基于改進FCM的網(wǎng)絡異常流量檢測

龍穎 袁明蘭 胡雪

摘要：針對正常上網(wǎng)所產(chǎn)生的網(wǎng)絡流量遠遠大于攻擊、入侵等非正常手段產(chǎn)生的異常流量的特點，通過對傳統(tǒng)FCM算法進行改進，引入新的聚類中心矩陣計算方法來計算落入平均半徑范圍內(nèi)的流量數(shù)據(jù)的對象數(shù)量，根據(jù)該數(shù)量更新聚類中心矩陣，對流量數(shù)據(jù)進行聚類，并識別出網(wǎng)絡異常流量。對改進FCM算法、傳統(tǒng)FCM、HCM的效果進行比較分析發(fā)現(xiàn)，改進FCM雖然處理時間較HCM長，但對噪聲抑制較好，錯分率較低。

關鍵詞：FCM;流量檢測;聚類

隨著網(wǎng)絡帶寬逐漸增加、存儲介質(zhì)的容量逐漸增大、服務器計算能力逐漸增強，促使了數(shù)據(jù)產(chǎn)生的成本越來越低，從而造成網(wǎng)絡數(shù)據(jù)急劇膨脹。如何快速、準確對網(wǎng)絡流量進行識別和分類是網(wǎng)絡入侵檢測中亟待解決的問題。基于模糊集的FCM算法作為一種無監(jiān)督的分類方法[1]，表現(xiàn)了樣本與樣本之間的聯(lián)系，建立了數(shù)據(jù)樣本對類別的不確定性描述，已廣泛應用于機器學習、數(shù)據(jù)挖掘、圖像分割、海量數(shù)據(jù)分析等領域[2]。在網(wǎng)絡流量檢測中，往往基于以下假設，即網(wǎng)絡正常流量的數(shù)量遠遠大于異常流量，異常流量在數(shù)據(jù)中將會呈現(xiàn)出比較特殊的性質(zhì)，F(xiàn)CM能通過識別正常類別比例來確定異常的類別。

1傳統(tǒng)FCM算法描述

設有待分類的樣本集為 ，n是樣本集合中的元素個數(shù)，q是特征空間維數(shù)。將樣本集X劃分為c類，然后將n個樣本分別屬于c個類的隸屬度矩陣記為 ，其中 表示第k個樣本 屬于第i個類別的隸屬度， 應

滿足：

在目標函數(shù)中，樣本與類別的聚類距離度量的一般表達式為：

M為 階的對稱正定矩陣。聚類的準則為取 的極小值 。

為 階矩陣，表示聚類中心矩陣

為第i類的聚類中心

2改進FCM獲取初始聚類中心和聚類中心矩陣

對于給定的數(shù)據(jù)集 ，定義 為歐式距離，在聚類初期，不斷更新數(shù)據(jù)對象間的平均距離Mean_d，若以 點為中心，Mean_d為半徑范圍內(nèi)落入的數(shù)據(jù)對象越多，表明該對象作為聚類中心的可能越大。計算出每個數(shù)據(jù)對象以Mean_d為半徑，落入該區(qū)間的數(shù)據(jù)對象數(shù)目，將區(qū)間內(nèi)數(shù)據(jù)對象數(shù)目最多的一個對象作為初始聚類點 ，對于任意 如果

3異常判定

在聚類中心矩陣生成后，對每個聚類中心Mean_d范圍內(nèi)的數(shù)據(jù)對象數(shù)量進行判斷，依據(jù)經(jīng)驗，在網(wǎng)絡訪問所產(chǎn)生的流量中，正常流量的數(shù)量是遠遠大于異常流量，那么正常流量聚類所產(chǎn)生的類所包含的數(shù)據(jù)對象數(shù)目應遠遠大于異常流量所聚成的對象的數(shù)目。因此可以對聚類中心矩陣中每類的數(shù)據(jù)對象數(shù)目進行簡單排序，聚類中心中所含數(shù)據(jù)對象遠遠少于正常值的即為異常流量。

4結果與結論

為驗證算法有效性，利用matlab2018a對數(shù)據(jù)進行仿真，運行環(huán)境為win10，Intel?Core?i7-8750H，CPU@2.4Ghz，RAM16GB。從HTTP DATASET CSIC數(shù)據(jù)集中，按4：1的比例對正常流量數(shù)據(jù)和異常流量數(shù)據(jù)進行分別抽樣，隨機抽取一萬條記錄進行數(shù)據(jù)清洗和規(guī)范化，并通過數(shù)據(jù)規(guī)約對數(shù)據(jù)進行降維采樣，盡量保持原有數(shù)據(jù)集的有關特性，減少需要處理的數(shù)據(jù)量，最終形成五組HTTP DATASET CSIC的六維子集。將改進后的P_FCM算法與傳統(tǒng)FCM、HCM算法進行性能比較，模糊權重指數(shù)為2。分別對數(shù)據(jù)樣本進行聚類，聚類結果如表4.1所示

比較三種算法對數(shù)據(jù)樣本集的聚類結果，三種算法聚類效果比較接近，本文算法的運行時間大于FCM算法和HCM算法，但準確率高于FCM和HCM，由于HCM是硬劃分的聚類分析技

術，聚類時間較低，算法效果不及基于模糊劃分的FCM和本文算法。

對數(shù)據(jù)集添加5%的噪聲，比較三種算法對噪聲的抑制能力，添加噪聲后的數(shù)據(jù)樣本聚類結果如表4.2所示。

因傳統(tǒng)FCM對初始數(shù)據(jù)敏感[3，4]，對于含噪數(shù)據(jù)的識別效果不佳，迭代次數(shù)增加后算法處理時間迅速增加，錯分率有所上升。HCM算法運行速度快，但錯分率較高。本文算法聚類中心矩陣是通過多次迭代生成的，在對噪聲的抑制上比傳統(tǒng)FCM和HCM表現(xiàn)好。

通過理論分析和實驗發(fā)現(xiàn)，在模擬實驗環(huán)境下，基于改進FCM算法的網(wǎng)絡異常流量檢測具有聚類速度較快，分類好的特點，算法魯棒性較好，能正確、及時發(fā)現(xiàn)網(wǎng)絡異常流量，為網(wǎng)絡異常流量實時檢測提供技術支持。

參考文獻：

[1] ?劉麗珍，宋瀚濤，陸玉昌.無標記訓練樣本的Web文本分類方法[J].計算機科學，2006（03）：200-201+211.

[2] ?宋國權，李金鋒.基于聚類算法的腦部MR圖像分割[J].中國醫(yī)療設備，2017，32（01）：26-29.

[3] ?L. Parsons，E. Haque，and H. Liu. Subspace Clustering for High Dimensional Data：A Review[J]. SIGKDD Explorations，2004，6（1）：90-105.

[4] ?K. Beyer J. Goldstein，R. Ramakrishnan. When is Nearest Neighbor ?Meaningful [A]. Proceeding of the CIDT[C]. 1999，pp. 217-235.

作者簡介：龍穎（1988-），女，講師，研究方向為模式識別與智能計算。

基金項目：重慶市教育委員會科學技術研究項目（No.KJ1751484）