15、恶意 IP 流量记录的自动聚类技术解析

恶意 IP 流量记录的自动聚类技术解析

在网络安全领域，对恶意 IP 流量进行有效聚类和分析是检测网络攻击的重要手段。本文将详细介绍恶意 IP 流量自动聚类的相关技术，包括数据处理、聚类算法、实验结果及讨论等方面。

1. 数据处理

• 特征选择 ：采用标准的 Netflow v5 特征，流量型入侵检测系统可利用基于基本流量属性计算的额外特征，但攻击聚类组件可能并不一定需要这些额外特征，特征环节可对额外特征进行添加或移除操作。
• 数据归一化 ：为控制流量数据的变化，对 IP 流量记录进行归一化处理。该过程使用固定范围的值来缩放流量属性的值，以防止较大值的属性主导较小值的属性。仅对数值属性进行缩放，标称属性则保持不变。使用给定属性的最大值和最小值将流量数据归一化到 [-1, 1] 的范围，计算公式如下：
  [x’[i] = \frac{x[i] - \min(x[i])}{\max(x[i]) - \min(x[i])}]

2. IP 流量聚类

使用无标签的 IP 流量训练集创建不同的攻击簇，采用了 K - mean、SOM 和 DBSCAN 三种聚类算法，具体如下：

2.1 K - mean 聚类

K - mean 聚类算法的输入是一组无标签的流量 F 和输出簇的数量 k。其具体步骤如下：

1: procedure ClusterFlowKMean
    Input F = {f1, f2, f3,