基于Apriori算法的安全日志分析方法

摘要

本发明涉及一种基于Apriori算法的安全日志分析方法，步骤如下：1）步骤S1，定义分析参数；2）从日志服务器中取出安全日志，步骤S2；对日志进行分类，形成日志类型集合D={D1，D2，…，Dn}，步骤S3；3）对集合D进行Apriori计算，获得支持度值，步骤S4；如果支持度小于设定的阀值，则重新计算，步骤S5；4）如果支持度大于等于设定的阀值，则进行Apriori计算，获得信任度值，步骤S6；如果信任度小于设定的阀值，则返回S4重新计算，步骤S7；5）如果支持度和信任度都大于等于设定的阀值，将它们归纳为关联事件，步骤S8。本发明的方法，可以自动发现大量日志中的有关联关系的日志，为网络安全分析与管理提供依据。

主权项

基于Apriori算法的安全日志分析方法，该方法包括以下的步骤：1）步骤S1，定义分析参数支持度：支持度是指安全事件在所有主机中发生的频率；支持度阈值：支持度阈值就是规定了挖掘结果所要求达到的最小支持度；信任度：信任度是指不同安全事件同时发生的频率；信任度阈值：信任度阈值就是规定了挖掘结果所要求达到的最小支持度；统计主机数：分析的安全日志所牵涉的所有主机的数目；2）从日志服务器中取出安全日志，步骤S2；根据安全日志的类别属性，对日志进行分类，形成日志类型集合D={D1，D2，…，Dn}，步骤S3；3）对集合D进行Apriori计算，获得支持度值，根据支持度阀值定义，这些项集的频度应不小于预先设置的支持度阀值，步骤S4；如果支持度小于设定的阀值，则重新根据Apriori进行计算，步骤S5；4）如果支持度大于等于设定的阀值，则进行Apriori计算，获得信任度值，产生相应的强关联规则，步骤S6；如果信任度小于设定的阀值，则返回S4重新根据Apriori进行计算，步骤S7；5）如果支持度和信任度都大于等于设定的阀值，则表明安全日志具有关联性，满足预定的关联强度，将它们归纳为关联事件，步骤S8。