一种基于数据流分析的网络行为检测

第３０卷第１２期　２０１３年１２月　计算机应用研究　Ａｐｐｌｉｃａｔｉｏｎ　Ｒｅｓｅａｒｃｈ　ｏｆ　Ｃｏｍｐｕｔｅｒｓ　Ｖｏｉ．３０　Ｎｏ．１２　Ｄｅｅ．２０１３　一种基于数据流分析的网络行为检测术　魏浩，陈性元，王超，杜学绘　（解放军信息工程大学，郑州４５０００４）　摘要：为了更好地对网络行为进行分析，提出了一种基于数据流分析的网络行为检测方法。通过分析网络系　统体系架构，对网络行为进行形式化建模，并针对网络行为特点提出了一种基于与或图的行为描述方法，最终设　计实现了基于数据流分析的网络行为检测算法。实验证明该方法能在多项式时间内完成数据流事件中的关系　分析，而且与其他算法相比，能有效提高网络行为检测的查准率。　关键词：网络数据流；数据流分析；网络行为；行为建模　中图分类号：ＴＰ３９３．０８　文献标志码：Ａ　文章编号：１００１—３６９５（２０１３）１２　３８００—０４　ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００１—３６９５．２０１３．１２．０７３　Ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｄｅｔｅｃｔｉｏｎ　ｂａｓｅｄ　０ｎ　ｄａｔａ　ｓｔｒｅａｍ　ａｎａｌｙｓｉｓ　Ｔ　ＷＥＩ　Ｈａｏ，ＣＨＥＮ　Ｘｉｎｇ—ｙｕａｎ，ＷＡＮＧ　Ｃｈａｏ，ＤＵ　Ｘｕｅ—ｈｕｉ　（尸Ｌ４　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ　４５０００４．Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｏ　ｍａｋｅ　ａ　ｂｅｔｔｅｒ　ａｎａｌｙｓｉｓ　ｏｆ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ．ｔｈｉｓ　ｐａｐｅｒ　ｐｒｏｐｏｓｅｄ　ａ　ｍｅｔｈｏｄ　ｏｆ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｄｅｔｅｃｔｉｏｎ　ｂａｓｅｄ　ｏｎ　ｄａｔａ　ｓｔｒｅａｍ　ａｎａｌｙｓｉｓ．Ｆｉｒｓｔｌｙ．ｉｔ　ｍｏｄｅｌｅｄ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｉｎｔｏ　ｆｏｒｍａｌｉｚａｔｉｏｎ　ｂｙ　ａｎａｌｙｚｉｎｇ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｓｙｓｔｅｍ　ａｒｃｈｉｔｅｃｔｕｒｅ．Ａｎｄ　ａｉｍｉｎｇ　ａｔ　ｔｈｅ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ　ｏｆ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｉｔ　ｂｒｏｕｇｈｔ　ｏｕｔ　ａｎ　ｅｘｐｒｅｓｓｉｏｎ　ｏｆ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｏｎ　ｔｈｅ　ａｎｄ／ｏｒ　ｇｒａｐｈ．Ｆｉｎａ１．　１ｙ．ｉｔ　ｄｅｓｉｇｎｅｄ　ａｎｄ　ｉｍｐｌｅｍｅｎｔｅｄ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｄｅｔｅｃｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　ｂａｓｅｄ　ｏｎ　ｄａｔａ　ｓｔｒｅａｍ　ａｎａｌｙｓｉｓ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔ　ｒｅ—　ｓｕｆｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ａｌｇｏｒｉｔｈｍ　ｃａｎ　ｃｏｍｐｌｅｔｅ　ｔｈｅ　ａｎａｌｙｓｉｓ　ｏｆ　ｔｈｅ　ｒｅｌａｔｉｏｎｓｈｉｐ　ｂｅｔｗｅｅｎ　ｄａｔａ　ｓｔｒｅａｍ　ｅｖｅｎｔｓ　ｉｎ　ｐｏｌｙｎｏｍｉａｌ　ｔｉｍｅ．ａｎｄ　ｃｏｍｐａｒｅｄ　ｗｉｔｈ　ｔｈｅ　ｏｔｈｅｒ　ａｌｇｏｒｉｔｈｍ，ｔｈｅ　ａｌｇｏｒｉｔｈｍ　ｃａｎ　ｅｆｆｅｅｔｉｖｅｌｙ　ｉｍｐｒｏｖｅ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｄｅｔｅｃｔｉｏｎ　ｐｒｅｃｉｓｉｏｎ．　Ｋｅｙ　ｗｏｒｄｓ：ｎｅｔｗｏｒｋ　ｄａｔａ　ｓｔｒｅａｍ：ｄａｔａ　ｓｔｒｅａｍ　ａｎａｌｙｓｉｓ；ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ：ｂｅｈａｖｉｏｒ　ｍｏｄｅｌｉｎｇ　随着网络技术的日益普及和迅速发展，网络应用越来越广　泛。对网络数据流进行分析可以实现对网络舆情的监测和对　网络事件的追踪，是进行网络入侵检测、网络态势感知等研究　法，主要关注的是单个数据流中的关键内容，没有将相关的前　后数据流的关联关系考虑进去。这些分析方法难以解决网络　数据流与实际网络行为中的语义差距。为解决上述问题，本文　提出一种基于数据流分析的网络行为检测方法。　本文首先对网络数据流进行建模分析，给出了数据流行为　的定义，并提出了基于与或图”　的网络行为描述方法，在此基　础上设计了基于图的网络行为检测算法。该算法通过对数据　流事件中的关系进行分析，从而判断出用户的行为，实现了基　于数据流的网络行为检测。　・　的基础。如何对数据流分析，从而能够更全面地挖掘网络数据　流信息成为了近年来的研究热点。目前，针对网络行为的研　究，主要集中于基于流量分析的宏观网络行为和基于协议解析　的微观网络行为这两个方面　。　。　基于流量　的宏观分析中，文献［８］提出基于数据流的　统计信息构建网络的行为特征库，实现对网络的监测和发现异　常。文献［９］采用基于贝叶斯学习的方法，通过对大量用户　Ｗｅｂ访问行为进行分析，实现了对垃圾页面的检测。文献　ｆ　ｌ０］采用聚类技术实现了用户Ｗｅｂ会话行为的推断。　１　基于数据流的网络行为分析　对网络数据流进行分析，网络中的行为包括两种：ａ）用户　行为，如浏览页面、发送邮件等，这些行为均由用户主动发起和　基于协议解析　”　的微观分析中，文献［１３］通过对即时　通信ＭＳＮ（Ｍｉｃｒｏｓｏｆｔ　ｓｅｒｖｉｃｅ　ｎｅｔｗｏｒｋ，微软网络服务）协议、ＨＴ—　执行；ｂ）软件行为，如某些程序的自动更新、计算机的自动响　应、计算机内的木马病毒等，对于这类行为，用户可能毫不知　情，但是同样会产生大量数据流，并形成相应的网络行为。不　论哪种网络行为，反映到网络中都是大量连续的数据流信息，　其实质就是主机与服务器上的网络资源与服务之间的交互。　为了更好地对网络行为进行描述，参考了计算机网络的体系结　构　，提出了一种层次的网络行为分析模型。　如图１所示，本文将网络数据流分析分为三个层次，分别　ＴＰ（ｈｙｐｅｒｔｅｘｔ　ｔｒａｎｓｐｏｒｔ　ｐｒｏｔｏｃｏｌ，超文本传送协议）产生的数据流　进行协议还原，从而得到主机的网络行为。文献［１４］中通过　对用户动态访问Ｗｅｂ页面资源的过程进行建模分析，实现了　对Ｗｅｂ资源访问行为的细粒度控制。　上述方法中，基于流量统计的网络行为分析，重点关注的　是网络内数据流整体的趋势，适于大数据量的分析和预测，却　无法检测出系统中偶然发生的具体行为；基于协议分析的方　收稿日期：２０１３．０３—０４；修回日期：２０１３—０４—２５　目（１１４２００５１０００１）　基金项目：国家“９７３”计划资助项目（２０１１ＣＢ３１１８０１）；河南省科技创新人才计划资助项　作者简介：魏浩（１９８８一），男，山西太原人，博士研究生，主要研究方向为网络安全（ｗｅｉｈａｏ７３６０＠ｓｉｎａ，ｅｌ１）；陈性元（１９６３一），男，安徽无为人，教　授，博导，博士，主要研究方向为网络安全；王超（１９７５一），男，河南长垣人，讲师，博士，主要研究方向为网络安全；桂学绘（１９６８一），女，河南新乡人，　教授，博士，主要研究方向为网络安全．　第１２期　魏浩，等：一种基于数据流分析的网络行为检测　・３８０１・　为数据层、事件层和行为层。行为层为网络中的访问行为（ｂｅ—　ｈａｖｉｏｒ），每种网络行为由多个动作组成，通过判断网络中是否　发生了某种事件来断定用户所执行的行为。事件层包含许多　网络事件（ｅｖｅｎｔ），用户每完成一个动作便会触发一个网络事　件，一个网络事件由一系列数据流组成。数据层由网络中众多　采用图来描述行为可以将上述行为转换为环路，从而降低了描　述的复杂度；另一方面，图可以比序列表达更多的关系，如描述　一些需要多个与次序无关的并发条件才能触发的事件。　定义４行为活动图。该图中一个节点就是一个事件，图　中的有向弧表明了事件发生的前后关系。每一个行为活动图　数据流（ｄａｔａ　ｓｔｒｅａｍ）构成。　行　为　层　事　件　层　数　据　层　图１网络行为分析模型　１．１数据流、事件与行为　为形式化描述网络数据流（图２）及网络行为，下面给出几　个重要定义及其形式化表示。　数据流　图２　ｌ碉络数据流　定义１数据流。数据的流动形成数据流，数据的传输所　基于的正是ＴＣＰ连接或ＵＤＰ报文。将任意两台主机之间的一　次链接或一个ＵＤＰ／ＩＣＭＰ包看做一个流　Ｊ。　一个流用一个属性元组Ｘ＝（　。，　，…，　）表示，其中　（１≤　≤ｐ）代表流的不同属性，如传输开始时间、传输结束时　间、源／目的ＩＰ、源／目的ＭＡＣ、传输的总字节数、平均传输速度、　传输协议等。整个网络的行为可以看做是一系列流的汇总。　ＤＳ＝，（　）＝∑Ｎ－ｏ　Ｘ　（１）　定义２事件。网络中，用户或系统每执行一个操作便会　产生一个网络事件，如登录系统、提交请求、访问资源等。事件　是语义的最小单位。一个事件是由若干数据流组成的序列，表　示为Ｅ：（Ｘ　，Ｘ２，…，Ｘ　）。显然，事件类型是一个有穷集，给定　一个事件类型集　＝｛Ｅ　，Ｅ　，…，Ｅ　｝，一个事件的发生就是一　个二元组（Ｅ，ｔ）。其中，Ｅ∈　，ｔ表示该事件的发生时间，则有　事件序列　￡Ｓ＝∑　Ｍ（Ｅ　，　）　（２）　定义３行为。它是为实现某个目的而进行的一系列相　关操作。一个网络行为Ｏ／是由若干类型的网络事件组成的，　可以表示为Ｏ／＝（Ｅｌ，Ｅ２，…，　Ｉ（ｉｆ　Ｅ　：Ｅ，．ｐｒｏｉｏｒ）一（ｔ　＜　ｔｊ）），其中，元素Ｅ　（１≤ｉ≤ｋ）∈８且对于所有的ｉ和　满足：若　Ｅ　为Ｅ　的前件，Ｅ　总是排列在Ｅ　之前。情节　中的元素个数　称为　的长度，记为ｌ　ｌ。当Ｉ　ＯＬＩ＝１时，一个事件就构成了一　个行为。　为更好地描述网络行为，解决数据流与网络行为之间的关　联映射问题，本文在分析中引入了与或图来对网络行为进行　讨论。　１．２基于与或图的网络行为描述　为解决数据流与行为的语义映射问题，本文采用与或图来　描述网络行为。一个图可以被认为是一个平台，用图上的顶点　来描述事件，用顶点之问的弧来描述事件之间的约束关系。　访问行为中存在大量循环过程，如连续查询、重复搜索等，　中，有一个起始节点，用来标志开始；有多个中间节点，用来表　示行为的中间过程；有一个结束节点，作为行为的结束。事件　的发生与行为活动图相匹配的时候，则认为发生了该行为。网　络行为可以被形式化为有向与或图Ｇ＝（Ｖ，Ｅ），其中：　ａ）Ｖ（Ｇ）＝｛Ｅ　，Ｅ：，Ｅ　一，Ｅ　｝，是顶点集合，每一个顶点Ｅ　对应一个事件。　ｂ）Ｅ（Ｇ）＝｛ｅ　，ｅ：，ｅ　一，ｅ　｛，是有向边集合，图中的有向　边ｅ　＝（Ｅ　，Ｅ　）由事件Ｅ　指向事件　，表明Ｅ　是Ｅ　的前件。　图３所示为一个购物行为活动图，可知购物过程由一系列　相互关联的事件组成。在购物过程中用户会进行多次的搜索　和浏览来选择要购买的东西，仅当用户登录并且确定了要购买　的物品后才能提交订单。若用户在完成付款前退出或中止则　不能算是一次成功的购物过程。当服务器返回给用户最后的　确认信息后，整个过程才算结束。　（重新　（身份信息）／萼　／＾＼＝≥　苫　／／ｉ退出）　二＞　多次浏览２＝垂　　．　遣　重　ｆ　ｆ返回确认）　结束：ｌ　垂．　Ｉ　图３一个购物行为活动图　故本文给出行为发生的定义：　定义５发生。给定当前数据流ＤＳ和行为　＝（Ｅ。，Ｅ　，　…，Ｅ　），若数据流Ｄ５上存在事件序列ＥＳ＝∑　：　（Ｅ　，ｔ　），满　足ｔ　＜ｔ…（１≤ｉ≤　一１），则称ＤＳ上发生（或出现）了行为　。　区间［ｔ　，ｔ　］为　在ＤＳ上的发生区间，其中，ｔ。和￡　分别称为　该发生的起始时间和终止时问。　２基于数据流分析的网络行为检测　基于数据流分析的网络行为检测主要分为两个步骤，首先　是将数据流翻译成事件序列，然后根据事件序列查找行为活动　图，得出结果。目前，对于网络数据流协议的解析方面的研究　非常热门，对于一些常用协议，已经有比较成熟的软件可以实　现自动解析。数据流到事件序列的翻译，主要就是一个协议解　析的过程。鉴于此，本文对此不作深入研究。针对本文提出的　行为活动图，下面将着重讨论如何根据事件序列来检测网络　行为。　２．１算法的基本思想　由于数据流的产生过程是连续不断的，并且在一个数据流　中往往会同时包含多个行为序列，即多个行为同时在进行活　动。由于数据流产生的动态性，这也增加了分析判断的难度。　另一方面，由于网络中的事件重复率很高，往往一个事件会在　多种行为类型中出现，且网络变化较快，将每个网络行为以行　为活动图为单位单独保存不利于策略的同步和更新。　基于以上分析，本文将行为活动图进行扩展，提出网络行　・３８０２・　计算机应用研究　２５　第３０卷　为分析图。～个网络行为分析图是一个平台，用图上的顶点来　ｅｌｓｅ　ｉｆ（Ｅ　ｉｓ　ｅｎｄ　ｎｏｄｅ）ｔｈｅｎ　描述事件，用顶点之间的有向弧来描述事件之间的约束关系。　如图４所示为由若干行为活动图所组成的网络行为分析图。相　同颜色的部分属于同一个行为，显然不同行为之问会有重合的　部分。图中有多个输入和多个输出，仅当事件从特定入口输入，　经过特定中间节点从特定出口输出，才认为发生了某种行为。　定义６网络行为分析图。其形式化描述为Ｇ（Ｖ，　，ａ）。　其中：　ａ）Ｖ（Ｇ）＝｛Ｅ　，Ｅ２，Ｅ　，…，Ｅ。｝为所有事件的集合。　ｂ）　（Ｇ）＝｛曰。，Ｂ：，　，…，Ｂ　｝为有所有行为的集合，其中　Ｂ＝（ｅ　，ｅ：，ｅ，，…，ｅ　）为某一行为中的所有事件间的约束要求　集合，ｅ，＝＜Ｅ　，Ｅ　）为从源事件Ｅ　到目的事件Ｅ　的一条有　向弧。　ｃ）ａ（Ｇ）＝｛Ａ　，Ａ　，４，，…，　｝为所有活动的集合。Ａ＝　（Ｏ，Ｒ，卢　）为一个活动状态，其中Ｏ＝｛Ｏ。，ｏ：，…，ｏ　｛为某事件　序列中已经发生的事件集合，Ｒ＝｛ｒ　，Ｆ２，…，　｝为可达事件集　合，卢　＝｛Ｂ。，Ｂ：，…，Ｂ　｝为该活动可达的行为。当某事件发生　所需要的条件全部发生时，该事件变为可达的，存在Ｂ　使得所　有节点的约束要求为其子集。　根据网络行为分析图的定义，本文给出了行为发生的　推论。　推论某行为发生，仅当结束事件发生，行为的序列存在　于网络行为分析图中，并且整个过程满足该行为要求的所有约　束条件。　２．２算法描述　在起始状态，行为匹配器将所提供的网络行为分析图载　入。在检测过程中，匹配器为每一个正在被检测的网络行为都　维持一个行为状态，包括一个行为目前的活动节点及可达的节　点。一个行为的起始事件要在网络行为分析图中查找，后面的　事件直接在可达节点中查找，这样缩小了查找范围，提高了速　度。当检测到结束节点发生时，则认为某行为发生。　输入：网络数据流事件序列ＥＳ，网络行为分析图Ｇ（Ｅ，　，０）。　输出：用户行为　。　算法：Ａｎ　ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ　ｄｅｔｅｃｔ（ＮＢＤ）　ｂｅｇｉｎ　ＮＢＤ　１　ｌｏａｄ　Ｇ（Ｅ，Ｂ，０），ＥＳ　２　ｃｌｅａｒ　０，Ｂ　３　ｗｈｉｌｅ　ＥＳｉｓ　ｎｏｔ　ｅｍｐｔｙ　ｄｏ　４　ｂｅｇｉｎ　５　ｒｅｍｏｖｅ　ｔｈｅ　ｆｉｒｓｔ　ｅ］ｅｍｅｎｔ　Ｅ　ｆｒｏｍ　ＥＳ；　６　ｉｆ（Ｅｎ　ｉｓ　ｔｈｅ　ｓｔａｒｔ　ｅｖｅｎｔ　ｏｆ　ａ　ｎｅｗ　ｂｅｈａｖｉｏｒ）ｔｈｅｎ　７　ｃｒｅａｔｅ　ａ　ｎｅｗ　ａｃｔｉｖｉｔｙ　ｄｋ；　８　ａｐｐｅｎｄ　Ｅ　ｉｎｔｏ　ａｋ．Ｏ；　９　ｉｆ（Ｅｎ　ｉｓ　ｎｏｔ　ｔｈｅ　ｅｎｄ　ｎｏｄｅ）ｔｈｅｎ　１０　ｆｏｒ　ｅａｃｈ　ｅ】∈ｐ（Ｇ）ｄｏ　１１　ｂｅｇｉｎ　１２　ｉｆ（　１．Ｅ　＝：Ｅ　）ｔｈｅｎ　１３　ａｐｐｅｎｄ　ｅ１．Ｅｔ　ｔｏ　ａｋ．Ｒ；　１４　ａｐｐｅｎｄ　ｅｌ　ｔｏ　ｄｋ．Ｂ　；　１５　ｅｎｄ　１６　ｅｌｓｅ　ｉｆ（Ｅｎ　ｉｓ　ｎｏｔ　ａ　ｓｔａｒｔ　ｅｖｅｎｔ）ｔｈｅｎ　１７　ｉｆ｛（ｊＥ　＝＝Ｅ　）Ａ（Ｅ　∈ａｋ．Ｏ）｝ｔｈｅｎ　１８　ｉｆ（Ｅ　ｉｓ　ｎｏｔ　ｅｎｄ　ｎｏｄｅ）ｔｈｅｎ　１９　ｆｏｒ　ｅａｃｈ　ｅｕ∈ａｋ．ｐ　ｄｏ　２０　ｂｅｇｉｎ　２１　ａｐｐｅｎｄ　ｅ１．ＥＩｔｏ　ｄｋ．Ｒ；　２２　ａｐｐｅｎｄ　ｅｌ　ｔｏ　Ｂ　；　２３　ｅｎｄ　２４　ｓｅｔ　ａｋ．Ｂ　＝ｐ　２６　ｒｅｔｕｒｎ　Ｂ；　２７　ｅｌｓｅ　ｒｅｔｕｒｎ　ｅｒｒｏｒ；　２８　ｅｎｄ　ｅｎｄ　ＮＢＤ　２．３复杂性分析　算法第１、２行是初始化过程，可在常数时间内完成；算法　第３—２７行是主体部分，下面给出详细的分析。　第３行判断待检测的事件序列是否为空，判断次数为０　（ｎ）数量级。算法第５—２７行是外层循环的循环体。第５　９　行分别为移除元素、判断、创建、插入等操作，均可在常数时间　内完成。第１０行的循环次数为０（ｍ）数量级。第１２～１４行　为内层循环的循环体，分别为比较和插入，可在常数时间内完　成。第１６和１８行是两个判断，可在常数时间内完成。第１７　行需要查找匹配，在最坏情况下可在Ｏ（ｑ）时间内完成。第１９　行在最坏情况下可在０（ｍ）时间内完成。第２１、２２行为内层　循环的循环体，分别为两个插入操作，可在常数时间内完成。　第２４～２７行分别为赋值、判断、返回结果等操作，可在常数时　间内完成。　综上所述，本文的网络行为检测算法总的时间复杂度为Ｏ　（ｎｍｑ），这里　为数据流中的事件数目，ｍ为弧数目，　为事件　数目。当行为规则集确定时，ｍ和ｑ均为固定值，此时算法的　复杂度变为Ｄ（ｎ）。　３实验及结果分析　在平台为【ｊｎｕｘ　２．６，ＣＰＵ为Ｉｎｔｅｌ＠Ｃｏｒｅ　３．０　ＣＨｚ，内存为　２　ＣＢ　ＤＤＲ　ＩＩ的主机上对本文所提出的方法进行了初步实现。　为了对检验算法作一个横向比较，实验选取了其他两种网　络行为检测算法，分别为　算法１文献［８］中提到的基于流量统计的网络行为检测。　算法２文献［１３］中提到的基于协议解析的网络行为分　析方法。　算法３　ＮＢＤ，本文设计的网络行为检测算法。　实验使用了三份数据。其中一份数据来自ＭＩＴ林肯实验　室，较具权威性。其余两份是研究人员获取和制作的，各主要　属性列在表１之中。　表１实验数据　使用查准率来衡量实验的效果：　查准率＝被正确检出行为数量／被检出行为数量　图５是三种算法应用在三个不同数据集上的结果，所用算　法预先都进行了充分的预处理。　０　辩　０。　图４网络行为分析图　图５查准率比较图　由结果可知，算法１和２对于数据集Ａ的查准率最高．ＮＢＤ　第１２期　魏浩，等：一种基于数据流分析的网络行为检测　。３８０３・　对于数据集Ｃ的查准率最高，三种算法对于数据集Ｂ的查准率　最低。综合三个数据集的测试结果，算法３的效果最好。　对实验结果进行分析，数据集Ａ中的内容主要是一些网　数据流的访问控制、审计分析、行为预测等诸多领域，具有广泛　的应用价值。　参考文献：　［１］余晓永．基于网络行为分析的入侵检测系统研究［Ｄ］．合肥：合肥　工业大学，２００９．　［２］胡柳武．网络行为检测与评估技术研究［Ｄ］．北京：北方工业大　学，２０１２．　［３］ＢＡＢＣＯＣＫ　Ａ　Ｋ，ＢＡＢＵ　Ｓ，ＤＡＴＡＲ　Ｍ．Ｍｏｄｅｌ　ａｎｄ　ｉｓｓｕｅｓ　ｉｎ　ｄａｔａ　络入侵行为的数据，这些数据的特征比较明显，传统的数据流　分析手段基本都对这些特征进行了优化，因此检测效果较好，　算法１略优于算法２，本文的ＮＢＤ算法经过充分的预处理也达　到了不错的查准率。数据集Ｂ来源于某市基于互联网电子政　务信息系统的内网核心交换机，经过抓包分析，这些数据包中　不仅包含电子政务信息系统运行所产生的信息，还包含了大量　ｓｔｒｅａｍ　ｓｙｓｔｅｍｓ［ｃ］／／Ｐｒｏｃ　ｏｆ　ｔｈｅ　２１　ｓｔ　ＡＣＭ　ＳＩＧＡＣＴ—ＳＩＧＭＯＤ・ＳＩ—　ＧＡＲＴ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｐｒｉｎｃｉｐｌｅｓ　ｏｆ　Ｄａｔａｂａｓｅ　Ｓｙｓｔｅｍｓ．Ｎｅｗ　Ｙｏｒｋ：ＡＣＭ　Ｐｒｅｓｓ，２００２：１－１６．　来自互联网的数据和一些即时通信、Ｐ２Ｐ应用等程序所产生的　数据，进而还可能包含一些木马病毒等恶意程序产生的数据。　此外，政务办公系统中传输的数据有较强的时效性，不同时间　段内，其中的数据成分也有很大不同，这给基于统计分析的算　法１造成了一些困难，此时基本协议解析的算法２效果好于算　法１，本文的ＮＢＤ算法将数据流解析与网络行为结合达到了　更好的检测效果。数据集Ｃ来源于本课题组开发的ＯＡ办公　［４］祝然威，王鹏，刘马金．基于计数的数据流频繁项挖掘算法［Ｊ］．　计算机研究与发展，２０１１，４８（１０）：１８０３－１８１１．　［５］常建龙，曹锋，周傲英．基于滑动窗口的进化数据流聚类［Ｊ］．软件　学报，２００７，１８（４）：９０５－９１８．　［６］杨博，刘大有，ＬＩＵ　Ｊｉ－ｍｉｎｇ，等．复杂网络聚类方法［Ｊ］．软件学报，　２００９，２０（１）：５４－６６．　系统，其中所捕获的数据较为单一，主要为信息系统运行所产　生的Ｗｅｂ访问数据。由于数据较为纯净，三种算法的检测效　果均较数据集Ｂ有所提高，但本文的ＮＢＤ算法优势更为明显。　［７］延皓．基于流量监测的网络用户行为分析［Ｄ］．北京：北京邮电大　学，２０１１．　［８］李军，曹文君，李杨．ＦＢ—ＮＢＡＳ：一种基于流的网络行为分析模型　分析其原因是由于针对某一具体的信息系统，其中的访问数据　主要为Ｈ１ｒＩ’Ｐ，数据流之间的流量特征和协议区别不是很明　显。相反对于本文的ＮＢＤ算法，能够捕获系统运行过程中的　行为信息，提高了检测的准确率。　由实验可以发现，本文所提出的ＮＢＤ算法在三种不同条　件下，其效果均优于其他两种方法。但是本文提出的算法亦存　在不足，该算法需要预先进行处理，提取数据流中的事件并建　立相应的网络行为分析图，且检测效果与分析图的选择有较大　关系。不过，具体到某一个应用环境中，其中的特定行为模式　在一定时间内一般变化不大，采用本方法可以实现更好的检测　效果。　［Ｊ］．计算机工程，２００８，３４（３）：１６５—１６７．　［９］ＬＩＵ　Ｙｉ－ｑｕｎ，ＣＥＮ　Ｒｏｎｇ－ｗｅｉ，ＺＨＡＮＧ　Ｍｉｎ，ｅｔ　ａ１．Ｉｄｅｎｔｉｆｙｉｎｇ　Ｗｅｂ　ｓｐａｍ　ｗｉｔｈ　ｕｓｅｒ　ｂｅｈａｖｉｏｒ　ａｎａｌｙｓｉｓ［Ｃ］／／Ｐｒｏｃ　ｏｆ　ＡＩＲＷｅｂ．２００８．　［１Ｏ］ＢＩＡＮＣＯ　Ａ，ＭＡＲＤＥＮＴＥ　Ｇ，ＭＥＬＬＩＡ　Ｍ，ｅｔ　ａ１．Ｗｅｂ　ｕｓｅｒ—ｓｅｓｓｉｏｎ　ｉｎ・　ｆｅｒｅｎｃｅ　ｂｙ　ｍｅａｎｓ　ｏｆ　ｃｌｕｓｔｅｒｉｎｇ　ｔｅｃｈｎｉｑｕｅｓ［Ｊ］．ＩＥＥＥ／ＡＣＭ　Ｔｒａｎｓ　ｏｎ　Ｎｅｔｗｏｒｋｉｎｇ，２００９，１７（２）：４０５—４１６．　［１１］陈亮，龚俭，徐选．基于特征串的应用层协议识别［Ｊ］．计算机工　程与应用，２００６，４２（２４）：１６—１９．　［１２］ＭＥＩＳＳ　Ｍ，ＤＵＮＣＡＮ　Ｊ，ＧＯＮＣＡＬＶＥＳ　Ｂ，ｅｔ　ａ１．Ｗｈａｔ’ｓ　ｉｎ　ａ　ｓｅｓｓｉｏｎ：　ｔｒａｃｋｉｎｇ　ｉｎｄｉｖｉｄｕａｌ　ｂｅｈａｖｉｏｒ　ｏｎ　ｔｈｅ　Ｗｅｂ［Ｃ］／／Ｐｒｏｃ　ｏｆ　ｔｈｅ　２０ｔｈ　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｈｙｐｅｒｔｅｘｔ　ａｎｄ　Ｈｙｐｅｒｍｅｄｉａ．２００９：１７３—１８２．　［１３］牛瑞．主机网络行为模式特征与辨识研究［Ｄ］．北京：北京化工　大学．２００８．　４结束语　对数据流进行分析，获取数据流中的潜在规律，能够为许　多现实应用提供重要的决策支持。本文提出了一种基于数据　流分析的网络行为检测方法。通过对网络数据流进行建模分　析，提出一种基于与或图的网络行为描述方法；在此基础上又　设计了基于数据流分析的网络行为检测算法，提高了对网络行　［１４］单棣斌，陈性元，张斌，等．基于数据流分析与识别的Ｗｅｂ资源访　问控制［Ｊ］．计算机工程，２００８，３４（２３）：５３－５５．　［１５］ＬＵＧＥＲ　Ｇ　Ｆ．Ａｒｔｉｉｆｃｉａｌ　ｉｎｔｅｌｌｉｇｅｎｃｅ：ｓｔｒｕｃｔｕｒｅｓ　ａｎｄ　ｓｔｒａｔｅｇｉｅｓ　ｆｏｒ　ｃｏｒｎ—　ｐｌｅｘ　ｐｒｏｂｌｅｍ　ｓｏｌｖｉｎｇ［Ｍ］．［ｓ．１．］：Ｐｅａｒｓｏｎ　Ｅｄｕｃａｔｉｏｎ，２００２：８９－９１．　［１６］谢希仁．计算机网络［Ｍ］．４版．北京：电子工业出版社，２００３：２０．　２３．　［１７］张文，沈磊．基于特征进程的Ｐ２Ｐ流量识别［Ｊ］．计算机工程，　２００８，３４（１５）：１２０—１２２．　为的检测能力。本文所提出的数据流分析方法可适用于基于　（上接第３７８５页）　［５］１１１ｅ　ＡＶＩＳＰＡ　Ｔｅａｍ．Ｔｈｅ　ＨＬＰＳＬ　ｔｕｔｏｒｉａｌ：ａ　ｂｅｇｉｎｎｅｒ’ｓ　ｇｕｉｄｅ　ｔｏ　ｍｏｄｅ．　参考文献：　［１］ＶＩＧＡＮＯ　Ｌ．Ａｕｔｏｍａｔｅｄ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌ　ａｎａｌｙｓｉｓ　ｗｉｔｈ　ｔｈｅ　ＡＶＩＳＰＡ　ｔｏｏｌ［Ｊ］．Ｅｌｅｃｔｒｏｎｉｃ　Ｎｏｔｅｓ　ｉｎ　Ｔｈｅｏｒｅｔｉｃａｌ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　２００６．１５５：６１—８６．　１ｉｎｇ　ａｎｄ　ａｎａｌｙｓｉｎｇ　Ｉｎｔｅｒｎｅｔ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ［ＥＢ／ＯＬ］．［２０１３－０１．　２０］．ｈｔｔｐ：／／ｗｗｗ．ａｖｉｓｐａ—ｐｒｏｊｅｅｔ．ｏｒｇ．　［６］Ｔｈｅ　ＡＶＩＳＰＡ　Ｔｅａｍ．ＡＶＩＳＰＡ　ｖ１．１　ｕｓｅｒ　ｍａｎｕａｌ［ＥＢ／ＯＬ］．『２０１３．０１．　２０］．ｈｔｔｐ：／／ｗｗｗ．ａｖｉｓｐａ－ｐｒｏｊｅｃｔ．ｏｒｇ．　［７］ＤＩＬＬＯＷＡＹ　Ｃ，ＬＯＷＥ　Ｇ．Ｏｎ　ｔｈｅ　ｓｐｅｃｉｉｆｃａｔｉｏｎ　ｏｆ　ｓｅｃｕｒｅ　ｃｈａｎｎｅｌｓ　［２］ＡＲＭＡＮＤＯ　Ａ，ＢＡＳＩＮ　Ｄ，ＢＯＩＣＨＵＴ　Ｙ，ｅｔ　ａ１．Ｔｈｅ　ＡＶＩＳＰＡ　ｔｏｏｌ　ｏｆｒ　ｔｈｅ　ａｕｔｏｍａｔｅｄ　ｖａｌｉｄａｔｉｏｎ　ｏｆ　Ｉｎｔｅｍｅｔ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ　ａｎｄ　ａｐｐｌｉｃａｔｉｏｎｓ　［Ｃ］／／Ｐｒｏｃ　ｏｆ　ｔｈｅ　７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｉｓｓｕｅｓ　ｉｎ　ｔｈｅ　ｈｅｏｒｙ　Ｔｏｆ　Ｓｅｃｕｒｉｔｙ．２００７：ｌ１８－１２３．　［Ｃ］／／Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，ｖｏｌ　３５７６．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ—　Ｖｅｒｌａｇ，２００５：２８１—２８５．　［８］ＣＥＲＶＥＳＡＴＯ　Ｉ，ＪＡＧＧＡＲＤ　Ａ　Ｄ，ＳＣＥＤＲＯＶ　Ａ，ｅｔ　ａ１．Ｂｒｅａｋｉｎｇ　ａｎｄ　ｉｆｘｉｎｇ　ｐｕｂｌｉｃ－ｋｅｙ　Ｋｅｒｂｅｒｏｓ［Ｊ］．Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｃｏｍｐｕｔａｔｉｏｎ，　２００８，２０６（２－４）：４０２－４２４．　［３］ＤＯＬＥＶ　Ｄ，ＹＡＯ　Ａ　Ｃ．Ｏｎ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｏｆ　ｐｕｂｌｉｃ・ｋｅｙ　ｐｒｏｔｏｃｏｌｓ［Ｊ］．　ＩＥＥＥ　Ｔｒａｎｓ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｈｅｏｒｙ，１９８３，２９（２）：１９８—２０８．　［９］冯超，张权，唐朝京．计算可靠的Ｄｉｆｉｆｅ—Ｈｅｌｌｍａｎ密钥交换协议自　动证明［Ｊ］．通信学报，２０１１，３２（１Ｏ）：１１８—１２１．　［１Ｏ］徐恒，陈恭亮，杨福祥．密钥交换中中间人攻击的防范［Ｊ］．信息　安全与通信保密，２００９（２）：９０．９２．　［４］ＢＲＡＤＮＥＲ　Ｓ，ＭＡＮＫＩＮ　Ａ，ＳＣＨＩＬＬＥＲ　Ｊ。Ａ　ｆｒａｍｅｗｏｒｋ　ｆｏｒ　ｐｕｒｐｏｓｅ－　ｂｕｉｌｔ　ｋｅｙｓ（ＰＢＫ）［ＥＢ／ＯＬ］．［２０１３・０１—２０］．ｈｔｔｐ：／／ｔｏｏｌｓ．ｉｅｆｆ．ｏｒｇ／　ｓｅａｒｃｈ／ｄｒａｆｔ－ｂｒａｄｎｅｒ－ｐｂｋ－ｌａｍｅ一０６．ｆ