[發(fā)明專利]網(wǎng)絡(luò)流量自動(dòng)化特征挖掘方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201310008027.0
• 申請(qǐng)日: 2013-01-09
• 公開（公告）號(hào): CN103067300A
• 公開（公告）日: 2013-04-24
• 發(fā)明（設(shè)計(jì)）人: 薛一波;袁振龍
• 申請(qǐng)（專利權(quán)）人: 清華大學(xué)
• 主分類號(hào): H04L12/811
• 分類號(hào): H04L12/811
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 王瑩

1.一種網(wǎng)絡(luò)流量自動(dòng)化特征挖掘方法，其特征在于，包括步驟：

S1：網(wǎng)絡(luò)流量數(shù)據(jù)的預(yù)處理；

S2：最高支持度頻繁項(xiàng)挖掘；

S3：依據(jù)頻繁項(xiàng)層次化迭代聚類；

S4：按層次分級(jí)輸出有效特征組合。

2.如權(quán)利要求1所述的方法，其特征在于，S1包括：

S1.1：捕獲網(wǎng)絡(luò)流量信息；

S1.2：預(yù)處理捕獲流量，提取其流量載荷特征和流特征；

S1.3：格式化打印輸出已提取的載荷特征和流特征。

3.如權(quán)利要求2所述的方法，其特征在于，S1.1包括：

S1.1.1：利用Wireshark或者Tcpdump抓包軟件或工具在本機(jī)或出口網(wǎng)關(guān)上捕獲網(wǎng)絡(luò)流量；

S1.1.2：根據(jù)流量過(guò)濾規(guī)則過(guò)濾出指定應(yīng)用的網(wǎng)絡(luò)流量。

4.如權(quán)利要求2所述的方法，其特征在于，S1.2包括：

S1.2.1：將已得到的網(wǎng)絡(luò)流量輸入libnids流量處理系統(tǒng)中；

S1.2.2：提取特定五元組網(wǎng)絡(luò)流的特征，特征分為載荷特征和流特征，載荷特征為數(shù)據(jù)包載荷部分的字節(jié)值，流特征為網(wǎng)絡(luò)流的統(tǒng)計(jì)特征，如數(shù)據(jù)包包長(zhǎng)；

5.如權(quán)利要求2所述的方法，其特征在于，S1.3包括：

S1.3.1：將提取到的網(wǎng)絡(luò)流中每個(gè)數(shù)據(jù)包的載荷的每個(gè)字節(jié)轉(zhuǎn)換為兩位16進(jìn)制表示，并分別添加三位16進(jìn)制數(shù)表示每個(gè)字節(jié)在所屬數(shù)據(jù)包中全部載荷內(nèi)的序號(hào)位置，注意將同屬一個(gè)數(shù)據(jù)包載荷部分的數(shù)據(jù)排列成一行，這樣對(duì)于N個(gè)數(shù)據(jù)包則存在N行數(shù)據(jù)，其中每行數(shù)據(jù)中每一列均為5位16進(jìn)制數(shù)。

S1.3.2：將提取到的網(wǎng)絡(luò)流中的流特征，如數(shù)據(jù)包包長(zhǎng)大小，也轉(zhuǎn)換為三位16進(jìn)制數(shù)表示，并分別添加四位16進(jìn)制數(shù)表示每個(gè)數(shù)據(jù)包在五元組網(wǎng)絡(luò)流中的序號(hào)位置，注意將同屬一個(gè)網(wǎng)絡(luò)流的數(shù)據(jù)排列成一行，這樣對(duì)于N條網(wǎng)絡(luò)流則存在N行數(shù)據(jù)，其中每行數(shù)據(jù)中每一列均為7位16進(jìn)制數(shù)。

6.如權(quán)利要求1所述的方法，其特征在于，S2包括：

S2.1：利用Apriori算法計(jì)算針對(duì)載荷特征的N行數(shù)據(jù)或者針對(duì)流特征的N行數(shù)據(jù)的最高支持度的頻繁項(xiàng)；

S2.2：根據(jù)S2.1計(jì)算得到的最高支持度的頻繁項(xiàng)，將所有包含此頻繁項(xiàng)的行聚為一類，并將其設(shè)為A類，將其余不包含此最高支持度頻繁項(xiàng)的行聚為另一類，并將其設(shè)為B類；

S2.3：將S2.2中得到的B類再次利用Apriori算法計(jì)算其最高支持度的頻繁項(xiàng)，并將包含此頻繁項(xiàng)的行聚為一類，將其設(shè)為C類，將所述B類中不包含此最高支持度頻繁項(xiàng)的行聚為另一類，并將其設(shè)為D類；

S2.4：每次將不包含最高支持度頻繁項(xiàng)的類重復(fù)執(zhí)行S2.3，直到全部行聚類完成，且每類中高支持度頻繁項(xiàng)的支持度均為1。

7.如權(quán)利要求1所述的方法，其特征在于，在S3中：

S3.1：設(shè)在S2中所有行共聚為M類，對(duì)于M類中的每一類再繼續(xù)重復(fù)執(zhí)行S2，此時(shí)再計(jì)算最高支持度時(shí)仍須排除前面已被找到并據(jù)此聚類的頻繁項(xiàng)；

S3.2：第一次執(zhí)行S2得到的為自動(dòng)化特征挖掘的第一層特征數(shù)據(jù)，第二次對(duì)于M類中每一類執(zhí)行S2的得到的為自動(dòng)化特征挖掘的第二層特征數(shù)據(jù)，以此類推，直到迭代完成至無(wú)法繼續(xù)聚類。

8.如權(quán)利要求1所述的方法，其特征在于，S4包括：

S4.1：保存S2和S3執(zhí)行過(guò)程中每一類的最高支持度頻繁項(xiàng)及其所存在于的特征行數(shù)目大小；

S4.2：展示步驟S4.1得到的各項(xiàng)層級(jí)數(shù)據(jù)，同時(shí)可根據(jù)閾值智能提取能覆蓋所有N行數(shù)據(jù)比例超過(guò)閾值的所有有效特征組合并輸出。