基于大數據技術的計算機網絡異常數據檢測方法

王 靜，周瑩瑩

（漯河職業技術學院，河南 漯河 462000）

0 引 言

在不同的網絡環境下，運行數據本身也具有動態屬性，這就導致在對網絡異常數據進行檢測時，往往會出現將正常波動數據檢測為異常數據，或者將異常數據誤判為正常數據的情況[1-3]。就現階段異常數據檢測方法的研究成果而言，已經在一定程度上實現了準確檢測。其中，文獻[4]將自回歸滑動平均模型（Auto-Regressive Moving Average Model，ARMA）與卷積長短期記憶神經網絡（Convolutional Neural Networks-Long Short Term Memory，CNN-LSTM）進行融合，應用到數據異常檢測中，大大提高了檢測結果的準確性，但是當數據規模較大時，該方法的檢測效率難以滿足實際應用需求。文獻[5]以軟件定義網絡（Software Defined Network，SDN）技術為核心，設計了一種網絡異常流量數據檢測方法，檢測結果具有較高的可靠性，但是該方法主要針對數據中心，對于廣域計算機網絡而言，應用方面存在一定的局限性。

基于此，本文提出基于大數據技術的計算機網絡異常數據檢測方法研究，并采用對比測試的方式對設計檢測方法的應用效果進行了直觀分析。

1 計算機網絡異常數據檢測方法設計

1.1 網絡數據預處理

網絡數據由網絡行為衍生而來，具有可被切割的屬性特征，通過解析網絡行為，可以實現對網絡數據的全面了解[6,7]。需要注意的是，在大數據技術的背景下，為了保障信息的隱私性，網絡數據中存在大量非核心數據信息，該部分數據在一定程度上影響著異常檢測的效果[8]。

假設原始網絡數據為X，數據的均值參數可以表示為

網絡數據的平均絕對偏差參數為

在此基礎上，利用式（1）和式（2）的計算結果，對原始的網絡數據進行標準化處理，對應的計算公式可以表示為

式中：X'表示標準化處理的網絡數據信息。

1.2 基于大數據技術的異常數據檢測

對于經過上述預處理的網絡數據信息，利用大數據技術提取數據的學習表征，將其作為后續異常數據檢測的判定基準[9,10]。具體的學習表征提取過程中，將網絡數據的誤差模糊程度作為指標參數，可以表示為

式中：λ表示網絡數據的誤差模糊系數；k表示分類系數；xmax表示原始網絡數據中的最大值；xmin表示原始網絡數據中的最小值；xmax-X'和xmin-X'分別表示網絡數據信息波動的閾值上限和閾值下限。分類系數的取值結果以計算機網絡的實際運行狀態為基準，其取值越大，對應的分類精度越低，對于異常數據的檢測精度也相對降低；其取值越小，對應的分類精度越高，對于異常數據的檢測精度也越高。

檢測計算機網絡異常數據時，首先對原始網絡數據進行預處理，其次選取分類系數后對數據進行分類，如果此時標準化的數據誤差超出式（4）所示的誤差模糊系數范圍，則需要重新對分類系數進行更新。初始階段，本文設置分類系數的更新步長為1.0，當標準化的數據誤差與誤差模糊系數范圍之間的差異在1.0以內時，設置分類系數的更新步長為0.1，直至數據誤差在誤差模糊系數范圍內。此時將待檢測的數據按照同樣的分類系數進行分類處理，并輸出檢測結果。如果待檢測數據的波動程度在誤差模糊系數范圍，則認為該數據為正常數據，輸出的檢測結果為正常，否則輸出的檢測結果為異常。

2 測試與分析

2.1 測試環境設置

在測試階段，本文構建了包含50萬條網絡運行信息的測試數據集。其中，異常數據的來源為不同類型的網絡攻擊，為了能夠更加全面地測試設計檢測方法的應用價值，本文在測試數據集中構建了3種較為常見的攻擊數據，分別為拒絕服務（Denial of Service，DoS）、用戶到根（User to Root，U2R）和遠程到本地（Remote to Local，R2L）。考慮到不同攻擊的實際作用類型存在多樣化的特征，形成的網絡異常數據也存在相應的差異，因此本文對具體的異常數據來源進行了細化設置，具體如表1所示。

表1 異常數據設置

在測試階段，本文設置的對照組分別為文獻[4]提出的基于ARMA與CNN-LSTM融合的檢測方法以及文獻[5]提出的基于SDN技術的檢測方法。

2.2 測試結果與分析

在對測試結果進行分析統計階段，本文分別將準確異常數據的情況和錯誤檢測異常數據的情況作為評價指標，其中錯誤檢測異常數據包括將正常數據檢測為異常以及將異常數據檢測為正常。3種方法對不同類型異常數據的準確檢出情況如表2所示。

表2 不同方法準確檢測異常數據情況統計表

從表1中可以看出，對比3種方法的測試結果，ARMA與CNN-LSTM融合檢測方法有效檢出異常數據的效果存在較為明顯的波動性，而本文設計的檢測方法對于異常數據的有效檢出率始終穩定在90.0%以上，具有明顯優勢。對3種方法錯誤檢測異常數據的情況進行統計，得到的數據信息如圖1所示。

圖1 不同方法錯誤檢測異常數據情況統計

通過對圖1中的數據進行對比可以發現，在3種檢測方法中，ARMA與CNN-LSTM融合檢測方法的誤檢率最高，其中對于multihop作用下異常數據的誤檢率達到了41.39%，異常數據的誤檢率是主要構成。SDN檢測方法誤檢率穩定在35.0%以內，異常數據的誤檢率和正常數據的誤檢率基本持平。本文設計方法的誤檢率基本穩定在15.0%以內，最小值僅為12.28%，正常數據的誤檢率低于6.0%。

3 結 論

本文提出基于大數據技術的計算機網絡異常數據檢測方法研究，借助大數據技術對網絡數據的發展特征進行細化分析，并實現了對異常數據的準確檢測。通過本文的研究，希望能夠為相關網絡安全的管理工作提供參考價值，為網絡的穩定運行提供幫助。