一种改进的K-means算法在入侵检测中的应用.docVIP

一种改进的K-means算法在入侵检测中的应用 　　摘要:传统的聚类算法存在很多缺点,因此需要做进一步的研究。通过对传统的K-means算法和加权熵措施的K-means算法的研究,提出了一种改进的加权熵措施的K-means算法,且该算法采用了一种新的计算对象间距离的方法,不仅能使在同一个簇中任意对象之间的距离尽可能的小,更能使得不同簇中的任意对象之间的距离尽可能的大。通过在KDD Cup99数据集上实验仿真,表明该算法具有较强的实用性和自适应功能。 　　关键词:网络安全;数据挖掘;入侵检测;加权熵;K-means算法 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)34-9824-04 　　Application of an Improved K-means Algorithm in Intrusion Detection 　　WANG Yan-tao,ZHANG Feng-bin 　　(School of Computer Science and Technology, Harbin University of Science and Technology, Harbin 150080, China) 　　Abstract: Traditional clustering algorithm has a lot of shortcomings ,therefore need to do further study.Through studying the traditional K-means algorithm and the K-means algorithm of entropy-weighted measure, an improved K-means algorithm of entropy-weighted measure is proposed, the algorithm uses a new method of calculating the distance of the objects not only make the distance between any objects close as much as possible in the same cluster, but also make the distance between any objects as large as possible in the different clusters. Through the KDD Cup99 data set simulation experiment, showing that the algorithm has a strong applicability and self-adaptability. 　　Key words: network security; data mining; intrusion detection; entroy-weighed; K-means algorithm 　　随著网络技术的飞速发展和Internet的日益普及,网络安全的重要性也愈加突出。信息安全已成为国家和国防安全的重要组成部分,同时也是国家网络经济发展的关键。 　　入侵检测系统则(IDS)是利用入侵检测技术实现的信息安全系统。入侵检测系统的好坏取决于入侵检测技术,入侵检测技术主要包括:专家系统技术,统计分析,神经网络,生物免疫学,智能代理检测技术,模糊技术,数据挖掘,模式匹配技术等[1],其中的数据挖掘技术是一种决策支持过程,它主要基于人工智能,机器学习统计等技术,能从大量数据中提取或挖掘知识。 　　数据挖掘技术中的聚类分析方法具有可伸缩性、能处理不同类型属性数据、可按各种约束聚类等优点,尤其适应大型数据库的模式分类[2],而K-means算法是聚类分析方法中的一种,其优点是算法简单,实现效率高。 　　1 建立入侵检测库 　　基于数据挖掘的入侵检测框架主要由数据收集,数据挖掘,模式匹配以及智能决策等4个模块组成,整个系统的基本模型如下图1[3]所示。 　　根据框架知,首先数据收集模块从数据源中提取原始数据,数据源包括系统日志,网络数据包等,将原始数据经过预处理后得到审计数据,将预处理过的审计数据提交给数据挖掘模块,对审计数据经过整理和分析,找到可用于入侵检测的模式和知识,然后提交给模式匹配模块进行入侵分析,做出最终判断,最后由智能决策模块做出应对措施。其中数据挖掘模块是入侵检测框架的核心,下文主要研究数据挖掘中的聚类算法。 　　1.1 聚类分析简介 　　聚类算法原则是”最大化簇内相似性,最小化簇间相似性”,将数据对象分成很多的簇,同一个