基于决策树算法的入侵检测研究论文.doc

目 录

摘　要 1
1. 引言 1
2.基于决策树的数据挖掘方法 2
2.1 数据挖掘理论概述 2
2.2决策树理论 3
2.2.1决策树理论的发展和应用 3
2.2.2决策树概念及构造 4
2.2.3 决策树算法 5
3.决策树在入侵检测中的应用 7
3.1 入侵检测基本思想 7
3.2 用于入侵检测的数据挖掘算法 9
3.3 基于决策树算法的入侵检测 9
3.3.1应用概述 9
3.3.2多决策树合并算法 10
3.3.3应用分析 11
4 总结 12
参考文献 13
致谢 13

基于决策树算法的入侵检测研究

摘　要 ：随着Internet的发展，网络丰富的信息资源给用户带来了极大的方便，但同时也带来了急剧增加的安全隐患，因此入侵检测的研究就显得越来越重要。本文将基于多决策树合并算法的决策树应用于入侵检测的分析器中，按照数据挖掘处理过程对数据进行处理，从大量数据中提取有病毒特征属性的相关入侵行为，从而达到保护用户隐私的目的。
关键词 ：入侵检测；数据挖掘；决策树

The Research of Decision Tree in Intrusion Detection

【Abstract】 As for the rapid progress of Internet, large amount of information draw us great convenience. However, security problems also come together, and thus the research of intrusion detection has been attracting a significant amount of attention. In this paper, the decision tree using multi decision tree combination algorithm is applied into the implementation of analyzer for intrusion detection, which processes data according to the data mining procedure, and can found virus-like intrusion behavior.
【Keywords】 Intrusion detection; Data mining; Decision tree

1. 引言
随着Internet的迅猛发展和网络社会的到来，人们在得益于网络的同时,网上的数据也受到了黑客的攻击和篡改，传统的加密、身份认证、访问控制、防火墙、安全路由等安全技术已经不够，比如目前广泛使用的防火墙技术,它不能阻止内部攻击,也不能提供实时检测等,为了保障信息安全,所以出现了新的网络安全防线----入侵检测技术,防火墙之后的第二到安全闸门.
现有的入侵检测系统大都采用专家系统或统计的方法，这需要较多的经验，也会浪费较多的时间。而数据挖掘技术应用于入侵检测系统中，就比传统的入侵检测具有更大优势，因为它是从大量数据中提取人们感兴趣的、事先未知的知识和规律的过程，它自动构建特征的同时也提高了检测精确度，为检测未知攻击提供了可能性。由于数据挖掘中的决策树算法可以将数据进行分类等作用，所以越来越多的被用于入侵检测中，本文将先研究数据挖掘中的决策树算法和入侵检测，具体阐述多决策树合并算法在入侵检测中的应用理论，通过一些已知的入侵检测数据建立决策树，重点放在是否有入侵行为的判断，针对入侵检测系统收集到的信息源提取带有病毒特征数据，这样就能够方便快捷而又形象的挖掘出是否有入侵行为发生。

2.基于决策树的数据挖掘方法
2.1 数据挖掘理论概述
数据挖掘(Data Mining, DM)就是从大量的、不完全的、模糊的、随机的数据中，提取隐含在其中的、人们事先不知道的、但是又潜在有用的信息知识过程。国内学者也把data mining 翻译为数据采掘或数据开采，还有一些术语如从数据库中发现知识、数据分析、知识抽取、模式分析、数据考古、数据采集、信息收割、商业智能、数据融合等都和数据挖掘这一术语近似。目前，世界上很多关于数据挖掘的学术会议，偏重于理论研究，而对数据挖掘的应用关注较少。例如，KDD（国际知识发现会议）、PAKDD（亚太地区国际知识发现会议）、DM（国际数据挖掘会议）等会议。全球学者已经注意到这个问题，并多次在与数据挖掘有关的国际会议上对此讨论，国际学术期刊“数据挖掘和知识发现”也开始关注理论和应用相结合的文章。因此，在2003年的KDD和DM上，全球学者酝酿了一个主题为“数据挖掘的理论和应用”的国际会议，并得到全体与会者的一致赞同，最后确定为“现代数据挖掘及其应用国际会议（ADMA2005）”。
数据挖掘技术从一开始就是面向应用的，它不仅面向特定数据库的简单检索查询调用，还要对这些数据进行微观或宏观的统计、分析、综合和推理，用以发现数据的相互关联，从而指导实际问题的解决方法，甚至利用已有的数据对未来的活动进行预测。数据挖掘的核心技术是人工智能、机器学习、统计学等，但一个数据挖掘系统不是简单的多项技术的组合，而是一个完整的体系结构，它还需要很多辅助技术的支持才能完成数据采集、预处理、数据分析、结果表述这一系列的任务，最后才能将比较完整的分析结果呈现给用户。
数据挖掘的功能主要有：概念或类的描述、关联分析、分类、预测、聚类和偏差分析等几种。各种数据挖掘功能的实现主要依赖于数据挖掘方法——即数据挖掘过程中所使用的算法。根据数据挖掘算法所涉及的学科，数据挖掘方法可粗略分为四大类：基于统计学的方法、基于机器学习的方法、基于神经网络的方法和基于数据仓库的方法。
2.2决策树理论
决策树方法是一种基于机器学习的数据挖掘方法，它的精确度比较高，构造过程也比较简单，常用于构造分类模型和预测模型。使用决策树能够完成多种数据挖掘功能，基于决策树的数据挖掘方法已经广泛用于各种数据挖掘领域。
2.2.1决策树理论的发展和应用
决策树理论的起源是概念学习系统（Concept Learning System，CLS），然后发展到ID3方法而为高潮，最后又演化为能处理连续属性的C4.5。比较有名的决策树方法还有CART和Assistant、SLIQ、ID3及其后续版本C4.5和C5是使用最广泛的决策树方法。目前决策树算法分为两类：基于信息理论的方法（算法有ID3、C4.5）和最小GINI指标方法（算法有CART、SLIQ和SPRINT）。2003年杨宏伟博士和王熙照教授等采用基于层次分解的方法通过产生多层决策树来处理多类问题；何劲松博士、郑浩然博士和王熙法教授等为了研究归纳学习的判决精度问题分析了C4.5算法的不足以及标准算法与亚算法之间争论和妥协的根本原因。
在金融领域中将贷款对象分为低贷款风险与高贷款风险两类，通过决策树，我们可以很容易地确定贷款申请者是属于高风险的还是低风险的。在医学领域中由于多方面的原因，再优秀的医生也有诊断失误的时候，为了减少这种情况的发生，对于比较复杂的疾病除了做好各种鉴别诊断，还可以采用最直观的决策树算法来帮助进行临床决策，在鉴别诊断中也可以将决策树应用于多普骨髓细胞图像分类。在教育领域中可以应用于学生学习成绩分析、在线学习行为评估系统、远程教育考试成绩分析、教学评价。在商务领域一个拟建项目所有的未来结果都是未知的，是否能选择正确的经营策略直接关系到企业经济效益的好坏，通过构建决策树来评价项目风险，判断其可行性是最直观的一种图解法。现在几乎每个领域都可以找到决策树的应用。
2.2.2决策树概念及构造
决策树是对数据进行分类的一种方法,也是当前数据挖掘中所采用的最有效的分类规则学习算法。构造一棵决策树通常分为两个步骤：树的生成和剪枝。决策树一般都是自上而下来生成的，每个决策或事件（即自然状态）都可能引出两个或多个事件，导致不同的结果。决策树算法在数据处理过程中，把数据按树状结构分成若干分支形成决策树，建立决策树的一个节点，然后根据字段的不同取值建立树的分支，在每个分支集中重复建立树的下层节点和分支，从根到叶的每条路径创建一个规则。首先，通过一批已知的训练数据建立一棵决策树；然后，利用建好的决策树，对数据进行预测。决策树的建立过程可以看成是数据规则的生成过程，因此可以认为，决策树实现了数据规则的可视化，其输出结果也容易理解。
决策树构造的输入是一组带有类别标记的例子，构造的结果是一棵二叉树或多叉树。二叉树的内部结点（即非叶子结点）一般表示为一个逻辑判断，如形式为ai=vi的逻辑判断，其中ai是属性，vi是该属性的某个属性值；树的边是逻辑判断的分支结果。多叉树的内部结点是属性，边是该属性的所有取值，有几个属性值，就有几条边。树的结点都是类别标记。决策树生成过程如下：在条件属性集中选择最有分类标识能力的属性作为决策树当前节点；根据当前决策属性取值不同，将训练样本数据计划分为若干子集；针对上一步得到每一个子集，重复上述过程，直到子集中所有元组都属于同一类，不能再进一步划分为止。建立一个好的决策树的关键是决定树根和子树根的属性，建树阶段要特别关注两点：如何找出用于定义节点测试的分割点，若已选定分割点，如何将数据进行划分。即使所有的叶子都很纯时，这棵树也不一定能工作的很好，所以需要进行处理，即决策树的修剪优化。修建的要点是：应该回多少、如何从子树中寻找最佳的。基本的决策树构造算法没有考虑噪声，生成的决策树完全与训练例子拟合。树的剪枝是一种克服噪声的技术，同时它也能使树得到简化变得更容易理解。目前的决策树修剪有三种策略：基于代价复杂度的修剪（Cost—Complexity Pruning）、悲观修剪（Pessimistic Pruning）和MDL修剪（Minimum Description Length）。在实际使用中较多并且效果较好的是MDL修剪。
2.2.3 决策树算法
ID3算法是最常使用的一种决策树算法。该算法对于每一个新加入的属性都能够做到完整详尽的分析，而且相较于其他的算法来说是属于比较容易理解与应用的算法，因此本文在入侵检测的多决策树合并算法中采用ID3算法作为核心。
（1）ID3算法过程
设训练实例集为X，学习的目的是将训练实例分为n类，记为，设第i类训练实例的个数是，X中总的训练实例个数为，记一个实例属于第i类的概率为，则有：
（1）
此时决策树对划分X的确定程度为，则有
（2）
决策树学习的过程就是使得决策树对划分的不确定程度逐渐减小的过程，若选择测试属性A具有属性值在的情况下属于第i类的实例个数为,记测试属性A的取值为时，它属于第i类的概率为,则有
（3）
的实例集记为，此时决策树对分类的不确定程度就是训练集对属性A的条件熵，记为，则有
（4）
对选择测试属性A后划分出的每个子集，结点A对于分类的信息熵记为，则有
（5）
属性A对于分类提供的信息量，即属性A的信息量增益，记为，则有
（6）
公式（6）的值越大，说明选择测试属性A对于分类提供的信息越大，则选择属性A之后对于分类的不确定程度越小。ID3算法就是采用信息增益作为测试属性的选取标准分割训练实例集，生成用来分类的决策树。
ID3算法中的每一个循环过程都会对训练集进行查询，以确定属性的信息增益，值得一提的是ID3算法为了避免访问全部数据集，使用了窗口(window)的方法,窗口随机性地从数据集中选择一个子集，该方法表明构建树的速度大大加快。
（2）ID3算法伪码描述
Function ID3 (R: a set of non-goal attributes some of which with continuous values,
C: the goal attribute,
S: a training set ) returns a decision tree;
//用ID3算法建立返回一棵决策树
Begin
If S is empty then
return a single node with value Failure;
//如果S为空返回一个值为“Failure”的节点
If S consists of records all with the same value for the goal attribute then
return a single node with that value;
//如果S是由相同类别属性值的记录组成，则返回一个带有该值的单个节点
If R is empty then
return a single node with as value the most frequent of the values of the goal
attribute that are found in records of S;
[note that then there will be errors, that is, records that will be improperly classified];
//如果R为空，返回一个其值为S中频率最高的类别属性值的单个节点
Let D be the attribute with largest Gain(D,S) among attributues in R;
//将R中属性之间具有最大Gain(D,S)值的属性赋给D
Let {dj|j=1,2,…,m} be the values of attribute D;
Let{sj|j=1,2,…,m} be the subsets of S consisting respectively of records with values dj for attribute D;
//由分别对应于D的值记录为dj的记录组成的S的子集赋值给{sj|j=1,2,…,m}
return a tree with root labled D, arcs labled d1, d2,…,dm;
//返回一棵根标记为D的树，其树枝标记为d1, d2,…,dm
constructing fellowing trees respectively:
ID3(R-{D}, C, S1), ID3(R-{D}, C, S2),…, ID3(R-{D}, C, Sm)；
//再构造以下树：ID3(R-{D}, C, S1), ID3(R-{D}, C, S2),…, ID3(R-{D}, C, Sm)
End ID3
// 结束建立ID3算法的决策树
ID3的基本思想是：决策树中每一个非叶节点对应着一个非类别属性，树枝代表这个属性的值，一个叶节点代表从树根到叶节点之间的路径所对应的记录所属的类别属性值；在决策树中，每一个非叶节点都将与属性中具有最大信息量的非类别属性相关联；熵通常是用于测量一个非叶节点的信息量大小的名词。

3.决策树在入侵检测中的应用
3.1 入侵检测基本思想
入侵检测（Intrusion Detection, ID）是指监控并分析计算机系统或者网络上发生的事件，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。所谓的入侵可以被定义为一系列试图危及计算机资源的完整性、机密性和可用性的行为。入侵检测系统（Intrusion Detection system, IDS）是进行入侵检测的软件与硬件结合的系统,通过分析网络中的传输数据来判断破坏系统的入侵事件。
入侵检测是防火墙的重要补充，帮组系统对付网络攻击，扩展了系统管理员的安全管理能力，提高了信息安全的基础结构的完整性。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行检测，提供对内部攻击、外部攻击和误操作的实时保护。
入侵检测主要经历了集中式、层次式和集成式三个阶段，代表三个阶段的入侵检测系统的基本模型分别是——通用入侵检测模型、层次化入侵检测模型和管理式入侵检测模型，但是无论对于什么样的入侵检测系统其工作模式都体现为以下步骤：从系统的不同环节收集信息；分析该信息，试图寻找入侵活动的特征；自动对检测到的行为做出响应；纪录并报告检测过程及结果。一个典型的入侵检测系统从功能上可以分为三个组成部分：管理器（manager）、分析器(analyzer)和感应器(sensor)。功能结构图如图3-1所示：
管理器(manager)
分析器(analyzer)
感应器(sensor)
网络
主机
应用程序

图3-1 入侵检测系统的功能结构图

感应器负责收集信息，其信息源可以是系统中可能包含入侵细节的任何部分，其中比较典型的信息源有网络数据包、log文件和系统调用的记录等。感应器收集这些信息并将其发送给分析器。
分析器从许多感应器接收信息，并对其进行分析以决定是否有入侵行为发生。如果有入侵行为发生，分析器将提供关于入侵的具体细节，并提供可能采取的对策。一个入侵系统通常也可以对所检测到的入侵行为采取相应的措施进行反击，包括在防火墙处丢弃可疑的数据包，当用户表现出不正常行为时拒绝其进行访问，以及向其它同时受到攻击的主机发出警报等。
管理器通常也被称为用户控制台，它以一种可视的方式向用户提供收集到的各种数据及相应分析结果，用户可以通过管理器对入侵检测系统进行配置，设定各种系统的参数，从而对入侵行为进行检测及相应措施进行管理。
3.2 用于入侵检测的数据挖掘算法
数据挖掘本身是一项通用的知识发现技术，将它应用于入侵检测的目的是从大量数据中提取出有用的数据信息，发现未知攻击。应用到入侵检测系统中的数据挖掘算法，目前主要集中在关联、序列和分类这3种类型上。
(1)关联分析算法。关联分析算法是由R.Agrawal等人提出，是数据挖掘的一个重要课题。其目的是挖掘事务集中满足给定支持度的项集，然后产生关联规则。比较主流的算法有Apriori算法和AprioriTid算法。
(2)序列分析算法。关联分析用于挖掘数据记录中不同数据项之间的关联性，而序列分析则是发现不同数据记录之间的相关性。序列分析的目标是在事务中挖掘出序列模式，即满足用户指定的最小支持度要求的频繁序列，并且该序列模式不被任何其它序列所包含。代表算法是AprioriAll，AprioriSome，PSP，GSP等。
(3)分类算法。数据分类的目的是提取数据库中的数据项的特征属性，生成分类模型，该模型可以把数据库中的数据映射到给定类别中的一个。常用的分类算法有：线性回归模型，决策树模型，基本规则模型，神经网络等。
3.3 基于决策树算法的入侵检测
3.3.1应用概述
入侵检测中决策树的应用非常广泛，管理器中可应用于入侵行为的管理和针对该行为应采取的相应措施的管理，分析其中可应用于信息分析，感应器中可应用于数据的分类。
收集信息建立数据源时，可以利用决策树针对不同的数据来源进行分类， 这样安全管理员在对异常情况进行处理的时，能够快速找出数据来源。根据不同的数据包我们可以选择不同的决策树算法，以最优的算法建立决策树，对数据进行处理，得到新的数据源，并将具有攻击性的数据提交入侵检测系统的安全管理员，确定是攻击数据后，建立新的记录。可以用决策树建立不同的攻击类型记录，在以后的调用及查找的时可以更加快速，尤其是针对不同类型攻击所列出的处理方法的分类，能够让安全管理员快速得到解决方案。决策树应用于入侵检测中的功能结构如图3-2 所示：
恶意攻击数据
建立数据源
决策树分类器
管理器
分析器
感应器
决策树分类器
决策树分类器
采取的相应措施

图3-2 决策树在入侵检测中的应用图示

国内外入侵检测中决策树的应用的研究越来越多,国内比较有代表性的有以下一些应用：针对一个局域网上模拟的入侵检测问题,描述了对利用决策树方法学习的一种优化实现，并且对怎样处理缺失数据、连续属性的离散化、怎样剪枝以及分类法的准确率评估及提高等关键技术进行了研究； 针对传统的基于简单模式匹配的入侵检测技术性能低,误报率和漏报率高的问题,提出基于决策树算法的协议分析方法,描述该算法的定义和实现,通过实验与模式匹配作性能比较。还有很多国外研究这里不再一一列举。
3.3.2多决策树合并算法
由于网络上的恶意入侵越来越严重，因此在收集这些数据时会形成一个庞大的数据集，单一的决策树已经不能很好的处理这些数据，所以开始采用多决策树合并算法。多决策树合并算法就是将大数据集分割成若干小的数据集，然后针对每一个小的数据集使用决策树算法生成一棵决策树，最后对多棵决策树的预测结果进行整理，但是一棵树一般只能反映自身数据子集上的情况。
本文在最后的整理中采用的是投票(voting)的方法, 它能够较为全面地反映整个数据集的情况，用于最终的判定结果。每棵决策树拥有一票，针对每一个连接进行表决，最终结果为多数票的结果。在本文的多决策树合并算法中，前n-1棵决策树运行得出结果后进行投票,运行第n棵决策树对结果进行合并，第n棵决策树是在投票结果上生成的一棵决策树,但是也可以说是在整个数据集上生成的一棵决策树，其原理示意图如图3-3所示。
数据集
决策树算法1
决策树算法2
决策树算法3
决策树算法n-1
整理
最终结果
决策树n-1
决策树3
决策树2
决策树1
图3-3 多决策树合并示意图

3.3.3应用分析
针对网络上的非法入侵和恶意攻击，本文建议使用多决策树合并算法，其具体过程如下：
将已知的某种病毒数据样本分为n-1段，针对每一段选取最适合的决策树算法生成一棵决策树，由此得到决策树1、决策树2、决策树3……决策树n-1，决策树1至决策树n-1在检测截取到的数据时，如果数据里有病毒某段数据特征，则截取这段数据标记数据包j，最后用ID3算法在整个数据集上生成一棵决策树n，决策树n是用来处理最后的投票，判断检测从网络上截取的一段数据是否带有入侵行为。最后投票阶段用ID3算法生成的决策树如图3-4所示：
投 票
有特征票数
投票记录
无特征票数
正常连接
通知管理员
1
0

图3-4 ID3算法生成决策树
如果从网络上截取一段数据，经过决策树1到决策树n-1后开始投票，数据里有病毒某段数据特征则这棵决策树投“1”票，如果没有则投“0”票，投票结果为数据集a。
对数据集a进行分析,“0”票放入数据集b（无病毒特征），“1”票放入数据集c(有病毒特征 ),根据公式(1)计算属于b的概率，如果概率大于或等于1/2，则表示连接正常,如果没有则表示有该类型病毒入侵。
发现有病毒入侵时通知管理员，管理员将病毒类型发送至管理器，通过管理器查询是否有该类型病毒的解决方案。如果有解决方案则调用解决方案解决该类病毒，并且进行记录,如果没有解决方案则对该数据文件进行隔离，如果不能隔离则放弃处理该文件,没有解决方案的时候也要记录该数据包,以方便专业病毒处理人员对病毒进行研究。
投票记录也是非常重要的一个步骤，具体记录方式如表3-1：

表3-1 投票记录
决策树
票
数据包
决策树1
0
无

决策树2

1
数据包1
数据包3
数据包4
决策树3
1
数据包2
数据包5

这样记录能够在发现入侵检测行为后迅速找出关于入侵的具体细节，方便以后管理员的处理。

4 总结
采用单一的决策树算法已经不能快速全面的对入侵数据进行检测，所以本文提倡使用多决策树合并算法。虽然多决策树合并算法在建树时是一项比较巨大的工程，但是由于现在网络入侵的多样化，单一算法建立的决策树并不能全面的分析采样数据，所以针对每一个小数据包都有一棵相对的决策树，这就能够精细的划分每一项，同时更能精确而快速的查找出入侵行为。
多决策树合并算法不但可以用于入侵检测系统的分析器部分，还可以用于它的感应器和管理器部分。比如感应器部分就可以用多决策树算法，将网络数据包、log文件和系统调用的记录针对各自特征采取相应算法建立决策树，也比较方便以后的系统调用；管理器部分是用户控制台，这部分可以利用多决策树合并算法增强其可视度，向用户方便快捷的提供收集到的各种数据及分析结果，能快速查找及设置参数。
总之，多决策树合并算法在使用中的优势远远大于任何一种单一的决策树算法，所以它在以后的入侵检测系统中将发挥巨大作用。

参考文献
[1] 邵峰晶,于忠清.数据挖掘原理与算法[M].北京：中国水利水电出版社，2003
[2] 薛静锋,宁宇鹏,阎慧.入侵检测技术[M].北京：机械工业出版社，2004
[3] 唐正军等.入侵检测技术导论[M].北京：机械工业出版社,2004
[4] Jiawei Han, Micheline Kamber.数据挖掘概念与技术.Data Mining concepts and Techniques[M] ．北京：机械工业出版社， 2003.3
[5] 陈京民等.数据仓库与数据挖掘技术[M].天津：电子工业出版社，2002
[6] 李亮,李汉菊,黎明.用于决策树改进基于网络协议的入侵检测技术[J].华中科技大学学报（自然科学版）2004,32(12)
[7] 史长琼,易昂.基于多决策树算法的网络入侵检测[J].计算机工程与设计2004,25(4)
[8] 付成宏,傅明,肖如良,唐贤瑛.给予决策树的快速入侵检测方法[J].长沙电力学院学报2004,19(2)
[9] 陈文.基于决策树的入侵检测的实现[J].安徽技术师范学院学报，2005,19（18~20）
[10] 刘晓平.决策树的自动生成模板[J].计算机仿真，2005.12（76~79）
[11] 姚家奕,姜海,王秦.决策树算法的系统实现与修剪优化[J].计算机工程与设计，2002.8
[12] 郭玉滨.决策树ID3算法研究及改进[J].荷泽学院学报，2005.第5期

致谢
光阴似箭，四年的大学生活转眼即将过去。这四年是作者人生中最重要的阶段。在这期间，作者幸运的遇到了许多好老师，在他们的帮助和指导下，学到了大量专业知识及学习方法，这些知识和方法为日后进一步学习打下坚实基础。在此，要感激所有教过作者，给予作者帮助的老师们，正是他们无私奉献精神和诲人不倦的育人态度，才使作者顺利成长。
感谢大学四年中所有的任课老师，感谢他们对作者学习上的帮助和影响，他们特色的教学风格，渊博的专业知识，高度的责任感给作者留下深刻印象。
感谢大学四年和作者一同走过的朋友们，与他们一起学习，生活，让作者拥有许多难忘时光。共同经历成长中的一点一滴，无论是欢笑还是泪水，作者都将铭记一生。
感谢作者的指导老师,本文正是在她严格的督促和细心的指导下完成的。在做毕业论文的过程中，父母的鼓励和支持帮助作者克服了许多困难，使得本科学业顺利完成。作者向老师及父母表示衷心的感谢！
感激大学四年在这里度过，风景如画的校园、先进的教学设备、特色的风土人情都给作者留下了最美好的回忆，这些回忆是作者人生中的一笔财富。
14