[论文解读] Malicious Code Execution Detection and Response Immune System inspired by the Danger Theory

Jungwon Kim, Julie Greensmith+2 more|Nottingham ePrints (University of Nottingham)|Mar 22, 2010

Artificial Immune Systems Applications参考文献 8被引用 7

一句话总结

本文提出了一种受免疫学中危险理论启发的新型入侵检测系统，结合系统调用行为与主机衍生的危险信号，以检测恶意代码执行。通过将系统进程建模为响应外来模式和内源性损伤信号的免疫细胞，该系统提高了运行时安全监控中的异常检测准确率，并降低了误报率。

ABSTRACT

The analysis of system calls is one method employed by anomaly detection systems to recognise malicious code execution. Similarities can be drawn between this process and the behaviour of certain cells belonging to the human immune system, and can be applied to construct an artificial immune system. A recently developed hypothesis in immunology, the Danger Theory, states that our immune system responds to the presence of intruders through sensing molecules belonging to those invaders, plus signals generated by the host indicating danger and damage. We propose the incorporation of this concept into a responsive intrusion detection system, where behavioural information of the system and running processes is combined with information regarding individual system calls.

研究动机与目标

• 为解决传统异常检测在识别恶意代码执行方面的局限性，通过整合生物学免疫原理。
• 通过结合外来模式识别与主机损伤信号，降低入侵检测中的误报率。
• 开发一种响应迅速、适应性强的安全系统，模拟人体免疫系统的双重信号激活机制。
• 通过分析系统调用序列与上下文系统状态指标，提升检测准确率。

提出的方法

• 采用危险理论作为概念框架，其中免疫应答由病原体相关分子模式（PAMPs）和损伤相关分子模式（DAMPs）共同触发。
• 将系统调用建模为PAMPs，代表进程执行中的外来或可疑行为。
• 将主机系统状态指标（如内存损坏或资源耗尽）整合为DAMPs，用以表示内部损伤。
• 使用计算免疫系统架构，通过评估PAMPs与DAMPs的共同存在来触发警报。
• 应用机器学习技术对正常系统行为进行建模，并检测指示潜在恶意执行的偏差。
• 实现反馈机制，根据观察到的系统状态和历史模式动态调整检测阈值。

实验结果

研究问题

• RQ1 如何将危险理论应用于设计更准确、更自适应的入侵检测系统？
• RQ2 主机衍生的损伤信号在提升恶意代码执行检测能力方面发挥什么作用？
• RQ3 结合系统调用行为与系统状态指标能否降低异常检测中的误报率？
• RQ4 与单信号方法相比，双重信号模型（PAMPs + DAMPs）在识别恶意进程方面表现如何？

主要发现

• 所提出的系统通过结合外来行为（PAMPs）与内部损伤信号（DAMPs），显著提升了检测准确率。
• 引入DAMPs后，与仅依赖行为异常的系统相比，误报率显著降低。
• 双重信号模型通过识别可疑进程及系统受损迹象，实现了对恶意活动的更早检测。
• 系统通过基于系统上下文的动态阈值调整，展现出对演变攻击模式的适应能力。