[發明專利]一種基于聚類算法的異常行為檢測的方法

有效

• 申請號: 201811355937.5
• 申請日: 2018-11-15
• 公開（公告）號: CN109714311B
• 公開（公告）日: 2021-12-31
• 發明（設計）人: 王小東;韓飛
• 申請（專利權）人: 北京天地和興科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;G06K9/62
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于聚類算法的異常行為檢測的方法，其特征在于包括以下步驟：

A、基于采集到的針對設備的連接建立頻率，平均連接持續時間，流量帶寬采樣信息，形成綜合信息采樣樣本；對設備的綜合信息采樣樣本采樣點進行分類，形成各個設備的行為模型；

利用網絡中部署的探針設備采集網絡流量，在學習階段，周期性地對網絡中的每臺設備的連接建立頻率進行采樣，形成各個設備連接建立頻率采樣樣本，如下表所示，

設備	連接建立頻率采樣樣本
設備1	1,1,F1,2,……F1,N-1,F1,N}]]>
設備2	2,1,F2,2,……F2,N-1,F2,N}]]>
…	…
設備M	M,1,FM,2,……FM,N-1,FM,N}]]>

其中，F_M,N表示設備M的連接建立頻率采樣樣本中的第N個采樣點；

利用網絡中部署的探針設備采集網絡流量，在學習階段，對網絡中的每臺設備的連接持續時間進行采樣，經過一段時間的采樣，形成各個設備連接持續時間采樣樣本，如下表所示，

其中，T_M,N表示設備M的平均連接持續時間采樣樣本中的第N個采樣點；

利用網絡中部署的探針設備采集網絡流量，在學習階段，周期性地對網絡中的每臺設備的流量帶寬進行采樣，經過一段時間的采樣，形成各個設備流量帶寬采樣樣本，如下表所示，

設備	流量帶寬采樣樣本
設備1	1,1,B1,2,……B1,N-1,B1,N}]]>
設備2	2,1,B2,2,……B2,N-1,B2,N}]]>
…	…
設備M	M,1,BM,2,……BM,N-1,BM,N}]]>

其中，B_M,N表示設備M的流量帶寬采樣樣本中的第N個采樣點；

將采集到的針對設備的連接建立頻率，平均連接持續時間，流量帶寬采樣信息，形成綜合信息采樣樣本，如下表所示，

其中S_M,N是設備M的綜合信息采樣樣本中的第N個采樣點，并且S_M,N＝{F_M,N,T_M,N,B_M,N}；

對設備的綜合信息采樣樣本采樣點進行分類包括以下步驟，

隨機選擇K個點作為初始的質心點，當任意一個點的簇分配結果發生改變時，計算每一個質心與每一個采樣點的距離，將采樣點分配到距離最近的簇，對每一個簇，計算簇中所有點的均值，并將均值作為質心；

通過輪廓系數來確定K的取值，

對于每個采樣點x⁽ⁱ⁾，計算點x⁽ⁱ⁾與其同一個簇內的所有其他采樣點距離的平均值，記作a⁽ⁱ⁾，用于量化簇內的凝聚度；

選取x⁽ⁱ⁾外的一個簇b，計算x⁽ⁱ⁾與b中所有點的平均距離，遍歷所有其他簇，找到最近的這個平均距離,記作b⁽ⁱ⁾，即為x⁽ⁱ⁾的鄰居類，用于量化簇之間分離度；

對于采樣點x⁽ⁱ⁾，輪廓系數q⁽ⁱ⁾＝(b⁽ⁱ⁾-a⁽ⁱ⁾)/max(a⁽ⁱ⁾，b⁽ⁱ⁾)；

計算所有采樣點x⁽ⁱ⁾的輪廓系數，求出平均值即為整體輪廓系數，度量數據聚類的緊密程度；

建立設備的行為模型包括以下步驟，

計算出每一類采樣點中點到該類質心的歐氏距離的均值，標準差，最大值；

該類采樣點到該類質心的歐氏距離的均值計算方法如下：

該類采樣點到該類質心的歐氏距離的標準差計算方法如下：

該類采樣點到該類質心的歐氏距離的最大值計算方法如下：

ED_max＝max{||x₁-μ_j||，||x₂-μ_j||，......||x_m-μ_j||}，

其中，x_i為第i個采樣點，μ_j為第j類質心，m為采樣點數量；

針對某個具體的設備，可得到如下信息：

類別	所包含采樣點	類別質心	歐氏距離標準差	歐氏距離最大值
1	1,1,x1,2,…x1,m1}]]>	1]]>	ED1]]>	1max]]>
2	2,1,x2,2,…x2,m2}]]>	2]]>	ED2]]>	2max]]>
…	…	…	…	…
j	j,1,xj,2,…xj,mj}]]>	j]]>	EDj]]>	jmax]]>
…	…	…	…	…
K	k,1,xk,2,…xk,mk}]]>	k]]>	EDk]]>	kmax]]>

；

B、利用上述設備的行為模型，針對新的采樣點進行異常行為檢測；

計算該新的采樣點到各個分類的質心的歐氏距離，與該新的采樣點歐氏距離最小的質心所在的類，即為該新的采樣點所屬的類，判斷該新的采樣點與其所屬類的質心的歐氏距離是否大于該新的采樣點到各個分類的質心的歐氏距離最大值與2倍的歐氏距離標準差之和，如果出現了大于的情況，則認為該新的采樣點為異常采樣點，否則認為該新的采樣點為正常采樣點。