Artificial Immune System

1 - Artificial Immune System: Applications in Computer Security [Seite 1]
1.1 - Contents [Seite 9]
1.2 - List of Figures [Seite 15]
1.3 - List of Tables [Seite 19]
1.4 - Preface [Seite 21]
1.5 - Acknowledgments [Seite 27]
1.6 - About the Author [Seite 29]
1.7 - Chapter 1: Artificial Immune System [Seite 31]
1.7.1 - 1.1 Introduction [Seite 31]
1.7.2 - 1.2 Biological Immune System [Seite 32]
1.7.2.1 - 1.2.1 Overview [Seite 32]
1.7.2.2 - 1.2.2 Adaptive Immune Process [Seite 32]
1.7.3 - 1.3 Characteristics of a Biological Immune System [Seite 34]
1.7.4 - 1.4 Artificial Immune System [Seite 35]
1.7.5 - 1.5 Artificial Immune System Models and Algorithms [Seite 37]
1.7.5.1 - 1.5.1 Negative Selection Algorithm [Seite 37]
1.7.5.2 - 1.5.2 Clonal Selection Algorithm [Seite 39]
1.7.5.3 - 1.5.3 Immune Network Model [Seite 41]
1.7.5.4 - 1.5.4 Danger Theory [Seite 41]
1.7.5.5 - 1.5.5 Immune Concentration [Seite 42]
1.7.5.6 - 1.5.6 Other Methods [Seite 44]
1.7.6 - 1.6 Characteristics of the Artificial Immune System [Seite 44]
1.7.6.1 - 1.6.1 Distributed Detection [Seite 45]
1.7.6.2 - 1.6.2 Detection of Abnormality [Seite 45]
1.7.6.3 - 1.6.3 Learning and Memory [Seite 45]
1.7.6.4 - 1.6.4 Diversity [Seite 45]
1.7.6.5 - 1.6.5 Incomplete Detection [Seite 45]
1.7.7 - 1.7 Applications of Artificial Immune System [Seite 46]
1.7.7.1 - 1.7.1 Virus Detection [Seite 46]
1.7.7.2 - 1.7.2 Spam Filtering [Seite 46]
1.7.7.2.1 - 1.7.2.1 Concentration-Based Feature Representation [Seite 47]
1.7.7.2.2 - 1.7.2.2 Danger Theory Inspired Ensemble Method [Seite 48]
1.7.7.2.3 - 1.7.2.3 Immune-Based Dynamic Updating Strategies [Seite 49]
1.7.7.3 - 1.7.3 Robots [Seite 50]
1.7.7.4 - 1.7.4 Control Engineering [Seite 51]
1.7.7.5 - 1.7.5 Fault Diagnosis [Seite 51]
1.7.7.6 - 1.7.6 Optimized Design [Seite 51]
1.7.7.7 - 1.7.7 Data Analysis [Seite 51]
1.7.8 - 1.8 Summary [Seite 52]
1.7.9 - References [Seite 52]
1.8 - Chapter 2: Malware Detection [Seite 56]
1.8.1 - 2.1 Introduction [Seite 56]
1.8.2 - 2.2 Malware [Seite 57]
1.8.2.1 - 2.2.1 Definition and Features [Seite 57]
1.8.2.2 - 2.2.2 The Development Phases of Malware [Seite 58]
1.8.3 - 2.3 Classic Malware Detection Approaches [Seite 59]
1.8.3.1 - 2.3.1 Static Techniques [Seite 60]
1.8.3.2 - 2.3.2 Dynamic Techniques [Seite 60]
1.8.3.3 - 2.3.3 Heuristics [Seite 61]
1.8.4 - 2.4 Immune-Based Malware Detection Approaches [Seite 62]
1.8.4.1 - 2.4.1 An Overview of Artificial Immune System [Seite 62]
1.8.4.1.1 - 2.4.1.1 Artificial Immune System [Seite 62]
1.8.4.1.2 - 2.4.1.2 Motivations of Applying Immune Mechanisms to Malware Detection [Seite 63]
1.8.4.2 - 2.4.2 An Overview of Artificial Immune System for Malware Detection [Seite 64]
1.8.4.3 - 2.4.3 An Immune-Based Virus Detection System Using Affinity Vectors [Seite 65]
1.8.4.3.1 - 2.4.3.1 Overview [Seite 65]
1.8.4.3.2 - 2.4.3.2 Experiments and Analysis [Seite 65]
1.8.4.4 - 2.4.4 A Hierarchical Artificial Immune Model for Virus Detection [Seite 66]
1.8.4.4.1 - 2.4.4.1 Overview [Seite 66]
1.8.4.4.2 - 2.4.4.2 Experiments and Analysis [Seite 67]
1.8.4.5 - 2.4.5 A Malware Detection Model Based on a Negative Selection Algorithm with a Penalty Factor [Seite 68]
1.8.4.5.1 - 2.4.5.1 Overview [Seite 68]
1.8.4.5.2 - 2.4.5.2 Experiments and Analysis [Seite 70]
1.8.5 - 2.5 Summary [Seite 72]
1.8.6 - References [Seite 72]
1.9 - Chapter 3: Immune Principle and Neural Networks-Based Malware Detection [Seite 76]
1.9.1 - 3.1 Introduction [Seite 76]
1.9.2 - 3.2 Immune System for Malicious Executable Detection [Seite 77]
1.9.2.1 - 3.2.1 Nonself Detection Principles [Seite 77]
1.9.2.2 - 3.2.2 Anomaly Detection Based on Thickness [Seite 77]
1.9.2.3 - 3.2.3 Relationship Between Diversity of Detector Representation and Anomaly Detection Hole [Seite 77]
1.9.3 - 3.3 Experimental Dataset [Seite 77]
1.9.4 - 3.4 Malware Detection Algorithm [Seite 78]
1.9.4.1 - 3.4.1 Definition of Data Structures [Seite 78]
1.9.4.2 - 3.4.2 Detection Principle and Algorithm [Seite 78]
1.9.4.3 - 3.4.3 Generation of Detector Set [Seite 79]
1.9.4.3.1 - 3.4.3.1 Detector Code [Seite 79]
1.9.4.3.2 - 3.4.3.2 Generation of Detector Set [Seite 79]
1.9.4.4 - 3.4.4 Extraction of Anomaly Characteristics [Seite 79]
1.9.4.4.1 - 3.4.4.1 Nonself Detection [Seite 79]
1.9.4.4.2 - 3.4.4.2 Extraction of Anomaly Property Vector [Seite 80]
1.9.4.5 - 3.4.5 Classifier [Seite 81]
1.9.5 - 3.5 Experiment [Seite 81]
1.9.5.1 - 3.5.1 Experimental Procedure [Seite 81]
1.9.5.1.1 - 3.5.1.1 Partitioning Dataset [Seite 81]
1.9.5.1.2 - 3.5.1.2 Generating Detector Set [Seite 81]
1.9.5.2 - 3.5.2 Experimental Results [Seite 81]
1.9.5.2.1 - 3.5.2.1 When to Use a Single Detector Set [Seite 81]
1.9.5.2.2 - 3.5.2.2 When to Use Multi-Datasets and BP Network Classifier [Seite 82]
1.9.5.3 - 3.5.3 Comparison With Matthew G. Schultz's Method [Seite 83]
1.9.5.3.1 - 3.5.3.1 Comparison of Datasets [Seite 83]
1.9.5.3.2 - 3.5.3.2 Comparison of Algorithmic Performance [Seite 83]
1.9.6 - 3.6 Summary [Seite 85]
1.9.7 - References [Seite 85]
1.10 - Chapter 4: Multiple-Point Bit Mutation Method of Detector Generation [Seite 87]
1.10.1 - 4.1 Introduction [Seite 87]
1.10.2 - 4.2 Current Detector Generating Algorithms [Seite 88]
1.10.3 - 4.3 Growth Algorithms [Seite 88]
1.10.4 - 4.4 Multiple-Point Bit Mutation Method [Seite 89]
1.10.5 - 4.5 Experiments [Seite 90]
1.10.5.1 - 4.5.1 Experiments on Random Dataset [Seite 90]
1.10.5.1.1 - 4.5.1.1 8-Bit Dataset [Seite 90]
1.10.5.1.2 - 4.5.1.2 16-Bit and 24-Bit Datasets [Seite 92]
1.10.5.2 - 4.5.2 Change Detection of Static Files [Seite 92]
1.10.6 - 4.6 Summary [Seite 93]
1.10.7 - References [Seite 94]
1.11 - Chapter 5: Malware Detection System Using Affinity Vectors [Seite 95]
1.11.1 - 5.1 Introduction [Seite 95]
1.11.2 - 5.2 Malware Detection Using Affinity Vectors [Seite 96]
1.11.2.1 - 5.2.1 Sliding Window [Seite 96]
1.11.2.2 - 5.2.2 Negative Selection [Seite 96]
1.11.2.3 - 5.2.3 Clonal Selection [Seite 96]
1.11.2.4 - 5.2.4 Distances [Seite 97]
1.11.2.4.1 - 5.2.4.1 Hamming-Max Distance [Seite 98]
1.11.2.4.2 - 5.2.4.2 Shift r-Continuous Bit Distance [Seite 98]
1.11.2.5 - 5.2.5 Affinity Vector [Seite 98]
1.11.2.6 - 5.2.6 Training Classifiers with Affinity Vectors [Seite 99]
1.11.3 - 5.3 Evaluation of Affinity Vectors-Based Malware Detection System [Seite 100]
1.11.3.1 - 5.3.1 Dataset [Seite 100]
1.11.3.2 - 5.3.2 Length of Data Fragment [Seite 100]
1.11.3.3 - 5.3.3 Experimental Results [Seite 101]
1.11.4 - 5.4 Summary [Seite 103]
1.11.5 - References [Seite 103]
1.12 - Chapter 6: Hierarchical Artificial Immune Model [Seite 105]
1.12.1 - 6.1 Introduction [Seite 105]
1.12.2 - 6.2 Architecture of Haim [Seite 106]
1.12.3 - 6.3 Virus Gene Library Generating Module [Seite 106]
1.12.3.1 - 6.3.1 Virus ODN Library [Seite 107]
1.12.3.2 - 6.3.2 Candidate Virus Gene Library [Seite 108]
1.12.3.3 - 6.3.3 Detecting the Virus Gene Library [Seite 108]
1.12.4 - 6.4 Self-Nonself Classification Module [Seite 109]
1.12.4.1 - 6.4.1 Matching Degree Between Two Genes [Seite 109]
1.12.4.2 - 6.4.2 Suspicious Program Detection [Seite 110]
1.12.5 - 6.5 Simulation Results of Hierarchical Artificial Immune Model [Seite 111]
1.12.5.1 - 6.5.1 Dataset [Seite 111]
1.12.5.2 - 6.5.2 Description of Experiments [Seite 111]
1.12.5.2.1 - 6.5.2.1 Experiments of Class 1 [Seite 111]
1.12.5.2.2 - 6.5.2.2 Experiments of Class 2 [Seite 112]
1.12.5.2.3 - 6.5.2.3 Experiments of Class 3 [Seite 112]
1.12.5.2.4 - 6.5.2.4 Experiments of Class 4 [Seite 114]
1.12.6 - 6.6 Summary [Seite 114]
1.12.7 - References [Seite 115]
1.13 - Chapter 7: Negative Selection Algorithm with Penalty Factor [Seite 116]
1.13.1 - 7.1 Introduction [Seite 116]
1.13.2 - 7.2 Framework of Nsapf [Seite 117]
1.13.3 - 7.3 Malware Signature Extraction Module [Seite 118]
1.13.3.1 - 7.3.1 Malware Instruction Library (MIL) [Seite 118]
1.13.3.2 - 7.3.2 Malware Candidate Signature Library [Seite 120]
1.13.3.3 - 7.3.3 NSAPF and Malware Detection Signature Library [Seite 120]
1.13.4 - 7.4 Suspicious Program Detection Module [Seite 121]
1.13.4.1 - 7.4.1 Signature Matching [Seite 121]
1.13.4.2 - 7.4.2 Matching Between Suspicious Programs and the MDSL [Seite 122]
1.13.4.3 - 7.4.3 Analysis of Penalty Factor [Seite 122]
1.13.5 - 7.5 Experiments and Analysis [Seite 123]
1.13.5.1 - 7.5.1 Experimental Datasets [Seite 123]
1.13.5.1.1 - 7.5.1.1 Henchiri Dataset [Seite 123]
1.13.5.1.2 - 7.5.1.2 CILPKU08 Dataset [Seite 123]
1.13.5.1.3 - 7.5.1.3 VX Heavens Dataset [Seite 124]
1.13.5.2 - 7.5.2 Experiments on the Henchiri Dataset [Seite 124]
1.13.5.2.1 - 7.5.2.1 Cross Validation [Seite 124]
1.13.5.2.2 - 7.5.2.2 Negative Direction Cross Validation [Seite 126]
1.13.5.3 - 7.5.3 Experiments on CILPKU08 Dataset [Seite 127]
1.13.5.4 - 7.5.4 Experiments on VX Heavens Dataset [Seite 128]
1.13.5.5 - 7.5.5 Parameter Analysis [Seite 128]
1.13.6 - 7.6 Summary [Seite 130]
1.13.7 - References [Seite 130]
1.14 - Chapter 8: Danger Feature-Based Negative Selection Algorithm [Seite 131]
1.14.1 - 8.1 Introduction [Seite 131]
1.14.1.1 - 8.1.1 Danger Feature [Seite 131]
1.14.1.2 - 8.1.2 Framework of Danger Feature-Based Negative Selection Algorithm [Seite 132]
1.14.2 - 8.2 DFNSA for Malware Detection [Seite 133]
1.14.2.1 - 8.2.1 Danger Feature Extraction [Seite 133]
1.14.2.1.1 - 8.2.1.1 Malware Instruction Library [Seite 133]
1.14.2.1.2 - 8.2.1.2 NCDFL and SCDFL [Seite 134]
1.14.2.1.3 - 8.2.1.3 Detecting Feature Library [Seite 134]
1.14.2.2 - 8.2.2 Danger Feature Vector [Seite 134]
1.14.3 - 8.3 Experiments [Seite 135]
1.14.3.1 - 8.3.1 Datasets [Seite 135]
1.14.3.2 - 8.3.2 Experimental Setup [Seite 135]
1.14.3.3 - 8.3.3 Selection of Parameters [Seite 136]
1.14.3.4 - 8.3.4 Experimental Results [Seite 137]
1.14.4 - 8.4 Discussions [Seite 137]
1.14.4.1 - 8.4.1 Comparison of Detecting Feature Libraries [Seite 137]
1.14.4.2 - 8.4.2 Comparison of Detection Time [Seite 138]
1.14.5 - 8.5 Summary [Seite 138]
1.14.6 - References [Seite 138]
1.15 - Chapter 9: Immune Concentration-Based Malware Detection Approaches [Seite 140]
1.15.1 - 9.1 Introduction [Seite 140]
1.15.2 - 9.2 Generation of Detector Libraries [Seite 141]
1.15.3 - 9.3 Construction of Feature Vector for Local Concentration [Seite 144]
1.15.4 - 9.4 Parameters Optimization Based on Particle Swarm Optimization [Seite 146]
1.15.5 - 9.5 Construction of Feature Vector for Hybrid Concentration [Seite 147]
1.15.5.1 - 9.5.1 Hybrid Concentration [Seite 147]
1.15.5.2 - 9.5.2 Strategies for Definition of Local Areas [Seite 149]
1.15.5.3 - 9.5.3 HC-Based Malware Detection Method [Seite 149]
1.15.5.4 - 9.5.4 Discussion [Seite 150]
1.15.5.4.1 - 9.5.4.1 Advantages of the HC [Seite 150]
1.15.5.4.2 - 9.5.4.2 Advantages of the HCMD Method [Seite 151]
1.15.5.4.3 - 9.5.4.3 Time Complexity [Seite 152]
1.15.6 - 9.6 Experiments [Seite 152]
1.15.6.1 - 9.6.1 Experiments of Local Concentration [Seite 152]
1.15.6.1.1 - 9.6.1.1 Experiments for Different Window Size and Number of Windows [Seite 152]
1.15.6.1.2 - 9.6.1.2 Experiments for Different Proportional Selection of All the Fragments [Seite 153]
1.15.6.1.3 - 9.6.1.3 Length of the Detector [Seite 155]
1.15.6.1.4 - 9.6.1.4 Contrast Experiments [Seite 155]
1.15.6.1.5 - 9.6.1.5 Parameters Optimization Based on PSO [Seite 158]
1.15.6.2 - 9.6.2 Experiments of Hybrid Concentration [Seite 159]
1.15.6.2.1 - 9.6.2.1 Experimental Datasets [Seite 159]
1.15.6.2.2 - 9.6.2.2 Experimental Setup [Seite 160]
1.15.6.2.3 - 9.6.2.3 Selection of Parameters [Seite 161]
1.15.6.2.4 - 9.6.2.4 Experimental Results [Seite 162]
1.15.7 - 9.7 Summary [Seite 165]
1.15.8 - References [Seite 165]
1.16 - Chapter 10: Immune Cooperation Mechanism-Based Learning Framework [Seite 166]
1.16.1 - 10.1 Introduction [Seite 166]
1.16.2 - 10.2 Immune Signal Cooperation Mechanism-Based Learning Framework [Seite 169]
1.16.3 - 10.3 Malware Detection Model [Seite 172]
1.16.4 - 10.4 Experiments Using the Malware Detection Model [Seite 173]
1.16.4.1 - 10.4.1 Experimental Setup [Seite 173]
1.16.4.2 - 10.4.2 Selection of Parameters [Seite 174]
1.16.4.3 - 10.4.3 Experimental Results [Seite 175]
1.16.4.4 - 10.4.4 Statistical Analysis [Seite 176]
1.16.5 - 10.5 Discussion [Seite 177]
1.16.5.1 - 10.5.1 Advantages [Seite 177]
1.16.5.2 - 10.5.2 Time Complexity [Seite 178]
1.16.6 - 10.6 Summary [Seite 179]
1.16.7 - References [Seite 179]
1.17 - Chapter 11: Class-Wise Information Gain [Seite 180]
1.17.1 - 11.1 Introduction [Seite 180]
1.17.2 - 11.2 Problem Statement [Seite 181]
1.17.2.1 - 11.2.1 Definition of the Generalized Class [Seite 181]
1.17.2.2 - 11.2.2 Malware Recognition Problem [Seite 182]
1.17.3 - 11.3 Class-Wise Information Gain [Seite 183]
1.17.3.1 - 11.3.1 Definition [Seite 183]
1.17.3.2 - 11.3.2 Analysis [Seite 184]
1.17.4 - 11.4 Cig-Based Malware Detection Method [Seite 188]
1.17.4.1 - 11.4.1 Feature Selection Module [Seite 188]
1.17.4.2 - 11.4.2 Classification Module [Seite 190]
1.17.5 - 11.5 Dataset [Seite 190]
1.17.5.1 - 11.5.1 Benign Program Dataset [Seite 190]
1.17.5.2 - 11.5.2 Malware Dataset [Seite 191]
1.17.5.2.1 - 11.5.2.1 VXHeavens Dataset [Seite 191]
1.17.5.2.2 - 11.5.2.2 Henchiri Dataset [Seite 191]
1.17.5.2.3 - 11.5.2.3 CILPKU08 Dataset [Seite 191]
1.17.6 - 11.6 Selection of Parameters [Seite 192]
1.17.6.1 - 11.6.1 Experimental Setup [Seite 192]
1.17.6.2 - 11.6.2 Experiments of Selection of Parameter [Seite 193]
1.17.7 - 11.7 Experimental Results [Seite 195]
1.17.7.1 - 11.7.1 Experiments on the VXHeavens Dataset [Seite 195]
1.17.7.2 - 11.7.2 Experiments on the Henchiri Dataset [Seite 197]
1.17.7.3 - 11.7.3 Experiments on the CILPKU08 Dataset [Seite 198]
1.17.8 - 11.8 Discussion [Seite 198]
1.17.8.1 - 11.8.1 The Relationship Among IG-A, DFCIG-B, and DFCIG-M [Seite 199]
1.17.8.2 - 11.8.2 Space Complexity [Seite 200]
1.17.9 - 11.9 Summary [Seite 201]
1.17.10 - References [Seite 202]
1.18 - Index [Seite 203]
1.19 - End User License Agreement [Seite 205]