基于计算机免疫的间谍软件自适应诱导与检测方法

摘要

本发明借鉴人体免疫系统中自然杀伤细胞（Natural Killer,NK）诱导潜伏病毒的原理，首次将其引入到计算机免疫系统（Artificial Immune System,AIS）中，提出了基于人工NK细胞的计算机免疫方法来自适应地发现潜伏的间谍软件。在该系统中，人工NK能通过学和演化，自适应地发现未知间谍软件存在的蛛丝马迹，并释放一些间谍软件感兴趣的“诱饵（诱导因子）”，引诱其实施恶意活动。之后，通过感知和关联这些被激发的恶意活动，免疫系统可以实现间谍软件的最终识别，从而提高间谍软件的检测率。本发明提出的方法能够发现已知和未知的间谍软件，尤其对隐蔽性强的间谍软件具有良好的检测效果。

主权项

一种基于计算机免疫的间谍软件自适应诱导与检测方法，其特征在于：包括以下周而复始执行的步骤：1)根据间谍软件行为的本质特征，从被监测系统中获取所有运行程序的隐藏外在表现、收集信息和泄露信息3类行为信息；2)在获取到程序行为信息后，根据一定的规则，将这些行为信息转换成计算机免疫系统能够识别的信号和抗原；3)模拟人体中的免疫机理，构建人工NK群体，它们能根据抑制信号和活化信号之间的平衡，发现系统中存在的异常情况；4)在发现异常的情况后，人工NK自身会被激活，并开始释放诱导因子，“设局”引诱间谍软件表现出明显的恶意活动；所述人工NK释放诱导因子的主要方式为模拟用户活动，包括按键、文件创建和删除、网页浏览、网络请求，模拟用户活动的类别决定了诱导因子的类型；每个诱导因子的作用过程通过至少2个周期完成，每个周期又先后分为诱导期和非诱导期2个等长的时间阶段，在诱导期，诱导因子模拟相应类别的用户活动；而在非诱导期，诱导因子不模拟用户活动；5)在释放诱导的同时，人工NK群体还会激活人工APC与其协同工作，人工APC群体能根据有诱导和无诱导时程序行为的差异，检测间谍软件，并根据检测的效果，向人工NK群体反馈诱导的作用效果，使人工NK种群能通过对反馈信息的学习，逐渐进化出较好的诱导方式。