基于信息熵聚類(lèi)的異常檢測(cè)方法研究.pdf

1、異常檢測(cè)是入侵檢測(cè)的一種檢測(cè)模型，是一種積極主動(dòng)的安全防護(hù)技術(shù)。它作為對(duì)傳統(tǒng)安全保護(hù)措施的補(bǔ)充，有效的彌補(bǔ)了傳統(tǒng)安全保護(hù)措施的缺陷，其重要性越來(lái)越得到人們的肯定。但由于網(wǎng)絡(luò)流量數(shù)據(jù)十分龐大，很難及時(shí)發(fā)現(xiàn)入侵行為，異常檢測(cè)性能面臨巨大挑戰(zhàn)。而數(shù)據(jù)挖掘技術(shù)能從大量數(shù)據(jù)中挖掘潛在有用的信息，能很好的解決這一問(wèn)題。經(jīng)典聚類(lèi)算法K-means原理簡(jiǎn)單且容易實(shí)現(xiàn)，在異常檢測(cè)的應(yīng)用中具有重要的研究?jī)r(jià)值。
　　本文以提高檢測(cè)率和降低誤報(bào)率為目的。

2、對(duì)經(jīng)典聚類(lèi)算法K-means無(wú)法確定聚類(lèi)個(gè)數(shù)K值和隨機(jī)選取初始聚類(lèi)中心的不足進(jìn)行改進(jìn)。提出一種基于信息熵和改進(jìn)K-means聚類(lèi)的異常檢測(cè)方法。在本文研究中，用信息熵表示特征屬性的變化情況，改進(jìn)K-means算法做異常檢測(cè)分析，采集連續(xù)三天的網(wǎng)絡(luò)數(shù)據(jù)，并模擬攻擊行為對(duì)改進(jìn)方法的性能進(jìn)行驗(yàn)證。總結(jié)主要研究重點(diǎn)為:
　　(1)研究網(wǎng)絡(luò)安全現(xiàn)狀和傳統(tǒng)安全保護(hù)措施。從理論上對(duì)比分析部分常用異常檢測(cè)方法，把信息熵和數(shù)據(jù)挖掘聚類(lèi)算法結(jié)合應(yīng)用到

3、異常檢測(cè)研究中。分析網(wǎng)絡(luò)入侵行為的一般規(guī)律，把源IP地址、目的IP地址、源端口、目的端口、連接時(shí)間作為異常檢測(cè)特征屬性。以一秒為時(shí)間段，計(jì)算網(wǎng)絡(luò)流量在特征屬性上的信息熵。
　　(2) K-means聚類(lèi)算法的聚類(lèi)結(jié)果易受聚類(lèi)個(gè)數(shù)K值的影響，而聚類(lèi)個(gè)數(shù)K值一般根據(jù)經(jīng)驗(yàn)設(shè)定。提出在聚類(lèi)過(guò)程中設(shè)置分類(lèi)閡值，根據(jù)聚類(lèi)結(jié)果動(dòng)態(tài)調(diào)整聚類(lèi)個(gè)數(shù)K的值，克服聚類(lèi)個(gè)數(shù)K值憑經(jīng)驗(yàn)設(shè)定而影響聚類(lèi)效果的不足。針對(duì)K-means聚類(lèi)算法隨機(jī)選取初始聚類(lèi)中心易

4、導(dǎo)致聚類(lèi)結(jié)果陷入局部最優(yōu)的不足，在選取初始聚類(lèi)中心時(shí)，把相距最遠(yuǎn)的數(shù)據(jù)對(duì)象作為聚類(lèi)中心，使初始簇之間的相似性盡可能最大，改善聚類(lèi)效果和質(zhì)量，從而提高異常檢測(cè)的檢測(cè)性能。
　　(3)利用改進(jìn)K-means聚類(lèi)算法構(gòu)建異常檢測(cè)系統(tǒng)。并用訓(xùn)練數(shù)據(jù)集和模擬DDOS攻擊、網(wǎng)絡(luò)掃描數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)，檢驗(yàn)異常檢測(cè)系統(tǒng)的效果。實(shí)驗(yàn)結(jié)果顯示，本文異常檢測(cè)方法的平均檢測(cè)率和平均誤報(bào)率分別為98.1667％和2.0000％。與原始K-means聚類(lèi)算法進(jìn)