數(shù)據(jù)挖掘技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)病毒防御系統(tǒng)開發(fā)中的應(yīng)用

范海峰

（91412 部隊(duì) 廣東省湛江市 524001）

當(dāng)今社會(huì)已經(jīng)進(jìn)入了信息化時(shí)代，而在互聯(lián)網(wǎng)信息技術(shù)高速發(fā)展的過(guò)程中，計(jì)算機(jī)網(wǎng)絡(luò)已經(jīng)被廣泛應(yīng)用于社會(huì)的各個(gè)領(lǐng)域當(dāng)中，同時(shí)使民眾日常工作以及生活的模式發(fā)生了較大的改變。如今各行各業(yè)都離不開計(jì)算機(jī)網(wǎng)絡(luò)的支持，人們對(duì)其加以利用時(shí)，網(wǎng)絡(luò)安全問(wèn)題始終會(huì)影響用戶的實(shí)際體驗(yàn)以及個(gè)人隱私安全，因此，社會(huì)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)病毒防御系統(tǒng)的構(gòu)建越來(lái)越關(guān)注。事實(shí)證明，在此防御系統(tǒng)中應(yīng)用數(shù)據(jù)挖掘技術(shù)，可以使網(wǎng)絡(luò)安全得到大幅提升，因此有關(guān)人員需要對(duì)其予以高度重視。

1 計(jì)算機(jī)網(wǎng)絡(luò)病毒主要特征

1.1 借助系統(tǒng)漏洞快速傳播

當(dāng)前，網(wǎng)絡(luò)病毒技術(shù)越來(lái)越高端，其傳播模式趨于多元化。而最為常見的病毒傳播方式即用戶在應(yīng)用計(jì)算機(jī)時(shí)，病毒從各種系統(tǒng)漏洞中被傳入計(jì)算機(jī)，這些病毒能夠自動(dòng)識(shí)別有漏洞的計(jì)算機(jī)，隨后入侵并且對(duì)計(jì)算機(jī)部分甚至所有程序進(jìn)行控制。與此同時(shí)，病毒還能夠針對(duì)性地掃描文件夾以及系統(tǒng)文件，繼而持續(xù)復(fù)制病毒，加大病毒入侵計(jì)算機(jī)網(wǎng)絡(luò)的規(guī)模[1]。

1.2 病毒多樣性的特點(diǎn)

開發(fā)和構(gòu)成網(wǎng)絡(luò)病毒方式并不復(fù)雜，非法人員僅需借助若干程序指令便能創(chuàng)造出大規(guī)模網(wǎng)絡(luò)病毒。與此同時(shí)，現(xiàn)今社會(huì)上存在許多水平較高的編程人員，其能夠自行編寫簡(jiǎn)單病毒程序。除此之外，網(wǎng)絡(luò)病毒在計(jì)算機(jī)網(wǎng)絡(luò)當(dāng)中能夠快速繁殖，同時(shí)擁有多樣化的類型，這便使網(wǎng)絡(luò)安全風(fēng)險(xiǎn)系數(shù)被大幅度增加。

1.3 病毒的針對(duì)性特點(diǎn)

以往的計(jì)算機(jī)網(wǎng)絡(luò)病毒較為單一，這是由于其存在的目的僅僅為干擾程序員對(duì)各種程序的編寫；然而由于當(dāng)前網(wǎng)絡(luò)病毒具備多樣化的特點(diǎn)，因此，不同病毒具有相應(yīng)的針對(duì)性，同時(shí)，病毒自身功能也越來(lái)越多。另外，伴隨互聯(lián)網(wǎng)信息技術(shù)的高速發(fā)展，病毒開發(fā)與設(shè)計(jì)人員能夠賦予病毒具有針對(duì)性的目的和功能，是指帶有目的地入侵和攻擊用戶計(jì)算機(jī)。

2 網(wǎng)絡(luò)病毒常見傳播途徑

2.1 主動(dòng)掃描

此方式主要是借助互聯(lián)網(wǎng)對(duì)遠(yuǎn)程計(jì)算機(jī)存在的漏洞進(jìn)行掃描，隨后按照掃描的結(jié)果取得目標(biāo)計(jì)算機(jī)的部分控制權(quán)限。與此同時(shí)，一些病毒會(huì)在計(jì)算機(jī)中對(duì)可寫的文件夾進(jìn)行搜索，并且在文件夾中復(fù)制大量病毒，從而嚴(yán)重影響用戶對(duì)計(jì)算機(jī)的把控。

2.2 郵件模式

不法分子傳播計(jì)算機(jī)網(wǎng)絡(luò)病毒時(shí)最常運(yùn)用的手段即電子郵件，而郵件在網(wǎng)絡(luò)中傳送的時(shí)候，極易導(dǎo)致網(wǎng)絡(luò)中大部分郵件被感染病毒。因此，網(wǎng)絡(luò)當(dāng)中病毒郵件的傳播范圍越來(lái)越廣，速度也越來(lái)越快，這會(huì)導(dǎo)致計(jì)算機(jī)無(wú)法順利執(zhí)行信息交換命令。

3 數(shù)據(jù)挖掘技術(shù)原理與構(gòu)成

3.1 技術(shù)原理概述

KDD 技術(shù)（即數(shù)據(jù)挖掘技術(shù)）主要指幫助用戶從海量信息數(shù)據(jù)當(dāng)中借助相應(yīng)算法對(duì)其中位置但價(jià)值較高的知識(shí)、信息進(jìn)行搜索的一類技術(shù)。此項(xiàng)技術(shù)會(huì)涉及到眾多專業(yè)知識(shí)，其中包含了模糊識(shí)別、計(jì)算機(jī)技術(shù)、機(jī)器學(xué)習(xí)、統(tǒng)計(jì)學(xué)以及檢索情報(bào)等。對(duì)數(shù)據(jù)進(jìn)行挖掘時(shí)，關(guān)鍵步驟包括了準(zhǔn)備數(shù)據(jù)、探尋數(shù)據(jù)的規(guī)律以及將數(shù)據(jù)的規(guī)律展現(xiàn)出來(lái)。系統(tǒng)在對(duì)數(shù)據(jù)挖掘加以確定之后，有關(guān)的引擎便會(huì)及時(shí)起動(dòng)，對(duì)需挖掘信息數(shù)據(jù)進(jìn)行檢索，將數(shù)據(jù)規(guī)律挖掘出來(lái)。對(duì)于數(shù)據(jù)挖掘工作而言，其關(guān)鍵點(diǎn)為預(yù)處理數(shù)據(jù)，主要工作有鏈接數(shù)據(jù)表、數(shù)據(jù)凈化、整合變量以及轉(zhuǎn)換格式等。有關(guān)人員不能應(yīng)當(dāng)明確，數(shù)據(jù)預(yù)處理工作的順利落實(shí)能夠?yàn)榉治鰯?shù)據(jù)工作夯實(shí)基礎(chǔ)[2]。

3.2 技術(shù)的主要構(gòu)成模塊

3.2.1 數(shù)據(jù)源

此模塊重點(diǎn)便在于截獲網(wǎng)絡(luò)向計(jì)算機(jī)發(fā)送的數(shù)據(jù)包。該模塊內(nèi)部主要包含網(wǎng)絡(luò)當(dāng)中不同的初始數(shù)據(jù)包，這些數(shù)據(jù)包當(dāng)中通常都具有與特定數(shù)據(jù)庫(kù)存在關(guān)聯(lián)性的數(shù)據(jù)結(jié)構(gòu)。當(dāng)模塊截獲數(shù)據(jù)包后，會(huì)將其轉(zhuǎn)交到預(yù)處理的模塊，隨后執(zhí)行相應(yīng)指令。

3.2.2 預(yù)處理

此模塊為數(shù)據(jù)挖掘技術(shù)最為基礎(chǔ)的工作模塊，其會(huì)預(yù)處理數(shù)據(jù)信息，以便為后續(xù)分析數(shù)據(jù)的工作夯實(shí)基礎(chǔ)。經(jīng)由預(yù)處理數(shù)據(jù)，可以全面提升數(shù)據(jù)信息的實(shí)際挖掘效果，同時(shí)縮短挖掘的時(shí)間，這樣便可使挖掘數(shù)據(jù)的整體效率得到有效提高。

3.2.3 規(guī)則庫(kù)

該模塊主要會(huì)全面儲(chǔ)存挖掘數(shù)據(jù)過(guò)程時(shí)形成的有關(guān)規(guī)則集以及那些已經(jīng)分析完成且被全方位檢測(cè)的蠕蟲病毒相應(yīng)連接特點(diǎn)。所存儲(chǔ)規(guī)則集能夠?qū)⒉《揪唧w特點(diǎn)與連接數(shù)據(jù)反映出來(lái)，繼而對(duì)病毒數(shù)據(jù)特點(diǎn)加以分析，合理收集有關(guān)的特點(diǎn)。

3.2.4 數(shù)據(jù)挖掘

此模塊的重要任務(wù)即借助有關(guān)的計(jì)算方式分析事件庫(kù)。一般事件庫(kù)內(nèi)部數(shù)據(jù)信息被此模塊挖掘和分析后，分析結(jié)果會(huì)被傳送到?jīng)Q策模塊加以處理。

3.2.5 決策

決策模塊的工作重點(diǎn)為總結(jié)數(shù)據(jù)挖掘的有關(guān)結(jié)果，同時(shí)使之匹配規(guī)則庫(kù)內(nèi)部的有關(guān)規(guī)則，倘若結(jié)果與相應(yīng)規(guī)則相匹配，則說(shuō)明所截獲數(shù)據(jù)包內(nèi)部存在蠕蟲病毒；倘若二者并不相符，預(yù)防模塊將發(fā)出相應(yīng)的警報(bào)信息，說(shuō)明此時(shí)存在未知蠕蟲病毒，另外模塊也會(huì)將此病毒規(guī)則記錄到規(guī)則庫(kù)內(nèi)。

4 預(yù)防計(jì)算機(jī)網(wǎng)絡(luò)病毒過(guò)程中數(shù)據(jù)挖掘技術(shù)的應(yīng)用可行性

在一般狀況下，計(jì)算機(jī)網(wǎng)絡(luò)病毒會(huì)優(yōu)先將主機(jī)感染，隨后傳播和擴(kuò)散病毒，而在病毒的傳播階段，其會(huì)侵入到用戶計(jì)算機(jī)操作系統(tǒng)當(dāng)中，并且對(duì)用戶在互聯(lián)網(wǎng)當(dāng)中的各類信息進(jìn)行掃描、竊取甚至破壞。而這部分異常指令能夠有效支持?jǐn)?shù)據(jù)挖掘技術(shù)的應(yīng)用，借助此項(xiàng)技術(shù)能夠?qū)W(wǎng)絡(luò)內(nèi)部數(shù)據(jù)進(jìn)行抓取，同時(shí)按照分析數(shù)據(jù)的最終結(jié)果來(lái)診斷引發(fā)網(wǎng)絡(luò)當(dāng)中異常問(wèn)題的主要原因，進(jìn)而引導(dǎo)用戶采用最合適的方案來(lái)防護(hù)網(wǎng)絡(luò)安全，在第一時(shí)間避免病毒威脅計(jì)算機(jī)系統(tǒng)。若想使數(shù)據(jù)挖掘技術(shù)得以被有效落實(shí)，有關(guān)人員應(yīng)該對(duì)網(wǎng)絡(luò)病毒傳播、感染方式展開深入分析。比如，在用戶計(jì)算機(jī)感染了蠕蟲病毒的時(shí)候，應(yīng)當(dāng)優(yōu)先掃描主機(jī)，并且在相應(yīng)防御系統(tǒng)當(dāng)中建立相應(yīng)突破口，基于數(shù)據(jù)挖掘技術(shù)來(lái)建立更有效的病毒防御體系，并且對(duì)前文提及的主要構(gòu)成模塊加以有效運(yùn)用?？傮w而言，當(dāng)網(wǎng)絡(luò)當(dāng)中形成了數(shù)據(jù)源，預(yù)處理模塊便會(huì)對(duì)其加以處理，將網(wǎng)絡(luò)中傳播的病毒記錄下來(lái)，提升防御系統(tǒng)病毒識(shí)別力以及免疫力，當(dāng)今后相似的病毒侵入系統(tǒng)時(shí)，系統(tǒng)便會(huì)在第一時(shí)間發(fā)出警報(bào)，并且借助防御系統(tǒng)來(lái)保護(hù)主機(jī)[3]。

5 數(shù)據(jù)挖掘技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)病毒防御系統(tǒng)開發(fā)中的主要應(yīng)用思路

當(dāng)用戶的計(jì)算機(jī)被網(wǎng)絡(luò)病毒入侵時(shí)，其內(nèi)部系統(tǒng)往往會(huì)被病毒破壞，當(dāng)核心操作系統(tǒng)被入侵的時(shí)候，計(jì)算機(jī)系統(tǒng)內(nèi)部全部信息都會(huì)被破壞。數(shù)據(jù)挖據(jù)技術(shù)能夠在各種網(wǎng)絡(luò)病毒入侵的同時(shí)截獲病毒重要信息，同時(shí)對(duì)網(wǎng)絡(luò)運(yùn)行相應(yīng)數(shù)據(jù)展開分析，并且合理處理分析完成的數(shù)據(jù)，這便可以避免系統(tǒng)文件被病毒破壞，為用戶的計(jì)算機(jī)網(wǎng)絡(luò)安全提供可靠保障。所以，有關(guān)人員需要致力于進(jìn)一步開發(fā)應(yīng)用數(shù)據(jù)挖掘技術(shù)。

5.1 系統(tǒng)開發(fā)中規(guī)則庫(kù)的應(yīng)用

系統(tǒng)內(nèi)部規(guī)則庫(kù)模塊主要是借助計(jì)算機(jī)進(jìn)一步挖掘當(dāng)前網(wǎng)絡(luò)數(shù)據(jù)信息，利用各種特征來(lái)分析判斷數(shù)據(jù)的實(shí)質(zhì)內(nèi)容，并且在獲悉數(shù)據(jù)主要規(guī)律之后深度分析后期數(shù)據(jù)。該模塊的有效應(yīng)用，能夠?qū)㈥P(guān)于病毒程序的重要信息數(shù)據(jù)規(guī)律及其內(nèi)容充分記錄下來(lái)，以便指導(dǎo)后期數(shù)據(jù)挖掘工作的開展。在防御系統(tǒng)中應(yīng)用規(guī)則庫(kù)模塊，能夠以最快的速度將最新病毒識(shí)別出來(lái)，并且及時(shí)匹配相應(yīng)破解措施；除此之外，這種應(yīng)用還有助于系統(tǒng)分類數(shù)據(jù)內(nèi)容，同時(shí)使數(shù)據(jù)庫(kù)模塊信息被逐步完善，將數(shù)據(jù)支持完全提供給防御系統(tǒng)。

5.2 數(shù)據(jù)收集的應(yīng)用

先進(jìn)的數(shù)據(jù)挖掘技術(shù)，其核心基礎(chǔ)即計(jì)算機(jī)技術(shù)，互聯(lián)網(wǎng)時(shí)代下社會(huì)對(duì)網(wǎng)絡(luò)技術(shù)的應(yīng)用越發(fā)頻繁，其能夠幫助人們對(duì)網(wǎng)絡(luò)信息以及資源展開全面收集。數(shù)據(jù)挖掘技術(shù)中囊括了信息數(shù)據(jù)的收集和處理以及篩選與歸類等功能，該技術(shù)在普及網(wǎng)絡(luò)技術(shù)的過(guò)程中被逐步運(yùn)用到社會(huì)各個(gè)領(lǐng)域當(dāng)中。在計(jì)算機(jī)網(wǎng)絡(luò)病毒的防御系統(tǒng)當(dāng)中應(yīng)用數(shù)據(jù)挖掘技術(shù)，能使系統(tǒng)借助數(shù)據(jù)信息收集技術(shù)來(lái)收集病毒傳播方式以及構(gòu)成數(shù)據(jù)。在通常情況下，病毒在入侵計(jì)算機(jī)的時(shí)候，一般都會(huì)呈現(xiàn)出代碼形式，這是因?yàn)椴《驹谄茐挠?jì)算機(jī)的內(nèi)部系統(tǒng)時(shí)，往往需要借助某些計(jì)算機(jī)程序。因此，防御系統(tǒng)借助數(shù)據(jù)挖掘技術(shù)能夠在海量信息數(shù)據(jù)當(dāng)中精準(zhǔn)且快速地將與病毒有關(guān)程序代碼等搜尋出來(lái)，隨后對(duì)其展開分析。由于病毒的程序和計(jì)算機(jī)的軟件程序具備一部分共性，制作時(shí)其功能、模塊較多，而數(shù)據(jù)挖掘技術(shù)能夠分模塊收集病毒數(shù)據(jù)，并且在收集數(shù)據(jù)時(shí)可以從網(wǎng)絡(luò)中抓取大量數(shù)據(jù)，最終實(shí)現(xiàn)按照不同模塊合理分類和整理病毒信息。

5.3 數(shù)據(jù)處理的應(yīng)用

在計(jì)算機(jī)網(wǎng)絡(luò)病毒防御系統(tǒng)當(dāng)中應(yīng)用數(shù)據(jù)處理技術(shù)，可以使系統(tǒng)借助此技術(shù)合理篩選并分析海量數(shù)據(jù)，并且以帶入關(guān)鍵信息的方式將和病毒有一定關(guān)聯(lián)性的代碼篩選出來(lái)，隨后分類整理這部分結(jié)果，并且結(jié)合處理技術(shù)轉(zhuǎn)換所收集信息數(shù)據(jù)的格式。在一般狀況下，網(wǎng)絡(luò)病毒不會(huì)以文字、數(shù)字方式攻擊計(jì)算機(jī)，另外代碼形式也要經(jīng)過(guò)一定轉(zhuǎn)換方可以常規(guī)方式被呈現(xiàn)出來(lái)，但是通常只有將病毒代碼轉(zhuǎn)換為計(jì)算機(jī)能夠識(shí)別的形式后才可以破解病毒的類型。數(shù)據(jù)挖據(jù)技術(shù)中的數(shù)據(jù)處理技術(shù)主要任務(wù)便是轉(zhuǎn)換病毒的代碼形式。處理病毒的形式時(shí)，需要處理的內(nèi)容主要有數(shù)據(jù)源的信息、源IP 的位置以及數(shù)據(jù)源的位置等，并且經(jīng)由更深入的挖掘來(lái)定位病毒IP 的主要目標(biāo)，進(jìn)而實(shí)現(xiàn)對(duì)傳播病毒路徑的有效封鎖。除此之外，處理技術(shù)還能終端信息處理所收集信息數(shù)據(jù)，并且將數(shù)據(jù)轉(zhuǎn)化成可識(shí)別的形勢(shì)。此項(xiàng)技術(shù)還能使分析數(shù)據(jù)以及破解病毒存在形式的時(shí)間被合理縮短，使數(shù)據(jù)挖掘的整體效率、準(zhǔn)確性有所提升[4]。

5.4 不同分析方式的應(yīng)用

（1）序列分析：此分析方式為統(tǒng)計(jì)分析方式，重點(diǎn)在于實(shí)時(shí)處理數(shù)據(jù)信息。進(jìn)行序列分析的時(shí)候，系統(tǒng)需要根據(jù)隨機(jī)數(shù)據(jù)序列當(dāng)中特有規(guī)律展開全面分析，同時(shí)找出事件庫(kù)內(nèi)已存在病毒數(shù)據(jù)的序列進(jìn)行比對(duì)。

（2）關(guān)聯(lián)規(guī)則：此項(xiàng)規(guī)則即數(shù)據(jù)內(nèi)部一般都存在可以被關(guān)聯(lián)的知識(shí)數(shù)據(jù)，當(dāng)數(shù)據(jù)庫(kù)內(nèi)部分變量在各自取值上存在規(guī)律，便說(shuō)明這部分?jǐn)?shù)據(jù)互相間存在關(guān)聯(lián)性。在數(shù)據(jù)挖掘技術(shù)中最重要的關(guān)聯(lián)關(guān)系包括時(shí)序關(guān)聯(lián)、簡(jiǎn)單關(guān)聯(lián)與因果關(guān)聯(lián)，分析、查找數(shù)據(jù)信息當(dāng)中存在的關(guān)聯(lián)性，便是確定數(shù)據(jù)庫(kù)內(nèi)部各種關(guān)聯(lián)網(wǎng)，并且挖掘并明確各項(xiàng)數(shù)據(jù)間存在的關(guān)聯(lián)性，繼而將對(duì)應(yīng)的關(guān)聯(lián)規(guī)則挖掘出來(lái)，最終對(duì)病毒進(jìn)行確認(rèn)。

（3）異類分析：此分析方式即全面分析數(shù)據(jù)庫(kù)內(nèi)部明顯存在不同的有關(guān)數(shù)據(jù)信息，其分析的重點(diǎn)便在于深入分析與常規(guī)方式間偏離較大的有關(guān)數(shù)據(jù)。具體的分析流程為優(yōu)先發(fā)現(xiàn)孤立點(diǎn)，隨后深入分析此孤立點(diǎn)。需要注意的是，在發(fā)現(xiàn)孤立點(diǎn)的過(guò)程中，一般都會(huì)得到相悖于常理的結(jié)果，因此在對(duì)孤立點(diǎn)進(jìn)行深入分析的時(shí)候，通常都會(huì)發(fā)現(xiàn)具有更高價(jià)值的有關(guān)信息數(shù)據(jù)，這對(duì)病毒的甄別具有重要作用。

（4）分類分析：運(yùn)用此類分析方法的時(shí)候，應(yīng)該優(yōu)先設(shè)定若干不同類別，隨后根據(jù)實(shí)際類別對(duì)不同的個(gè)體進(jìn)行歸類處理，并且借助相應(yīng)的統(tǒng)計(jì)方法以及機(jī)器學(xué)習(xí)法等建立對(duì)應(yīng)的模型，同時(shí)借助對(duì)應(yīng)的特定類別映射數(shù)據(jù)庫(kù)內(nèi)部的有關(guān)數(shù)據(jù)，隨后遵循分類規(guī)則合理分類其余數(shù)據(jù)。

（5）聚類分析：防御系統(tǒng)利用此分析方法，能夠有效分解數(shù)據(jù)挖掘過(guò)程中截獲的數(shù)據(jù)包，同時(shí)根據(jù)不同類型來(lái)劃分?jǐn)?shù)據(jù)組別，而在各組別內(nèi)部，各項(xiàng)數(shù)據(jù)普遍具備若干類似特征，而不同組別也都具有不同的特征點(diǎn)。防御系統(tǒng)在聚類分析數(shù)據(jù)后，能夠快速將數(shù)據(jù)當(dāng)前分布的疏密情況識(shí)別出來(lái)，并且將全區(qū)分布方式體現(xiàn)出來(lái)，呈現(xiàn)出數(shù)據(jù)屬性間的本質(zhì)關(guān)系，這能夠使病毒識(shí)別效率有效提升。

6 結(jié)論

總體而言，在數(shù)據(jù)挖據(jù)技術(shù)被逐步應(yīng)用于計(jì)算機(jī)病毒防御系統(tǒng)的過(guò)程中，此項(xiàng)技術(shù)已經(jīng)成為系統(tǒng)最為關(guān)鍵的技術(shù)之一。將數(shù)據(jù)庫(kù)、信息收集與處理等技術(shù)應(yīng)用于防御系統(tǒng)當(dāng)中，同時(shí)結(jié)合多種分析方式，能夠有效防御計(jì)算機(jī)網(wǎng)絡(luò)病毒，從而在保證用戶個(gè)人隱私安全的基礎(chǔ)上營(yíng)造更加良好的網(wǎng)絡(luò)環(huán)境。