基于改進FCM的網絡異常流量檢測獲獎科研報告摘要：針對正常上網所產生的網絡流量遠遠大于攻擊、入侵等非正常手段產生的異常流量的特點，通過對傳統FCM算法進行改進，引入新的聚類中心矩陣計算方法來計算落入平均半徑范圍內的流量數據的對象數量，根據該數量更新聚類中心矩陣，對流量數據進行聚類，并識別出網絡異常流量。對改進FCM算法、傳統FCM、HCM的效果進行比較分析發現，改進FCM雖然處理時間較HCM長，但對噪聲抑制較好，錯分率較低。

關鍵詞：FCM;流量檢測;聚類

隨著網絡帶寬逐漸增加、存儲介質的容量逐漸增大、服務器計算能力逐漸增強，促使了數據產生的成本越來越低，從而造成網絡數據急劇膨脹。如何快速、準確對網絡流量進行識別和分類是網絡入侵檢測中亟待解決的問題。基于模糊集的FCM算法作為一種無監督的分類方法[1]，表現了樣本與樣本之間的聯系，建立了數據樣本對類別的不確定性描述，已廣泛應用于機器學習、數據挖掘、圖像分割、海量數據分析等領域[2]。在網絡流量檢測中，往往基于以下假設，即網絡正常流量的數量遠遠大于異常流量，異常流量在數據中將會呈現出比較特殊的性質，FCM能通過識別正常類別比例來確定異常的類別。

1傳統FCM算法描述

設有待分類的樣本集為，n是樣本集合中的元素個數，q是特征空間維數。將樣本集X劃分為c類，然后將n個樣本分別屬于c個類的隸屬度矩陣記為，其中表示第k個樣本屬于第i個類別的隸屬度，應

滿足：

在目標函數中，樣本與類別的聚類距離度量的一般表達式為：

M為階的對稱正定矩陣。聚類的準則為取的極小值。

為階矩陣，表示聚類中心矩陣

為第i類的聚類中心

2改進FCM獲取初始聚類中心和聚類中心矩陣

對于給定的數據集，定義為歐式距離，在聚類初期，不斷更新數據對象間的平均距離Mean_d，若以點為中心，Mean_d為半徑范圍內落入的數據對象越多，表明該對象作為聚類中心的可能越大。計算出每個數據對象以Mean_d為半徑，落入該區間的數據對象數目，將區間內數據對象數目最多的一個對象作為初始聚類點，對于任意如果

3異常判定

在聚類中心矩陣生成后，對每個聚類中心Mean_d范圍內的數據對象數量進行判斷，依據經驗，在網絡訪問所產生的流量中，正常流量的數量是遠遠大于異常流量，那么正常流量聚類所產生的類所包含的數據對象數目應遠遠大于異常流量所聚成的對象的數目。因此可以對聚類中心矩陣中每類的數據對象數目進行簡單排序，聚類中心中所含數據對象遠遠少于正常值的即為異常流量。

4結果與結論

為驗證算法有效性，利用matlab2018a對數據進行仿真，運行環境為win10，Intel?Core?i7-8750H，CPU@2.4Ghz，RAM16GB。從HTTPDATASETCSIC數據集中，按4：1的比例對正常流量數據和異常流量數據進行分別抽樣，隨機抽取一萬條記錄進行數據清洗和規范化，并通過數據規約對數據進行降維采樣，盡量保持原有數據集的有關特性，減少需要處理的數據量，最終形成五組HTTPDATASETCSIC的六維子集。將改進后的P_FCM算法與傳統FCM、HCM算法進行性能比較，模糊權重指數為2。分別對數據樣本進行聚類，聚類結果如表4.1所示

比較三種算法對數據樣本集的聚類結果，三種算法聚類效果比較接近，本文算法的運行時間大于FCM算法和HCM算法，但準確率高于FCM和HCM，由于HCM是硬劃分的聚類分析技

術，聚類時間較低，算法效果不及基于模糊劃分的FCM和本文算法。

對數據集添加5%的噪聲，比較三種算法對噪聲的抑制能力，添加噪聲后的數據樣本聚類結果如表4.2所示。

因傳統FCM對初始數據敏感[3，4]，對于含噪數據的識別效果不佳，迭代次數增加后算法處理時間迅速增加，錯分率有所上升。HCM算法運行速度快，但錯分率較高。本文算法聚類中心矩陣是通過多次迭代生成的，在對噪聲的抑制上比傳統FCM和HCM表現好。

通過理論分析和實驗發