基于FCM的網絡用戶行為識別研究*

吳　鑫　嚴岳松　劉曉然

(海軍指揮學院信息戰研究系　南京　211800)

WU Xin　YAN Yuesong　LIU Xiaoran

(Information Institute, Naval Command College, Nanjing　211800)

?

基于FCM的網絡用戶行為識別研究*

吳鑫嚴岳松劉曉然

(海軍指揮學院信息戰研究系南京211800)

網絡用戶行為識別作為網絡監管的一個重要方面，對網絡安全具有重要的意義。針對網絡用戶行為識別問題，提出了一種基于模糊C均值算法的網絡用戶行為識別模型，并設計了相關實驗進行驗證。實驗結果表明：該模型對網絡用戶行為具有較好的聚類和識別效果。

網絡行為; 模糊C均值; 用戶識別

WU XinYAN YuesongLIU Xiaoran

(Information Institute, Naval Command College, Nanjing211800)

Class NumberTP391

1　引言

隨著互聯網時代的不斷發展和壯大，互聯網用戶的數量不斷增多。與此同時，網絡犯罪事件隨著也不斷增多，例如發布反動信息等。如何對網絡用戶進行有效的監管已經成為社會的熱點問題。網絡用戶行為識別作為網絡監管的重要的手段，對于用戶行為的追蹤、行為負責人的認定有著深遠的意義。

網絡用戶行為識別，就是研究網絡用戶行為的特點以及在網絡活動中所表現出來的規律，并對比行為樣本庫，對用戶行為進行識別的過程。目前網絡用戶行為識別主要的方法有：劉磊等[1]提出的采用特征加權的樸素貝葉斯分類算法對用戶進行行為識別的方法； 葉娜等[2]針對用戶行為數據，提出了基于分塊和二部圖的用戶識行為識別算法；徐晏等[3]通過用戶上網在瀏覽器中留下的信息數據，對用戶進行行為識別；梁璐在文獻[4]中，根據用戶行為復雜度關系構建用戶行為的層次結構，利用層次隱馬爾科夫模型對用戶行為進行建模和識別；黃煒[5]提出一種利用分類算法與關聯算法相結合的識別方法，通過數據挖掘技術對用戶行為進行識別。結果表明上述方法均能對用戶行為進行識別，但普遍存在兩點不足：一是算法相對復雜，工作量較大；二是識別率相對偏低。針對以上不足，本文以網絡用戶行為日志集為研究對象，根據模糊C均值聚類算法(Fuzzy C-Means，FCM)設計簡單、易于應用計算機實現等優點，提出一種網絡用戶行為識別模型。

2　網絡用戶行為識別模型

本文建立了一種基于聚類的網絡用戶行為識別模型，該模型由數據采集模塊、行為樣本庫、數據選取模塊及行為聚類識別模塊四部分構成。模型如圖1所示。

圖1　基于聚類的網絡用戶行為識別模型

數據采集模塊：是利用抓取用戶上網流量信息的軟件或者安裝在服務器端口的傳感器等手段，獲取網絡用戶上網的行為日志數據。網絡用戶的行為一般用向量形式表示，即{特征1，特征2，…，特征n}，其中n個特征組成了一次行為。

數據預處理模塊：主要是對獲取的網絡用戶行為日志進行預處理，使得經預處理的數據便于聚類識別。該模型中對數據的預處理主要包括三點：特征選擇、數據轉換、噪聲數據處理。

行為樣本庫：是利用預處理后的數據來建立樣本庫，以便用作行為識別的模板，并通過不斷豐富行為樣本庫，使得該樣本庫可以為后續在研究網絡用戶行為方面提供便利。

行為聚類識別模塊：包括聚類模塊和識別模塊，前者是利用聚類算法對選取的訓練數據集進行聚類；后者是利用聚類算法對選取的測試數據集進行聚類，并對比樣本庫，進行識別。

該模型是將聚類算法應用于網絡用戶行為識別，識別主要是依據測試數據集與行為樣本庫中的數據兩者之間的相似度或者距離來衡量，若識別成功則可以認定測試的行為數據是某個人的網絡行為，并通過查找人員信息表，得出此人的身份信息；若識別失敗，證明該用戶為新用戶或者異常用戶，應該予以重點關注。

3　基于FCM的網絡用戶行為聚類

FCM是一種基于目標函數的無監督聚類分析算法，它是在K-均值聚類算法基礎上，將硬分類轉換為模糊分類，并引入了一個隸屬度的概念，FCM因設計簡單、解決問題范圍廣、易于應用計算機實現等特點受到越來越多人的關注，并應用于各個領域。本文將FCM應用于網絡用戶行為聚類過程中，其聚類步驟[6]如下所示：

算法：FCM

輸入：經預處理的網絡用戶行為數據

輸出：聚類得到的網絡用戶數目

步驟如下：

Ⅰ begin initialize

(1)

Ⅲdo由式(2)重新計算聚類中心μi

(2)

dij=‖xj-μi‖2

(3)

Ⅵreturnμ1,μ2,…,μc

Ⅶend

4　實驗及結果分析

4.1數據來源

本實驗數據均來自數據堂中的互聯網用戶行為日志數據集[7]。該數據集提供1000名網絡用戶日志集，采集了他們在四周中的網絡行為日志。根據本文研究目的，選取了部分數據作為訓練數據集和測試數據集，其中：

1)訓練數據集：在行為樣本庫中隨機選取三個人，記為p1、p2、p3，從這三個人的行為數據中分別抽取150條行為數據當做訓練數據集；利用FCM對其進行三次聚類實驗，分別為：每個人選取50、100、150條訓練數據；最后得出三次實驗的最終聚類結果，并統計三次實驗中每個人的準確聚類數目、聚類準確率及平均聚類準確率。

2)測試數據集包括兩組：第一組：p1的100條測試數據；第二組：分別來自p1、p2、p3的50條測試數據。分別進行聚類識別，分別統計各自的準確識別數目、準確識別率及平均識別率。

4.2數據預處理

對該數據集預處理的主要工作有以下幾點：

1) 特征選取：從原始網絡用戶行為數據中選取的特征包括T、P、I、W、V，即用戶的行為可以用向量{T,P,I,W,V}表示。

表1　選取的特征代表的意義

2) 數據轉換：將用戶的行為數據完全數字化處理，利用5維向量表示用戶的行為，為方便數據存儲和仿真實驗，將窗口進程名全部用數字代替。

表2　窗口進程名轉換表

3) 噪聲數據處理：將原始數據中其他的特征數據進行保存，將一些有明顯錯誤的數據刪除。

4.3結果分析

4.3.1參數及結果統計量

1) FCM的參數設定

FCM重要參數：加權指數b。文獻[8]給出的經驗值是1.1≤b≤5，J.C.Bezdek在文獻[9]中給出了加權值取2最為合理的物理解釋；高新波等[10]也解釋了b=2的合理性，并通過了實驗證明。綜上，確定該實驗所采用的FCM的加權指數b=2。

2) 結果統計量

(1)準確聚類數目：即某個人的訓練數據聚在同一類中最多的數目，定義為mi(i=1,2,3)；

(4)準確行為識別個數：測試數據與對應的訓練樣數據聚類在同一類的數目，定義準確識別數目為ni(i=1,2,3)；

4.3.2實驗結果及分析

1) 聚類結果分析，以訓練數據集為對象，采用FCM進行聚類。結果如圖2所示。

圖2　訓練數據集聚類結果

訓練數據集聚類實驗結果分析：由圖2可以看出，當訓練數據集為在p1、p2、p3中各抽取100條數據時候的聚類最為準確，平均準確率為93%；從總體上來看：第一，當訓練數據集從每人50條數據增加到100條數據，聚類效果有所提高，當訓練數據集從每人100增加到每人150條時，準確聚類率有所降低；第二，FCM對三組數據的聚類準確率基本都在90%左右。這也證明了該算法對于網絡用戶的行為數據具有良好的聚類效果。

2) 在聚類的基礎上，采用FCM對兩組測試數據集分別進行聚類識別，最終用戶行為識別結果如圖3、圖4所示。

圖3　N1=100，識別結果

測試數據集實驗結果分析：由圖3可知，當每人抽取100條訓練數據集時，對于測試數據集的識別率最高，為90%，實驗的平均行為識別率為88.3%，即對于p1而言，其行為的平均識別率為88.3%。

由圖4可知，以每人取的50、100、150當訓練數據集，對于第二組測試數據集的平均行為識別率分別為86.7%、87%、84.7%；相比于圖3的結果，第二組測試數據集的平均行為識別率有所下降。首先，因為第一組測試數據來源于p1，第二組測試數據來自p1、p2、p3。用戶行為數據變得更復雜，導致聚類和識別的難度加大，這是主要原因；其次，因為圖4測試數據集數目相比圖3的測試數據集增加了50%，因此數據量增加，對于聚類的結果造成了一定的影響。

圖4　N1=50;N2=50;N3=50識別結果

經過以上實驗，將p1、p2、p3的行為數據對比行為樣本庫，通過查找人員身份信息表，得出產生此網絡行為的用戶身份信息，從而達到通過對用戶行為的識別來識別用戶身份的目的。

5　結語

本文以網絡用戶行為日志集為研究對象，建立了基于FCM的網絡用戶行為識別模型，通過兩組實驗分別驗證了FCM對于網絡用戶的行為具有較好的聚類效果和識別效果，這使得公安部門在用戶行為追蹤、行為負責人認定等方面更加快捷，引導社會更加健康、穩定的發展。

[1] 劉磊,陳興屬,尹學淵,等.基于特征加權樸素貝葉斯分類算法的網絡用戶識別[J].計算機應用,2011,31(12)：3268-3270.

[2] 葉娜,趙銀亮,邊根慶,等.模式無關的社交網絡用戶識別算法[J].西安交通大學學報,2013,12(47)：19-26.

[3] 徐晏,張代遠.基于瀏覽器用戶身份識別系統[J].計算機技術與發展,2013,23(8)：79-82.

[4] 梁璐.基于層次隱馬爾科夫的行為識別研究[D].上海：華東師范大學,2012.

[5] 黃煒.基于數據挖掘的學習者身份識別[D].杭州：杭州電子科技大學,2011.

[6] 李粥程，邵美珍，黃潔.模式識別原理與應用[M].西安：西安電子科技大學出版社,2008.

[7] 數據堂(http://www.datatang.com)[EB/OL].互聯網用戶行為日志數據集.

[8] N.R.Pal and J.C.Bezdek.On cluster validity for the fuzzy c-means model[J]. IEEE Trans.Fuzzy Systems,1995,3(3):370-379.

[9] J.C.Bezdek. IEEE Trans.Syst .Man Cybern[J].1976(6):387-390.

[10] 高新波,裴繼紅,謝維信.模糊C均值聚類算法中加權指數的研究[J].電子學報,2000,17(4):21-24.

Identification of Network User Behavior Based on FCM*

Network user behavior recognition is an important aspect of network supervision, which has important significance to network security. Aiming to identify network user behavior problem,this paper proposes a network user identification model based on FCM,and designs the related experiments to verify the model.The results show that the model has good clustering and recognition effect on the behavior of the network user.

network behavior, fuzzy C-Means, user identification

2016年2月11日,

2016年3月27日

信息保障技術重點實驗室開放基金項目(編號：KJ-13-103)資助。

吳鑫,男,碩士研究生,研究方向：信息安全理論與技術。嚴岳松,男,碩士,講師,研究方向：信息安全。

TP391

10.3969/j.issn.1672-9730.2016.08.029

劉曉然,男,博士,教授,研究方向：信息作戰。