數(shù)據(jù)流頻繁項(xiàng)挖掘及其在網(wǎng)絡(luò)取證中的應(yīng)用.pdf

1、隨著網(wǎng)絡(luò)速度的不斷提高，網(wǎng)絡(luò)攻擊形式中經(jīng)常會(huì)有超過百Gb流量的攻擊，面對(duì)高速大流量攻擊，遭受攻擊的受害者往往無(wú)法獨(dú)自應(yīng)對(duì)。我們迫切需要借助法律手段來建立網(wǎng)絡(luò)自我防御機(jī)制，而絡(luò)取證就是其中最重要的手段之一，然而目前網(wǎng)絡(luò)動(dòng)態(tài)取證方面還存在很多需要探索和改進(jìn)的地方。已有的研究表明，大量的網(wǎng)絡(luò)證據(jù)都以數(shù)據(jù)流的形式存在，這些激增的數(shù)據(jù)具有海量、實(shí)時(shí)、易失等特點(diǎn)，給網(wǎng)絡(luò)動(dòng)態(tài)取證帶來了巨大的挑戰(zhàn)。因此，如何及時(shí)挖掘異常網(wǎng)絡(luò)數(shù)據(jù)流，快速分析網(wǎng)絡(luò)異常數(shù)據(jù)

2、流，并進(jìn)一步獲得動(dòng)態(tài)網(wǎng)絡(luò)犯罪的證據(jù)，對(duì)保障網(wǎng)絡(luò)信息安全具有重要意義
　　傳統(tǒng)靜態(tài)取證方法很難滿足網(wǎng)絡(luò)在線犯罪的動(dòng)態(tài)取證，伴隨黑客技術(shù)的普及DDoS這一攻擊手段逐漸變成互聯(lián)網(wǎng)上規(guī)模最大、危害最嚴(yán)重、防護(hù)最困難的攻擊手段，DDoS攻擊犯罪過程大部分都是通過網(wǎng)絡(luò)發(fā)起攻擊，產(chǎn)生網(wǎng)絡(luò)堵塞或服務(wù)宕機(jī)達(dá)到目的。本文針對(duì)DDoS攻擊研究網(wǎng)絡(luò)動(dòng)態(tài)取證流程，主要貢獻(xiàn)有以下三點(diǎn)：
　　(1)將并行頻繁項(xiàng)挖掘算法應(yīng)用到DDoS攻擊取證中。大流量網(wǎng)絡(luò)

3、攻擊數(shù)據(jù)包往往由木馬工具控制發(fā)起，與正常包相比不存在可交互性，其內(nèi)容多為較固定的代碼片段（文中稱指紋），存在較高的重復(fù)率。根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包本身含有的指紋特征，在進(jìn)行取證分析時(shí)本文將頻繁項(xiàng)挖掘算法應(yīng)用到高速網(wǎng)絡(luò)的攻擊行為檢測(cè)中，能夠及時(shí)快速的檢測(cè)到高頻率的攻擊指紋，從而進(jìn)行防御和取證。并且根據(jù)高速網(wǎng)絡(luò)中數(shù)據(jù)流量的大問題提出基于歷史數(shù)據(jù)的基線過濾辦法，通過基線過濾來減少頻繁項(xiàng)挖掘算法的數(shù)據(jù)輸入，僅將基線外的異常數(shù)據(jù)流量輸入取證分析服務(wù)器，降低

4、了數(shù)據(jù)流量清洗的難度。
　　(2)提出了基于負(fù)載均衡和冗余剪枝的頻繁項(xiàng)挖掘算法。改進(jìn)原有的并行頻繁項(xiàng)挖掘算法，通過快速剪枝，以降低遞歸挖掘時(shí)算法的時(shí)間和空間復(fù)雜度。并且引入負(fù)載均衡優(yōu)化策略，在管理節(jié)點(diǎn)分配任務(wù)前預(yù)先估計(jì)分布式子節(jié)點(diǎn)的挖掘任務(wù)，來盡量平分負(fù)載，避免某個(gè)子節(jié)點(diǎn)過載的情況，提高了算法的挖掘效率和穩(wěn)定性，在時(shí)間和內(nèi)存上具有更低的資源消耗，進(jìn)一步降低了取證分析的響應(yīng)時(shí)間。
　　(3)最后，根據(jù)以上兩點(diǎn)改進(jìn)，設(shè)計(jì)了基于并