基于邻接序列模式挖掘的网络流量分析

随着 网络连接 能力 、 流通能力 的提高 ， 基于 网络连
且 随着 时间 的延续 一路爬 升 ， 到晚上 ２ Ｏ点 、 １点 的时 ２
候 达 到 高 峰 ， ８ ． ％的 网 民在 这 一 时 间上 网， 之 有 ０５ 这
接 的系 统安 全 问题 也 日益 突 出 ， 切需 要对 网络 流量 迫 进行 有效 分析 。一 种有效 的 网络 流量挖掘 技术是 序列
性 。
掘 的序列保 持相 同的顺序 。 网络 流量分 析 中， 接序 在 邻
列模 式往 往 比序列模 式效 率更高 。 在数 据挖 掘与 入 侵检 测相 结合 的分 析 中， 用 最 使 频 繁的是 审计数据 （ｕ ｉ ｄ ｔ） 审计数据 是通过 网络 ａ ｄｔ ａａ 。 嗅探 器 ， 时记 录网 络 的各 种 连 接信 息 ， 如协 议 ， 实 例 连 接时间， 连接 时长 等 ， 因忽 略 网络数 据 包 的具体 内容 ，
基 于 邻 接 序 列 模 式 挖 掘 的 网 络 流 量 分 析
文 章 编 号 ： ０ ３ ５ ５ （ ０ ０ １ － ０ ６ ０ １ ０－８ ０ ２ １ ）００ ０－３
２１ ０ ０短
基 于邻 接 序 列 模 式 挖 掘 的 网 络 ｌ ｓ ｓ ｂ ｓ ｄ ｏ ｎｔｇ ｕ ｅ ｅ ｉ ｌＭ ｉ ｎｇ Ｐａ ｔ ｒ ｔ ｒ ｅ ａ ｙ ｉ ａ ｅ ｎ Ｃｏ ｉ ｕｏ ｓ Ｓ ｑｕ ｎｔａ ｎｉ ｔ ｅ ｎｓ
ｐ ｏ ｓ ｗ ａ ａ ｓ ｒ ｔ ｅ，Ｕ ｐ ｒ ｐｏ ｅ ａ ｎｅ ｄ ｔ ｔ ｕｃｕｒ Ｄｏｗ ｎ Ｔｒ ｅ，ｆ ｒ ＣＳＰ ｎ ｎｇ． Ａｎ Ｕ ｐＤｏ ｎ Ｔｒ ｅｃ ｅ ｏ ｍｉ ｉ ｗ ｅ ｏｍ ｂｉ ｓｓ ｆｘ ｔｅ ｎｄ ｐｒ ｆｘ ｔｅ ｏｒｅ ｆｃｅ ｎｅ ｕｆｉ ｒ ｅ ａ ｅ ｉ ｒ ｅ ｆ ｆｉｉｎｔ ｓ ｏ ａ ｅ ｏ ｌ ｈ ｅ ｕｅ ｅ ｈａ ｏ ａ ｎ ａ ｇｉｅ ｔ ｍ ． Ｔｈｅ ｓ ｅ ｉ ｔ ｕｃｕｒ ｆＵ ｐ ｔ ｒ ｇ ｆａ ｌｔ ｅ ｓ ｑ ｎｃ ｓ ｔ ｔｃ ｎｔ ｉ ｖ ｎ ｉｅ ｐ ｃａｌｓ ｒ ｔ ｅ ｏ Ｄｏｗ ｎ Ｔ ｒ ｅ ｅ ｕｒ ｓ ｅ ｆｃｅ ｔ ｃ ｉ Ｐｓ ｅ ｎｓ ｅ ｆｉｉｎｔｄｅ ｅ ｔｏｎ ｏｆＣＳ ． Ｅｘ ｒｍ ｅ ｔ ｈｏ ｔ ａｔＵｐＤｏｗｎ Ｔｒ ｅ ｉ ｐｒ ｖｅ ｐｅ ｉ ｎ ｓ ｓ ｗ ｈ ｅ ｍ ｏ ｓＣＳＰ ｉ ｎ ｆｂｏｔ ｉ ｅ ａ ｅ ｏｒ ａ ｏ ｐａ ｉ Ｏ ｅ ｉｔｎｇ ｍ ｅ ｈ ｓ ｍ ｎｉ ｇ ｏ ｈ ｔｍ ｎｄ ｍ ｍ ｙ ｕｓ ｇｅ ｃ ｍ ｒｎｇ ｔ ｘ ｓ ｉ ｔ ｏｄ ． Ｋ ＥＹＷ ＯＲＤＳ ｓ ｑｕ ｎｔａ ａ ｔ ｒ ｅ ｅ ｉｌｐ ｔ ｅ ｎｓ， ｄａ ａ ｍ ｉ ｎｇ， ｆｏ ａ ａ ｙ ｉ ｔ ｎｉ ｌ ｗ ｎ ｌ ｓｓ
模式 挖掘， 以便 及 时 发 现 网 络 异 常。邻 接 序 列 模 式 （ Ｓ ） 序列模 式 的一个 改 进 ， 求 模式 必 须 与被 挖 Ｃ Ｐ是 要
后 上 网人数 又逐渐 减少 。 因此 ， 网络 的使 用率 在时 间上
的规律 性也 导致 了 网络 流量 在时 间上存 在一 定 的规 律
间性 能。
【 关键词 】序 列模 式 ，数 据挖掘 ，流量分析
中 图分 类 号 ：ＴＰ ０ ３９ 文献标识码 ： Ａ
ＡＢ Ｔ Ｓ ＲＡＣ Ｆ ｎ ｉｇ Ｃｏ ｔ ｕ ｕ ｅ ｕ ｎ ｉ ｌ ｔｅ ｎ （ Ｓ Ｔ ｉｄｎ ｎ ｉ ｏ ｓＳ ｑ ｅ ｔ ｇ ａ Ｐａ ｔ ｒ ｓ Ｃ Ｐ） ｉ ａ ｍｐ ｒａ ｔ ｐ ｏ ｌ ｍ ｎ ｎ ｔ ｒ ｒ ｎ ｉｉ ｇ Ｉ ｈ ｓ ｐ ｐ ｒｗｅ ｓ ｎ ｉ ｏ ｔ ｎ ｒ ｂ ｅ ｉ ｅ ｗｏ ｋ ｔ ｅ ｄ ｍ ｎ ｎ ・ ｎ ｔ ｉ ａ ｅ
师 鸣 若
（ 京物 资学 院 北 京 １ １ ４ ） 北 ０ １ ９ 【 摘 要】在 网络 流量模 式挖掘 中，发 现邻 接序列模 式 （ Ｓ ）是 一个 重要 问题 ，为 网络流 量分 析提 出了一种新 ＣＰ 的树 型数据 结构 。为 了有 效存储包 含指定 项 的所 有序 列 ，该 树 组合 了前缀树 和 后缀树 ，这 种特 殊 的树 结构 确保 了 Ｃ Ｐ检 测 的有 效性。实验 表 明与 已有 方法相 比 ， Ｓ 使用 该 结构 不仅 改进 了Ｃ Ｐ挖 掘 的 时间性 能，而且 改进 了空 Ｓ
的一个 划分 ； 流量类 型有 若 干种 ， 括本 文用 到的端 口 包
流量和 协议 流量 ； 同流量类 型包括 不 同的事 件类 型 。 不
在 考 虑大 型 网络 的时 候 ， 面 四个 流量 的分 布有 着对 后
应关系， 是符 合 同样 的分 布特 征 的。在本 文 中 ， 只考虑 人 流量包 数 目。按 照节点 、 量类 型 、 件类 型和变量 流 事 （ 人流量 包数 目） 四个属性 定义 流量 数据 。依据 流量数 据 按流量 大小 对一 天 ２ ４ｈ进 行排 序 ， 则可得 到一 个 长 度 最大 为 ２ ４的序 列 。某些 天 序列 长度可 能 比较 短 ， 由
所 以得到 的是不定 维数 的记 录数据 。 本文针 对主 流的网络异 常 （ 即拒绝服务 攻击 、 蠕虫 病 毒 、 意 消耗 网络带 宽 、 恶 网络 关键 基 础设 施 的损 坏 、
本 文 关 注 的 流量 数 据 的属 性 有 ： 点 数 ， 量类 节 流 型 、 件类 型、 间 、 流量 字 节数 、 事 时 人 出流 量 字节 数 、 人 流量包 数 目和 出流量包 数 目。其 中节点 是对 整个 网络