随着各种网络服务的迅猛发展,间谍软件正在成为恶意软件发展的新趋势。与般的恶意软件不同,间谍软件的目的不是破坏计算机系统或在网络中蔓延,而是通过窃取计算机中的隐私或机密数据,为黑客或情报机构带来利益。为此,间谍软件具备了潜伏、行为特征多样和群体感染的特性,使其不仅难以被发现,而且危害更大。因此,许多间谍软件检测方法应运而生。基于特征码的方法检测效率虽高,却不能发现未知的间谍软件,且检测具有滞后性。基于行为的检测方法虽能根据间谍软件的某种行为特征发现一类间谍软件,但容易产生较高的伪肯定率,且容易被潜伏性强的间谍软件逃避。在基于行为的检测方法中,计算机免疫系统(Artificial Immune System,AIS)中的热点方法——危险理论方法,以其误报率低、可伸缩性强等优点,在一定程度上弥补了基于行为的检测方法的不足。然而,危险理论方法在检测潜伏性强的间谍软件时,也会因不能产生显著的危险信号和恶意抗原而发生漏报。此外,上述基于特征码的方法和基于行为的方法都只关注单机中的间谍软件检测。在网络环境下,这些各自为阵的方法不能共享检测能力,降低了间谍软件检测的整体效率。为解决上述问题,本文深入分析了现有方法,尤其是危险理论方法检测间谍软件的不足及造成这些不足的原因,借鉴机体先天免疫系统中自然杀伤细胞(Natural Killer,NK)诱导潜伏病毒的原理,提出了基于人工NK细胞的先天免疫模型来自适应地发现潜伏的间谍软件。在此基础上,本文引入计算机适应性免疫系统的方法实现间谍软件行为特征的记忆,与先天免疫系统共同组成了更完整的免疫个体。这些免疫个体通过本文提出的免疫协同机制,可以实现协作和检测能力的共享,进而实现间谍软件的群防御。本文完成的工作如下：1)建立人工自然杀伤细胞模型：针对间谍软件潜伏的特点,借鉴机体先天免疫系统中NK细胞诱导体内潜伏病毒的原理,将NK细胞引入到AIS当中,构建人工NK细胞模型实现反潜伏。这些人工NK细胞能通过学习和演化,自适应地发现未知间谍软件存在的蛛丝马迹,并释放一些间谍软件感兴趣的诱饵(诱导因子),引诱其实施恶意活动,为进一步检测提供有力帮助。2)构建基于人工自然杀伤细胞的计算机先天免疫模型：为从诱导因子激发的行为中准确发现间谍活动,本文借鉴机体先天免疫系统中抗原提呈细胞(Antigen Presenting Cell, APC)的行为原理,构建人工APC模型,与人工NK细胞模型共同组成了多细胞交互的、更贴近机体先天免疫功能的计算机先天免疫系统。在人工NK细胞种群的引诱下,系统中程序对“诱饵”的反应被转化为危险信号。人工APC种群通过感知和融合这些危险信号(证据),并将其与当时活跃的抗原(嫌疑犯)关联,实现间谍软件程序的自适应识别,并降低误报率。3)建立间谍软件群防御的免疫协同机制：为应对间谍软件在(企业、政府或军事信息)网络中有针对性地群体出现,本文在之前提出的计算机先天免疫模型的基础上,引入计算机适应性免疫的人工淋巴细胞模型和免疫个体之问相互协作的思想,建立了间谍软件群防御的免疫协同机制。通过建立由分布在每台主机中的免疫个体和多级防疫中心构成的免疫协同体系,该机制实现了三个层次的免疫协同：免疫个体内部的协同、免疫个体之间的协同和防疫中心之间的协同。这几种协同作用不仅可以记忆已发现的间谍软件的行为特征,还能依据对网络中间谍软件宏微观“疫情”的分析,将某个免疫个体中有效的人工记忆淋巴细胞,迅速地分发给其它需要的免疫个体或防疫中心,实现群防群治。4)间谍软件检测实例验证：本文重点验证了的可行性。本文设计了实现基于人工NK细胞的计算机先天免疫模型的原型系统,并对选取的典型潜伏间谍软件实例进行了检测实验。三个场景的实验结果表明,原型系统能够发现系统中潜伏的间谍软件,且具有较低的伪肯定率和伪否定率。并且,人工NK细胞种群能通过演化,自适应地感知到被监测系统中的异常,并释放能引诱当前潜伏间谍软件的诱导因子。在诱导因子的刺激下,选取的潜伏间谍软件实例的行为显著性被明显增强。本文借鉴机体先天免疫系统发现体内潜伏病毒的诱导原理,提出了基于人工NK细胞的计算机先天免疫模型。相比于原有的计算机先天免疫模型,该模型在检测潜伏间谍软件时效果更好。此外,本文引入了现有计算机适应性免疫方法,与本文提出的计算机先天免疫模型构成了一个完整的免疫个体。该免疫个体不仅能发现未知的潜伏间谍软件,还能记忆已发现的间谍软件的行为特征,并能通过本文建立的免疫协同机制将这种记忆能力,共享给网络中其它的免疫个体,实现间谍软件的群防御。