基于邻接序列模式挖掘的网络流量分析.pdfVIP

基于邻接序列模式挖掘的网络流量分析 2010短 文章编号 ：1003-5850(2010)10-0006-03 基于邻接序列模式挖掘的网络流量分析 NetworkTrendAnalysisbasedon ContiguousSequentialM iningPatterns 师鸣若 (北京物资学院 北京 101149) 【摘 要】在网络流量模式挖掘 中，发现邻接序列模式 (CSP)是一个重要问题，为网络流量分析提 出了一种新 的树型数据结构。为了有效存储包含指定项的所有序列，该树组合 了前缀树和后缀树，这种特殊的树结构确保 了CSP检测的有效性。实验表明与已有方法相比，使用该结构不仅改进 了CSP挖掘的时间性能，而且改进 了空 间性能。 【关键词】序列模式，数据挖掘 ，流量分析 中图分类号：TP309 文献标识码 ：A ABSTRACT FindingContiguousSequentialPatterns(CSP)isanimportantproblem innetworktrendmining·Inthispaperwe proposeanew datastructure，UpDownTree，forCSP mining．AnUpDownTreecombinessuffixtreeandprefixtreeforefficient storageofallthesequencesthatcontainagiven item ．ThespecialstructureofUpDownTreeensuresefficientdetectionofCSPs． Experimentsshow thatUpDownTreeimprovesCSPminingofbothtimeandmemoryusagecomparingtOexistingmethods． KEYW ORDS sequentialpatterns，datamining，flow analysis 随着网络连接能力、流通能力的提高 ，基于网络连 且 随着时间的延续一路爬升 ，到晚上 2O点、21点的时 接的系统安全问题也 日益突出，迫切需要对 网络流量 候达到高峰，有 80．5％的网民在这一时间上 网，这之 进行有效分析。一种有效的网络流量挖掘技术是序列 后上网人数又逐渐减少 。因此，网络的使用率在时间上 模式挖掘，以便及时发现 网络异常。邻接序 列模式 的规律性也导致了网络流量在时间上存在一定的规律 (CSP)是序列模式 的一个改进，要求模式必须与被挖 性 。 掘的序列保持相同的顺序 。在网络流量分析中，邻接序 本文关注 的流量数据 的属性有 ：节点数，流量类 列模式往往比序列模式效率更高。 型、事件类型、时间、人流量字节数 、出流量字节数、人 在数据挖掘与入侵检测相结合 的分析中，使用最 流量包数 目和出流量包数 目。其中节点是对整个网络 频繁的是审计数据 (auditdata)。审计数据是通过网络 的一个划分 ；流量类型有若干种，包括本文用到的端 口 嗅探器 ，实时记录网络的各种连接信息，例如协议 ，连 流量和协议流量 ；不同流量类型包括不同的事件类型。 接时间，连接时长等，因忽略网络数据包的具体 内容， 在考虑大型网络的时候，后面四个流量 的分布有着对 所以得到的是不定维数的记录数据 。 应关系，是符合同样 的分布特征的。在本文中，只考虑 本文针对主流的网络异常 (即拒绝服务攻击、蠕虫 人流量包数 目。按照节点、流量类型、事件类型和变量 病毒、恶意消耗网络带宽、网络关键基础设施的损坏、 (人流量包数 目)四个属性定义流量数据 。依据流量数 木马和僵尸网络)多样化和数量上升趋势，提出了一种 据按流量大小对一天 24h进行排序 ，则可得到一个长 新的树型数据结构进行有效的邻接序列模式挖掘。