CN103095534B - 一种二维k均值熵的网络攻击效果评估方法 - Google Patents

Abstract

本发明公开了一种利用二维熵分量的K均值聚类攻击效果评估方法。该方法首先对攻击数据进行预处理，计算具体性能指标攻击前后的熵差并利用余弦定理将其映射到二维向量空间，在反映数据本身特点的同时统一标度；然后对K均值效果分级，对预处理后的数据利用改进的K-means算法聚类，以网络攻击效果的分级特性作为启发式信息确定聚类数，通过计算二维向量空间中各数据点的欧几里德距离确定初始聚类中心，经过数轮迭代，选取使距离代价函数最小的聚类结果作为最终输出以评估攻击效果。本发明在满足批量运算效率要求的同时极大地克服了评估过程的主观性。

Description

一种二维K均值熵的网络攻击效果评估方法

技术领域

本发明涉及一种网络攻击效果的评估方法，属于信息安全技术领域。

背景技术

随着信息技术的飞速发展，Internet网络结构日趋复杂并逐步向多元化、融合性的方向演变。随之而来的网络攻击行为也日益增多，因此，有必要开展对不同种类攻击行为的研究，并推进攻击效果评估工作以完善主机抗攻击能力，进而提高信息系统的安全性。

目前针对攻击效果的评估主要是基于层次分析法的评估指标体系建立以及利用模糊粗糙集理论的综合评价。在国内，李雄伟等结合层次分析法和模糊综合评价法对评估指标进行了量化，王会梅基于集对原理提出了一种能有效处理评估结果分级标准边界模糊性的集对评估方法，以粗糙集属性重要性为根据确定指标权重并对网络的抗拒绝服务攻击性能进行集对评估；2004年，张义荣、鲜明等人提出了基于网络熵的攻击效果定量评估模型，从网络受攻击前后安全特性变化的角度分析了网络熵的概念，并根据熵差的特性设计了基于层次分析法的计算机网络攻击效果评估体系。相对于传统的直接利用原始采集数据进行评估计算的方法而言，以熵差来衡量网络受攻击前后性能变化的方法能够以统一的标准将不同种类的采集指标归一化，简化评估过程中的数据预处理步骤，并直观地动态地反映出攻击对系统造成的影响。

发明内容

1、本发明的目的。

本发明为了提高信息系统的安全性，提出了一种基于K均值聚类的攻击效果评估算法。

2、本发明所采用的技术方案。

本发明提出一种基于K均值聚类的攻击效果评估算法，首先引入网络熵的与熵差的概念。

以目标网络受攻击前后的性能变化量为参数，将表征网络性能的指标值归一化为V _i ，进而定义其熵为

使用可以用熵差ΔH来计算目标网络遭受攻击前后熵的变化，以和分别表示攻击前后的网络熵，则熵差可以通过下式计算：

目标网络遭受攻击之后，指标值的变化越大，通过上式计算出来的熵差也就越大，攻击效果越明显。

然后利用改进过的K-means算法将熵差聚类，进而进行网络攻击效果评估。

首先对攻击数据进行预处理，计算具体性能指标攻击前后的熵差并利用余弦定理将其映射到二维向量空间，在反映数据本身特点的同时统一标度，然后对预处理后的数据利用改进的K-means算法聚类，以网络攻击效果的分级特性作为启发式信息确定聚类数，通过计算二维向量空间中各数据点的欧几里得距离确定初始聚类中心，经过数轮迭代，选取使距离代价函数最小的聚类结果作为最终输出以评估攻击效果。

3、本发明的有益效果。

本发明利用目标网络受攻击前后的熵差将采集数据映射到二维向量空间，并利用启发式信息改进K均值聚类算法对指标数据聚类，以定量化的计算过程得到最终评估结果，在满足批量运算效率要求的同时极大地克服了评估过程的主观性。

具体实施方式

实施例

本发明具体步骤如下：

A.数据预处理

假设有一组指标数据V={V ₁ ,V _2, ...,Vk,...}，攻击前后V _k 的指标熵分别为H _k 和H _k ^’ ，对于不同标度的指标，尽管熵差的大小可以反映受攻击前后的变化，但是由于不同指标的度量方式不一样，熵差本身的值差别可能很大，例如，对于指标吞吐量和延迟来说，前者数值一般可达到百兆以上，而后者则一般为几十毫秒，仅从数据的大小上无法反映攻击的效果，因此对每个指标在计算中引入最大可能攻击效果熵对指标值规格化，根据实际熵差和理想熵差的比值来确定攻击的程度。定义攻击程度变量，将每组攻击数据描述为，其中分别表示攻击前性能熵、攻击后性能熵以及指标理想最大熵，以熵差公式计算，为攻击程度变量，且

在其定义域上，是单调减函数，越小表示攻击效果越明显，在相等的情况下，实际攻击效果量高低由熵差的数值大小决定。通过以上的处理引进与熵差相关的变量可以将各攻击数据点的单一数据值映射到二维向量空间，对，以熵差的大小表示向量的长度，与x轴的夹角确定向量的方向。

B.K均值效果分级

在对指标数据进行预处理之后，利用改进的K-means算法对数据点聚类以评估攻击效果，具体步骤如下：

Step1:确定聚类中心。首先根据对不同评估对象效果分级的先验知识选取聚类数，例如，对计算机网络攻击效果评估，最终攻击效果集一般为Result={好，较好，一般，差}，可根据此信息确定聚类数初始值k ₀ =4。根据数据点k的熵差和夹角(ΔH _k ,θ _k )计算点在直角坐标系下的坐标(x _k ,y _k )=(ΔH _k *cosθ _k ,ΔH _k *sinθ _k )，假设初始聚类中心在(x _min ,y _min )~(x _max ,y _max )间等距分布，可求出其坐标为，

Step2:划分聚类。分别求出每个数据点到所有聚类中心C _i 的欧氏距离，存储到矩阵D ₀ 中，并将节点划分到有最小欧式距离的聚类中心所属聚类中。计算聚类结果的紧致与分离性效果函数S(U,k) ^[8]作为距离代价函数，

其中n为数据点总数，k为聚类数，x _i 代表第i个数据点，c _j 代表第j个聚类中心，为数据点x _i 与聚类中心c _j 2-范数的平方，在二维向量空间中表示x _i 与c _j 的向量距离，r _ij 为x _i 对c _j 的隶属度且

可以看到，紧致与分离性效果函数衡量了类内距离与类间距离的比值，类内距离越小、类间距离越大，则效果函数值越小，表示聚类效果越好，反之聚类效果差。

Step3:重算聚类中心。由于聚类过程中需要保证类间距离尽可能小，假定新聚类中心为μ _i ，则数据点d _k 到新聚类中心的均方差在聚类的过程中需要找到r _ki 和μ _i 的最优解以最小化SD。

对参数r _ki ，显然将其划分到距离最近的聚类中心所属聚类时可以保证SD最小，即

对μ _i ，将SD对μ _i 求导，

令，求得，即μ _i 应取聚类i中所有数据点的平均坐标，计算出μ _i 后以μ _i 更新聚类中心C _i 并重复Step2以新的聚类中心划分聚类，得到新的效果函数S(U,k)’，若S(U,k)’>S(U,k)，重复Step3，否则停止算法并输出聚类结果Cluster0；

Step4:一次完整聚类过程结束后，得到聚类结果Cluster0，然后优化聚类数k，由于初始化时聚类数k以经验确定，可能存在聚类数量上的细微偏差，计算新聚类数，以新的聚类数重复聚类过程，得到最后的聚类结果集{Cluster}，比较聚类效果并取拥有最小紧致与分离性效果函数的聚类结果作为最终输出。

上述实施例不以任何方式限制本发明，凡是采用等同替换或等效变换的方式获得的技术方案均落在本发明的保护范围内。

Claims (1)

1.一种二维K均值熵的网络攻击效果评估方法，首先对攻击数据进行预处理，计算具体性能指标攻击前后的熵差并利用余弦定理将其映射到二维向量空间，在反映数据本身特点的同时统一标度；然后对K均值效果分级，对预处理后的数据利用改进的K-means算法聚类，以网络攻击效果的分级特性作为启发式信息确定聚类数，通过计算二维向量空间中各数据点的欧几里德距离确定初始聚类中心，经过数轮迭代，选取使距离代价函数最小的聚类结果作为最终输出以评估攻击效果；其特征在于：对攻击数据进行数据预处理，假设有一组指标数据V={V ₁ ,V _2, ...,V _k ,...}，攻击前后V _k 的指标熵分别为H _k 和H _k ^’ ，对每个指标在计算中引入最大可能攻击效果熵对指标值规格化，根据实际熵差和理想熵差的比值来确定攻击的程度，定义攻击程度变量，将每组攻击数据描述为，其中分别表示攻击前性能熵、攻击后性能熵以及指标理想最大熵，以熵差公式计算，为攻击程度变量，且

在其定义域上，是单调减函数，越小表示攻击效果越明显，在相等的情况下，实际攻击效果量高低由熵差的数值大小决定；通过以上的处理引进与熵差相关的变量可以将各攻击数据点的单一数据值映射到二维向量空间，对，以熵差的大小表示向量的长度，与x轴的夹角确定向量的方向。