已知网络入侵模式的低匹配度数据信息集挖掘平台设计

刘兴明，王三虎，张跃进

（1.吕梁学院　计算机科学与技术系，山西　吕梁　033000；2.华东交通大学　信息工程学院，江西　南昌　330013）

已知网络入侵模式的低匹配度数据信息集挖掘平台设计

刘兴明1，王三虎1，张跃进2

（1.吕梁学院计算机科学与技术系，山西吕梁033000；2.华东交通大学信息工程学院，江西南昌330013）

在已知网络入侵模式下对低匹配度数据信息集进行挖掘时，缺少对低匹配度数据信息集的处理和分类选取过程，存在挖掘不准确，效率低的问题。设计并实现了一种已知网络入侵模式下对低匹配度数据信息集挖掘平台，介绍了平台的总体硬件结构，利用数据采样预处理模块实现从源数据到挖掘数据的映射，完成离散化、数据过滤等处理过程。依据KC89C72 DIP40FILE分类器进行低匹配度数据信息集的分类，储存到SSRAM中，并以此为基础，通过数据挖掘模块对储存的低匹配度数据信息集进行确认与挖掘。软件设计过程中，对已知网络入侵模式的低匹配度数据信息集挖掘平台进行了详细的分析，并给出低匹配度数据信息集挖掘的实现过程以及程序代码。实验结果表明，该平台的低匹配度数据信息集挖掘准确率、误差率、时间及所需内存均优于传统的Fuzzing平台，具有一定的实用性。

网络入侵模式；低匹配度；数据信息集；挖掘平台

0　引　言

近年来，随着计算机网络技术的快速发展，计算机及网络信息的安全问题显得越来越重要。由于用户使用量的增加及网络信息内容的增多，使得产生了多种网络入侵模式［1⁃3］。在网络入侵模式已知的情况下，对其匹配度低的数据信息集进行挖掘，是该领域亟待解决的问题，已经成为相关学者研究的重点，受到广泛的关注，也出现了很多好的方法［4］。

目前，对已知网络入侵模式下的低匹配度数据信息集进行挖掘的方法有很多种。文献［5］提出一种静态分析技术，通过对待检测程序的源代码或二进制代码进行扫描，获取错误函数调用及数据信息集，并对其进行快速挖掘，该方法挖掘效率高，但该方法实现过程复杂、实用性差。文献［6］提出一种动态分析技术，在调试器中对待检测程序进行调试，当程序运行时，对不同状态的寄存器、内存值改变情况进行分析，以此挖掘匹配度低的数据；但是该方法能耗较高、精度较低。文献［7］将大型物联网下的数据进行传输过程中，出现匹配度低的数据时处理器可及时对其进行挖掘；但该方法对硬件设备要求极高，适用范围非常小。文献［8］提出基于数据流完整性检测方法，出现匹配度低的数据时，该方法对数据出现的前后状态进行对比，来实现低匹配度数据的挖掘，实现过程复杂。文献［9］通过分析访问大型物联网内存数据的调度申请，同时将其应用于数据存储器分析上，将分析过程转换成一个决策树，并设置为低匹配度数据自动挖掘的基础，存在耗时长、效率低下的缺陷。

针对上述方法的弊端，设计了一种已知网络入侵模式下对低匹配度数据信息集挖掘平台，并进行了实验对比。实验结果表明，本文平台的低匹配度数据信息集挖掘准确率、误差率、时间及所需内存均优于传统的Fuzz⁃ing平台，具有一定的实用性。

1　已知网络入侵模式的低匹配度数据信息集挖掘平台总体结构

由于网络技术的发展和网络使用量的增加，网络入侵模式呈现多样化，其低匹配度数据信息集也存在不同的特征。当网络入侵模式已知的情况下，低匹配度数据信息集特征出现了一定的相似性。因此，对已知网络入侵模式下低匹配度数据信息集挖掘进行平台设计，成为了网络使用过程中至关重要的部分。

本文通过实际测试情况与相关理论，设计了在已知网络入侵模式下，对低匹配度数据信息集进行挖掘的平台，平台的总体结构如图1所示。

图1　平台总体结构

平台总体结构主要由数据选择模块、数据挖掘模块、数据采样模块、数据处理模块、数据库及接口模块组成。在已知网络入侵模式的情况下，通过对数据库内的低匹配度数据进行采集并进行预处理，在通过数据选择模块选取符合的低匹配度的数据，并根据其特征进行挖掘，完成低匹配度数据信息集的挖掘。其中最主要的是数据选择模块和数据挖掘模块。数据选择模块主要负责把通过数据处理模块处理的数据，按照低匹配度数据的特征进行分类选取，获取和数据挖掘相关联的数据信息；数据挖掘模块是整个过程中最关键的部分，在这里，使用数据挖掘的算法来进行运算，从数据中抽取所需数据信息集（即低匹配度数据信息集）。

2　已知网络入侵模式下的硬件模块的设计

2.1低匹配度数据信息集采集模块的设计

本文选择X5⁃TX数据采集模块，如图2所示，它有4个500 MPS或2个IGSPS16位的D/A，并且带有Virtcx 5 FPGA的计算核心、DRAM和SRAM内存，进行对低匹配度数据信息集的存储、以及8通道PCIExprcss主机接口的XMC输出模块。独有的FPGA与模拟接口紧密结合，可实时对网络低匹配度数据信息集进行采集，采集速度可达300 GMACs，为后期的低匹配度数据信息集处理提供了基础依据。X5⁃TX的XMC模块使用高性能8通道的PCLExprcss接口与强大的Vclocia架构结合，可持续的进行低匹配度数据信息集的传输，其持续传输速率超过了1 Gb/s。

图2　数据采样模块硬件结构

2.2低匹配度数据信息集处理模块的设计

低匹配度数据信息集处理模块，主要用于从数据采集后到挖掘数据的连接，实现对低匹配度进行数据离散化、过滤等处理。数据处理模块主要由FPGA，SSRAM，模数转换器，以太网接口等构成，详细硬件结构如图3所示。

图3　数据处理模块硬件结构图

数据处理模块以ADS1178芯片为低匹配度数据信息集处理核心，其共有8个差分输入通道，能同时对8个通道输入的低匹配度数据信息集进行处理，处理后的低匹配度数据信息集输出端与FPGA相连。为后期的低匹配度数据信息集的挖掘打下基础。选取CycloneⅣGX系列的EP4CGX110CF23C7N型号芯片作为FPGA芯片，其功耗低、成本不高，具有一定的实用性。

2.3低匹配度数据信息集选择模块的设计

数据选择模块主要用于对低匹配度数据信息集进行分类选取，主要由信号调直机、高速数据传输系统、KC89C72 DIP40FILE、Ermet Hard 354142型接口和Er⁃met Hard 973046型接口等构成，详细硬件结构如图4所示。

图4　数据选择模块硬件结构图

本文设计的数据处理模块接口选择2.0 mm Ermet Hard Metric连接器，为了使低匹配度数据信息集的传输效率和稳定性达到平台所需的要求，将连接器作为低匹配度数据信息集输入端口，973046型号的连接器作为低匹配度数据信息集的传输端口。数据信息集到达KC89C72 DIP40FILE低匹配度数据信息集分类选择模块后，数据分类选择模块一旦发现是所需的低匹配度数据信息集，会直接存储到SSRAM中，为下一步的低匹配度数据信息集的挖掘提供依据。

2.4低匹配度数据信息集挖掘模块的设计

数据挖掘模块主要负责对网络入侵数据中的低匹配度数据信息集进行深层次的挖掘，并将挖掘结果进行处理。低匹配度数据信息集挖掘模块主要由处理器、智能接口控制器、数字I/O、职能I/O构成，详细硬件结构如图5所示。

图5　数据挖掘模块硬件结构图

选择型号为IONI USB⁃6501的数字I/O，它是一种低价位USB数字I/O设备，能有效地加快低匹配度数据信息集挖掘时传输的速率。选择型号为Eclipse Java的职能I/O，其大大缩减挖掘低匹配度数据信息集的过程，提高了低匹配度数据信息集的挖掘效率。

3　已知网络入侵模式下数据信息集挖掘平台的软件设计

3.1低匹配度数据信息集挖掘的总流程图分析

在已知网络入侵模式的情况下，对低匹配度数据信息集挖掘平台进行设计时，在低匹配度数据信息挖掘平台硬件设计的基础上，结合软件设计的特性和要求，设计了已知网络入侵模式的低匹配度数据信息集挖掘平台的软件流程图，如图6所示。

图6　平台总体软件流程图

用户在平台的登录界面上登录后，如果低匹配度数据信息集挖掘所需的算法及数据信息都存在，则利用数据挖掘模块进行数据的挖掘，获取结果。

3.2软件代码设计

根据上述软件系统流程图进行代码设计。本文设计的已知网络入侵模式的低匹配度数据信息集挖掘平台软件，在Windows 7.0环境下，通过C++实现的，其软件程序设计如下：

4　实验结果与分析

为了验证本文设计的已知网络入侵模式下低匹配度数据信息集挖掘平台的有效性，需要进行相关的实验分析。实验将Fuzzing平台作为对比进行分析，实验的硬件环境为Windows XP，2 GB内存，40 GB硬盘。

4.1两种平台性能的比对

为了测试本文平台的挖掘性能，在上述实验环境的基础上，分别采用本文平台和Fuzzing平台对已知网络入侵模式下的低匹配度数据信息集进行挖掘，对两种平台的挖掘准确率和误报率进行统计，得到的结果如图7、图8所示。

由图7、图8可知，采用本文平台的准确率为55.7%（平均值），误差率为23.6%（平均值），Fuzzing平台准确率为37.9%（平均值），误差率为44.3%（平均值），本文平台相比Fuzzing平台准确率提高了17.8%（平均值），误差率降低了20.7%（平均值），在保证准确率的同时降低了平台的误差率，说明本文平台具有一定的挖掘精度。

图7　两种平台的准确率对比图

图8　两种平台的误差率对比图

4.2两种平台内存占用量的对比

分别采用本文平台和Fuzzing平台对已知网络入侵模式下低匹配度数据信息集进行挖掘时，两种平台的内存使用量如图9所示。

图9　两种系统的内存占用量

由图9可知，随低匹配度数据信息集数量的增多，本文平台的内存占用量为68.3 KB（平均值），且一直处于较低水平，而Fuzzing平台的内存占用量为750 KB（平均值），明显高于本文平台，因此，本文平台具有一定的优势。

4.3两种平台洞挖掘时所需时间的对比

采用本文平台和Fuzzing平台进行低匹配度数据信息集挖掘时所需时间进行对比，结果如图10所示。

图10　两种平台运行效率比较结果

由图10可知，在相同低匹配度数据信息集情况下，本文平台进行数据信息集挖掘所需的时间为22 s（平均值），Fuzzing平台对低匹配度数据信息集进行挖掘所需时间为47.5 s（平均值），本文平台相比Fuzzing平台所需时间节省了25.5 s（平均值），说明本文平台效率较高。

5　结　论

本文设计并实现了一种已知网络入侵模式下对低匹配度数据信息集挖掘平台，介绍了平台的总体硬件结构，利用数据采样预处理模块实现从源数据到挖掘数据的映射，完成离散化、数据过滤等处理过程。依据KC89C72 DIP40FILE分类器进行低匹配度数据信息集的分类，储存到SSRAM中，并以此为基础，通过数据挖掘模块对储存的低匹配度数据信息集进行确认与挖掘。软件设计过程中，给出低匹配度数据信息集挖掘的实现过程以及程序代码。实验结果表明，本文平台的低匹配度数据信息集挖掘准确率、误差率、时间及所需内存均优于传统的Fuzzing平台，具有一定的实用性。

［1］马龙飞.基于无线传感网的物联网应用平台的设计与实现［D］.北京：北京邮电大学，2014.

［2］杨世德，梁光明，余凯.基于ARM嵌入式系统底层漏洞挖掘技术研究［J］.现代电子技术，2015，38（18）：57⁃59.

［3］孙哲，刘大光，武学礼，等.基于模糊测试的网络协议自动化漏洞挖掘工具设计与实现［J］.信息网络安全，2014，27（6）：23⁃30.

［4］李永伟.基于Hex⁃Rays的缓冲区溢出漏洞挖掘技术研究［D］.郑州：中国人民解放军信息工程大学，2013.

［5］刘大光.基于模糊测试的网络协议自动化漏洞挖掘工具设计与实现［D］.北京：北京大学，2014.

［6］方喆君，刘奇旭，张玉清.Android应用软件功能泄露漏洞挖掘工具的设计与实现［J］.中国科学院大学学报，2015，32（1）：127⁃135.

［7］杨海民，张涛，赵敏，等.基于gdb的Android软件漏洞挖掘系统［J］.计算机技术与发展，2015，30（8）：156⁃160.

［8］苟孟洛.Windows平台下基于FUZZ技术的软件漏洞挖掘与利用研究［D］.成都：成都理工大学，2014.

［9］刘涛，王海东.基于Fuzzing的文件格式漏洞挖掘技术［J］.中国科技信息，2014（9）：160⁃162.

Design of low matching degree data information set mining platform for known network intrusion pattern

LIU Xingming1，WANG Sanhu1，ZHANG Yuejin2
（1.Department of Computer Science and Technology，Luliang University，Lüliang 033000，China；2.School of Information Engineering，East China Jiaotong University，Nanchang，330013，China）

A low matching degree data information set mining platform for the known network intrusion patterns was de⁃signed and implemented.The structure of the overall hardware platform is introduced.The data mapping from the source data to the mining data is implemented with the data sampling pretreatment module to complete the process of discretization and data fil⁃tering processing.The low matching degree data information sets are classified with KC89C72 DIP40FILE classifier，and stored in SSRAM.On this basis，the stored low matching degree data information sets are confirmed and mined by means of the data mining module.In the software design process，the low compatibility data information set mining platform for the known network intrusion pattern is analyzed in detail.The realization process and program code of the low matching degree data information set mining are presented.The experimental results show that the low matching degree data information set mining accuracy，error rate，time and required memory of the platform is superior to those of the traditional Fuzzing platform，and the platform has a certain practicality.

network intrusion pattern；low matching degree；data information set；mining platform

TN926⁃34；TP309

A

1004⁃373X（2016）18⁃0012⁃05

10.16652/j.issn.1004⁃373x.2016.18.004

刘兴明（1973—），男，山西岚县人，讲师，硕士。主要研究领域为计算机应用技术，数据挖掘。张跃进（1978—），男，湖北钟祥人，副教授，博士。主要研究方向为计算机应用技术、通信技术。

2016⁃01⁃12

国家自然科学基金（31160200）；2015年度吕梁学院校级改革项目：高校网络课程群的建设与改革（JYZD201507）