丛佩丽

辽宁机电职业技术学院信息工程系 辽宁 118009

0 引言

本文在上述安全管理系统的基础上，对报警信息聚类的方法进行研究。聚类分析常采用的分类器有：平均样本法优点是算法简单，但是用一点代表一类，过分集中。平均距离法需要计算待识模式与每一个训练样本的距离，计算量比较大。最近邻法需存储和计算训练样本，容易受噪音的影响。K-近邻法中的K值取值较大时，虽然减少了噪音的干扰，但是会把原是一类的分成多类，当K值取值较小时，又受了噪音的干扰。改进的最近邻以每一个类别以几个子集的平均样本为代表，采取最近邻法进行分类，这样减少了存储量和计算量，减少噪音的干扰，这是通常采用的分类器。

1 加权最近邻聚类报警的设计

1.1 SOC总体系结构设计

SOC关键技术是安全事件的关联信息模型、通用高性能关联引擎、安全事件重要性评估、安全设备联动控制等关键技术。完成安全事件的信息聚类是上述关键技术实现的前提。网络报警的聚类主要是在SOC的收集代理上实现，而且聚类主要是针对同一类型报警信息的纵向聚类。聚类的主要目的是减少网络报警的数量，将多条重复的报警信息在规定的时间阈值和空间阈值内合并成一条。

网络报警信息的规范化过程是指将各类安全信息转化为以统一格式描述的信息的过程，从而带来语义级别的提升。由于网络设备千差万别，所以它们所发出的报警的格式也多种多样，需要进行必要的聚类操作。……