基于层次聚类的网络流量异常分类算法.pdfVIP

第38卷 第23期 计 算 机 工 程 2012年 12月 Vol_38 No．23 ComputerEngineering December2012 · 安全技术 · 文章编号：10o0—3428(2ol2)23—131—06 文献标识码：A 中图分类号tTP393．08 基于层次聚类的网络流量异常分类算法 许 倩，程东年 (国家数字交换系统工程技术研究中心，郑州 450002) 摘 要 ：现有的异常流量根源分析技术大多需要人工干预，对异常事件的分类效果不佳。为此，提出基于层次聚类的流量异常分类算法 TAC—HC，通过特征属性的训练过程逐步建立分类树，把相似的异常嵌入到子树中，在未知数据集聚类数 目的情况下对新的异常进行分类。 仿真结果表明，TAC—HC算法的分类平均准确率达到89％，对网络扫描这类小异常事件的分类精确率也能达到95f3％。 关健词：流特征；属性向量；网络异常事件；层次聚类；异常分类算法 NetworkTrafficAnomalyClassificationAlgorithm Based0nHierarchicalClustering XUQian，CHENGDong—nian (NationalDigitalSwitchingSystemEngineeringTechnologicalRDCenter,Zhengzhou450002，China) [Abstract]Mostmethodsofrootcauseanalysisoftenrequiremanualintervention，andtheclassificationresultsofanomalyeventsarenotsatisfied． Thispaperproposesanovelmodelnamed~afficAnomalyClassificationbasedOilHierarchicalClustering(TAC—HE)．]itutilizestheleamingprocess ofitsfeatureattributestoestablishclassificationtreegraduallyandhtesimilaranomalyisembeddedinthesubtree．Theclassificationtreeclassifies new anomalieswiththenumberofclustersunknown．ExperimentalresultsshowhtattheclassificationaccuracyofTAC—HC algorithm reaches89％， andtheclassificationaccuracyofanomalieswithlow rtafficvolumessuchasnetworkscanreaches95．3％ ． [Keywords]trafficfeature；attributevector；networkanomalyevent；hierarchicalclustering；anomalyclassificationalgorithm DOI：1O．3969／j．issn．1000—3428．2012．23．032 1 概述 量，并从中寻找能揭示异常发生原因的根源事件 J。这个 随着互联网规模的不断扩大，各种网络攻击行为也 日 手动过程既耗时又繁琐，且容易出错。在大型因特网服务 益猖獗，对网络造成巨大危害。异常事件通常会触发异常 提供商(InternetServiceProvider，ISP)和企业网中有成百上 检测设备或软件产生告警，为了正确推断引起告警的原 千条链路，能引发告警的事件数可能轻易就使网络操作中