基于数据挖掘的用户安全行为分析

无

第!期-缪红保等：基于数据挖掘的用户安全行为分析- %"(

基于数据挖掘的用户安全行为分析!

缪红保，李-卫

（西安交通大学计算机系网络化系统与信息安全研究中心，陕西西安*%""’)）

摘-要：通过对用户网络流量进行协议投影，获得其行为的具体信息，然后采用关联规则等方法，将上面得到的信息进行统计学习，从而得到该用户所特有的行为模式。利用这种模式，可以进行网络用户的身份识别。实验结果表明，该方法为进行用户网络行为特征提取和身份识别提供了一种新思路，另外也有助于发现蠕虫或其他大规模入侵行为。

关键词：行为分析；身份识别；数据挖掘；关联规则；网络安全

中图法分类号：./#")0!---文献标识码：,---文章编号：%""%$#+)(（!""(）"!$"%"($"#

,1234565789:;<7=>?5:=@:A2B67=5@25:C71D2;2E6161F.A:7=4

EG,HI71F$J27，KGL:6

（!"#$"%&’%("$)’%*+#,-./$"0/12#&’%03$+’#-"45%+$.，6"7$8’&!’075$"%-4+"#4"19"4:#’;’,.，<+=3#>+3’$’#,?#+@"%/+$.，<+=3#-:3#A+*%""’)，!:+#3）

!"#$%&’$：@4M561FN=7;7O73C:O7C61F;:OA1737F4，;A:545;:PO21F:;C:;263:C6187=P2;6712J7M;P716;7=:CM5:=Q.A:1，;A:

P:;A7CJ25:C71C2;2$P6161F;A:7=465;2>:1;7:R;=2O;2557O62;671=M3:58=7P;A:6187=P2;671Q.A:5:=M3:5O7PJ61:C<6;A7;A:=5;2;65;6O23C2;2<63387=P;A:N2;;:=178;A:P716;7=:CM5:=QSPN6=6O23=:5M3;55A7<;A2;<:O21N=7B6C:C<6;A;A:O2N2J636;478:R;=2O;61FM5:=N2;;:=1521C6C:1;68461F;A:P61;A:1:;<7=>QH1;A:7;A:=A21C，;A65P:;A7C2357O21C:;:O;32=F:5O23:61;=M$56715MOA25<7=P5Q

()*+,%-#：@:A2B67=,1234565；?5:=GC:1;686O2;671；D2;2E6161F；,557O62;671TM3:5；9:;<7=>U:OM=6;4

--随着计算机网络的深入普及，网络技术开始成为国民经济快速发展的一个重要的助推器。与此同时，网络信息安全也逐渐成为全社会共同瞩目的焦点。然而，实践表明，仅仅依靠现有的网络安全技术，诸如防火墙、入侵检测、身份认证等，并不能阻止网络中的所有攻击，也无法确保系统的安全。其原因在于现有的安全技术大多将主要精力集中在“防外”，对外来攻击进行响应，而对于内部网络受外界未知攻击后，产生的后果以及内网用户可能进行的破坏性行为考虑得较少。这方面比较典型的例子是垃圾邮件、有害信息泛滥以及今年出现的U32PP:=，EJ325;蠕虫等。

那么，如何从“管内”的角度来提高系统的安全性呢？在允许用户正常使用网络的同时，尽量限制其有害行为（被攻击产生的后果或攻击他人）是我们的基本出发点。因此，发现并定位用户的网络有害行为，然后进行适当的控制就是我们要完成的主要任务。本文将主要讨论如何发现、识别不同的用户网络行为。

我们知道网络用户都具有各自的兴趣爱好，不同的人在上网时，关注的内容也不完全相同，那么相应的用户网络行为也不可避免地带有各自的特征。近年来，已经有不少研究人员开始对这种特征进行了有益的探索。但是，从已有的文献来看，他们中的大多数都是通过对服务器端的用户访问日志进行分析来实现的。比如在电子商务网站中的推荐系统，就是根据日收稿日期：!""#$%!$"&；修返日期：!""’$"’$!!

基金项目：国家自然科学基金资助项目（())#*%("）；国家

志中记录的用户历次登录所访问的页面、点击的项目，来归纳出该用户的购物倾向。

对于大规模园区网络的管理者，上述方法无法发挥作用。受控子网用户可能访问大量外部站点，而这些被访服务器的日志多数是管理者无法得到的。因此我们考虑通过流量分析的技术，尝试将这种属于用户自身所特有的特征从网络流量中提取出来，并存入特征库中。此后，当用户再次开始网络访问，我们都可以通过对其行为进行检测、分析和匹配，以评估安全状况，识别用户身份，实现网络的安全管理。此外，在分析行为的同时，我们还能够得到一系列“副产品”，文中将会介绍用户安全行为分析，也为蠕虫防治提出了一种新思路。

!"行为分析模型的设计

!#!"分析对象的选择

用户行为可以通过这样一个五元组｛9，-，B，!，C｝来描述，即用户使用网络的时间（9）、访问的站点（-）、访问操作的、访问的内容类型（!）和该访问操作的数据流量（C）。分类（B）说明如下：

（%）用户使用网络的时间（9）。用于标志行为发生的时间，可按一定标准进行分类，诸如早、中、晚等。

（!）访问的站点（-）。可划分为门户类、新闻类、教育类、娱乐类、安全类等。

（#）访问操作的分类（B）。LLL———普通浏览，搜索，下载，发表；邮件———发送，接收；.:31:;———浏览，发表；黑客行为———扫描等。

万方数据“&+#”计划资助项目（!""%,,’%#)%"）