[發(fā)明專利]基于改進譜聚類的報警數(shù)據(jù)融合方法

有效

• 申請?zhí)枺?/td>: 202110668012.1
• 申請日: 2021-06-16
• 公開（公告）號: CN113420802B
• 公開（公告）日: 2023-05-30
• 發(fā)明（設計）人: 陶曉玲;符廉銪;趙峰;歐陽逸夫;顧濤;賈飛
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: G06F18/25
• 分類號: G06F18/25;G06F18/23213;H04L9/40
• 代理公司: 桂林文必達專利代理事務所(特殊普通合伙) 45134
• 代理人: 張學平

1.一種基于改進譜聚類的報警數(shù)據(jù)融合方法，其特征在于，

包括對報警數(shù)據(jù)進行預處理；

將報警數(shù)據(jù)按照攻擊類型進行分組；

對每個組中的報警數(shù)據(jù)利用屬性相似度度量方法計算每兩個報警之間的相似度，并構造相似度矩陣，具體步驟是：

計算攻擊類型、源IP、目的IP、源端口、目的端口以及時間的相似度，包括：

攻擊類型相似度計算：通過直接對比兩條報警數(shù)據(jù)的攻擊類型是否相同，如果相同，則將其相似度設為1，否則設為0，計算公式如下：

IP地址相似度計算：對于源IP地址、目的IP地址，根據(jù)無類別域間路由格式來判斷計算它們的相似度；報警數(shù)據(jù)中的IP屬性是由32位二進制數(shù)格式呈現(xiàn)的，通過比較兩個IP地址具有的相同位數(shù)來計算IP地址的相似度，其計算公式如下：

其中L表示兩條報警數(shù)據(jù)的IP地址從高位開始連續(xù)相同的位數(shù)個數(shù)，如果sim_ip為0，則表示兩個IP地址完全不相似；如果sim_ip為1，則表示兩個IP地址完全一致；

端口相似度計算：直接對端口號進行比較，如果相同，則將其相似度設為1，否則設為0，計算公式如下：

時間相似度計算：采用的時間相似度計算方法如下：

其中T是定義的時間窗口閾值，表示兩條報警數(shù)據(jù)能夠進行融合的最大時間間隔，T_max-T_min＝T；

基于主成分分析法計算各個關鍵屬性的權重；

基于相似度和權重構造相似度矩陣，具體方式為通過為每個屬性設置相應的權重得到報警數(shù)據(jù)間的總體相似度，兩條報警alert_i與alert_j的總體相似度計算公式如下：

其中sim_l表示報警各個屬性的相似度，ω_l表示各屬性對應的權重；

基于相似度矩陣利用譜聚類算法對報警數(shù)據(jù)進行聚類形成簇；

對同一個簇中的報警進行閾值判斷，若達到閾值則對同一個簇中的報警數(shù)據(jù)進行融合，然后輸入到融合數(shù)據(jù)集；若未達到閾值則直接輸入到融合數(shù)據(jù)集；

將所有簇的融合數(shù)據(jù)集組成精簡警報數(shù)據(jù)集輸出。

2.如權利要求1所述的基于改進譜聚類的報警數(shù)據(jù)融合方法，其特征在于，

所述對報警數(shù)據(jù)進行預處理的具體步驟是：

輸入原始數(shù)據(jù)集；

在原始數(shù)據(jù)集中提取報警數(shù)據(jù)的關鍵屬性；

基于入侵檢測消息交換格式將原始數(shù)據(jù)的格式轉(zhuǎn)換成統(tǒng)一格式。

3.如權利要求2所述的基于改進譜聚類的報警數(shù)據(jù)融合方法，其特征在于，

所述關鍵屬性包括特征字符串、報警類別、報警日期、報警時間戳、源IP、源端口、目的IP和目的端口。

4.如權利要求1所述的基于改進譜聚類的報警數(shù)據(jù)融合方法，其特征在于，

所述基于相似度矩陣利用譜聚類算法對報警數(shù)據(jù)進行聚類形成簇的具體步驟是：

計算相似度矩陣的度矩陣和拉普拉斯矩陣，并對拉普拉斯矩陣進行規(guī)范化處理；

計算拉普拉斯矩陣的特征值，并對特征值進行降序排序，然后取前k個特征值并計算其對應的特征向量；

將特征向量作為列向量構成映射矩陣；

按行對映射矩陣進行歸一化，得到歸一化矩陣；

使用K-Means算法對歸一化矩陣進行聚類，并標記數(shù)據(jù)所屬類別；

根據(jù)標記得到K個簇。