2.9.2 入侵检测与免疫系统类比
自然免疫系统的作用是保护生物体免受病菌的侵害，而入侵检测系统的作用是保护网络系统免遭黑客的入侵，两者具有非常类似的功能，主要表现在下面三个方面。
2.9.2.1 自然免疫系统与入侵检测系统的任务类似
自然免疫系统的生理功能主要是识别区分“自身”与“有害的非自身”，并能破坏和排斥“有害的非自身”，而对“自身”成分则能形成免疫耐受，不发生排斥反应，以维持自身免疫的稳定。而入侵检测系统的任务是及时准确地检测到网络的入侵活动，并采取适当的响应措施，对网络系统的正常变化能够容忍。
2.9.2.2 自然免疫系统与入侵检测系统所处的环境类似
自然免疫系统处于一个充斥着形形色色新旧病毒、细菌、真菌、寄生虫等病原体的生物世界中，而入侵检测系统置身于一个弥漫着五花八门的已知或未知的计算机病毒或是各种攻击手段的网络世界中。
2.9.2.3 自然免疫系统与入侵检测系统所采用的检测方法类似
自然免疫系统的检测方法主要有两种，一是根据“有害的非自身”的特点进行区分和消灭，另一方法是根据隐含定义的自身来区分“自身”与“有害的非自身”，比如经过“否定选择”的T淋巴细胞对抗体的检测。这两种方法非常类似IDS所采用的误用入侵检测方法和异常入侵检测方法。
自然免疫系统具有非常优异的检测性能，即高的检测率和低的误检率，比如人的免疫系统能够检测到大约1016种抗原，包括许多未知的抗原，而染上自身免疫疾病的可能性却很低。自然免疫系统之所以具有这样好的检测性能，是因为自然免疫系统具有多层次性、多样性、独特性、异常检测能力、协同性等多种良好特性。因此，自然免疫系统为我们解决基于网络的入侵检测问题提供了一个自然的模板。在免疫系统中起检测作用的是抗体，而IDS中起检测作用的是入侵检测器，为了便于表达和理解，根据功能比较将自然免疫系统的有关术语和网络入侵检测系统的有关概念对照见表2-1。
表2-1 有关概念对照
入侵检测系统作为一个智能系统，包括模式识别与匹配、特征抽取、学习和记忆、阈值机制、模糊与概率检测、鲁棒性、自适应、层次性、多样性、分布式、自我调节、复杂性、自治性、协同刺激、自组织、开放性等机制和特性，这些皆可以借鉴自然免疫系统。
（1）模式识别与匹配。免疫系统能识别特异抗原并产生合适的应答，这种识别不需要精确匹配，通过抗体抗原化学结合识别机制完成。免疫系统能识别和分类不同的模式，产生选择性应答，在识别阶段，免疫系统可以正确区分自己、非己分子。
（2）特征抽取。免疫系统抗体不需要结合完整的抗原，而是结合其抽取以后的特征部分——缩氨酸来识别一个抗原。
（3）学习和记忆。在与一种新抗原初次相遇后，免疫系统能够学习特异抗原的结构，并产生记忆细胞，学习的主要机制是改变在初次应答阶段的分子浓度。如果同样抗原或其变异再次入侵并被检测到，记忆细胞能产生更快、更密集的应答。
（4）阈值机制。只有超过一定的、与化学结合强度有关匹配阈值后，才发生免疫应答和随后的免疫细胞的扩增。
（5）模糊与概率检测。抗原检测并不是精确的，因此一个淋巴细胞可能与几种结构相关的抗原结合。
（6）鲁棒性。免疫细胞的死亡或者产生（亚动力学）并不影响免疫系统的功能与性质，免疫系统可以在免疫细胞的不断产生与死亡的过程中保持稳定。
（7）自适应。免疫系统不仅可以主动适应系统内部由于大量细胞不断产生和死亡而带来的变化，同时对外部环境也具有适应性，可以根据外部入侵病原体的变化不断调整自己的免疫策略保护生物体。
（8）层次性。免疫系统具有多层结构，包括皮肤、吞噬细胞以及酸碱性等物理环境，还有最重要的适应层，这些层次构成多层防御系统，提高了免疫可靠性和安全性。
（9）多样性。通过超变异过程，多样的抗体在对抗原的应答中产生，确保不仅入侵抗原被破坏，免疫系统也准备同样抗体的稍微变异而进行的袭击。
（10）分布式。免疫系统的分布式是固有的，没有像大脑一样控制人类全身的中枢，每个淋巴细胞都可以接受刺激并对抗原应答。
（11）自我调节。免疫系统不是绝对自我调节，它受到内分泌系统、神经系统的多重影响，其内部可以通过淋巴细胞亚动力学实现动态稳定平衡，不断适应内外环境变化。
（12）复杂性。免疫系统是由多种分子、细胞、组织、器官相协同合作而构成复杂系统，也是具有代表性的复杂系统。
（13）自治性。免疫细胞可以单独执行免疫功能，而无须统一的指令，但系统整体上还是受到神经系统和内分泌系统的影响。
（14）协同刺激。免疫细胞的活化通过协同刺激调节，其中T细胞发出第二信号，确保耐受和在无害和危险的入侵者之间进行区分。
（15）自组织。免疫细胞不受中心系统控制，毎个免疫细胞都可以自主行动，又可以通过化学信号和受体分子组成网络。
虽然入侵检测系统与自然免疫系统非常类似，但它们也有一定的差别。从某种意义上讲入侵检测系统所面临的任务比自然免疫系统更加困难。其原因在于，对于自然免疫系统，自身的定义是明确并且稳定的，构成生物体自身细胞的蛋白质终生不发生或极少发生变化，所以，当T淋巴细胞在胸腺中经历了否定选择时，它也就记忆了自身，因此能够在以后的检测过程中可靠地区分自身与非自身。而在入侵检测领域中，自身的定义不可能是非常明确和稳定的，网络行为十分复杂且随时间变化，所以在入侵检测领域，自身的定义是一个动态的过程。