｉｏｎｓ［Ｊ］．ＩＴ　Ｐｒｏｆｅｓｓｉｏｎａｌ，２００４，６（３）：２６—５２．　［１　０］Ｐｅｔｅ　ｒ　Ｆａｌｌａ　ｒａ．Ｄｉ　ｓａ　ｓｔｅ　ｒ　Ｐ￣ｅｃｏｖｅ　ｒｙ　Ｐｌａ　ｎ　ｎｉ　ｎｇ［Ｊ］．１ＥＥｋ　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　Ｍａｇａｚｉｎｅ，２００４，２２（５）：４２－－４４．　收稿日期：２０１　２～０６一Ｏ４　２　０｛２，１　Ｏ　闹口圈豳　２　ｗｗｗ　ｎｓＣ　Ｏ　ｒｇ　ＣＤ