交通数据,根据(
Debar
,
2007
年)。
3.2.
数据分割
由于机器人群体活动是周期性的和强烈的(Choi等人,2009年),
有必要分析活动持续时间,以获得其性质。另一方面,网络数据中记录
的活动长且负载重。因此,开发基于时间的数据分割(Choi等人,2007;
Hostiadi等人,2020年),以优化分析过程。
为此,我们将数据分为几个阶段。首先,基于网络流量中的活动时
间对每个主机的活动数据进行排序。接下来,通过获取流量数据中的主
机列表来识别每个主机的活动,该列表引用源和DIP,其结果用于对流
量进行分段。此过程总共生成段(sg),每个段具有一小时的持续时
间。如果网络流量的持续时间为T,则网络流量较小,如等式2所示。
(三)、网络标头集 在每一段中,可以由等式表示(四):
NT
¼
f
.
NH
S
g
3
NH
¼
f
SIP
sg
; DIP
sg
; SIP
sg
; DIP
sg
; P
sg
; T
sg
; ST
sg
; TPT
sg
; TBT
sg
由于分割数据,主机活动的系列可能会中断,从而导致信息丢失。
我们实施30分钟滑动时间窗口(t
滑动
)来克服这个可能的问题,其图
示如图2所示。在片段识别过程中,识别每个结果片段并给其一个索引
号。
3.3.
特征提取
前一阶段产生包含较小规模网络流量数据(NH
sg
)的段(sg)。由于
滑动时间窗口过程,每个段具有彼此相交的不同主机活动。如前所述,
机器人群组活动是周期性的和强烈的,这意味着活动模式出现在以下几
个部分中,并且存在机器人活动 在每一个片段中。由于这一特点,我
们应该评估不同节段中重复的宿主活动,称为频繁活动。
在这 项研 究中, 我们搜索 频繁的 主机活动,
在
NT中的源IP地址
(SIP),有三个以上的出现在IP段标记为1;否则,它被标记为0,这意
味着它是一个不频繁的活动。当量(5)表示该特性,其中sg是段索
引。
在得到频繁主机活动的基础上,通过分析网络头,可以提取出七种
主机模式。设主模式为W;提取结果可以由等式(1)表示(六):
W
1
;W
2
;W
3
;W
4
;W
5
;W
6
;W
7
其中:
W1
是每个源主机到不同目的地的活动数
W
2
是使用不同源端口地址到不同目的端口地址的每个源主机的活动
数。
●
W
3
是主机使用的协议变体的数量。
W
4
是从源主机到目标主机的活动的平均持续时间。
●
W
5
是主机使用的状态变量的数量
W6
是源主机到目的主机使用的平均数据包总数.
W7
是源主机到目的主机使用的平均总字节数
.
因此,每个段(
sg
)中的主图案可以由等式(
1
)描绘(七):
W
sg
¼fW
1 sg
;W
2 sg
;W
3 sg
;W
4 sg
;W
5 sg
;W
6 sg
;W
7 sg
在提取该主模式之后,我们将每个段中的主模式合并成组模式,在
等式中表示为C(八):
C
sg
¼
.
W1
sg
[
W2
sg
[
W3
sg
[
W3
sg
[
:
[
W7
sg
[
W8s
g]
3.4.
Bot
群组检测
如前所述,本研究旨在检测机器人群体活动之间的因果关系,并测
量其相关性强度。为实现这一目的,确定了两种方法。首先,它使用相
似度值来获得一组相似的bot活动。其次,它需要相关性来衡量两个类
似的机器人活动。该步骤可以如下所示。
●
相似性度量
测量两个模式组之间的活动相似性
C
i
和C
j
,我们实现如
.