日志模板提取的FT-Tree改进算法研究

顾海艳,郑淇文

(江苏警官学院计算机信息与网络安全系,江苏 南京 210031)

计算机日志是用于动态记录系统操作事件的、具有特定格式和特定功能的文件,主要包含系统本身、应用程序、安全管理等方面的行为信息,具有自动性、真实性和全面性等特点. 通过对日志文件信息的提取分析,可为网络安全管理提供依据,也可为确定犯罪方法、手段、途径、时间、地点提供证据支持,乃至复现相关涉网犯罪过程,因而日志已经作为一种电子证据在侦查办案中得到普遍应用. 根据中国裁判文书网(http://wenshu.court.gov.cn/)提供的2009年至2019年相关案件信息中涉及日志的已宣判刑事案件数如图1所示,不难发现,自2014年以来,日志文件越来越多地作为证据在案件中被采信. 随着各种网络应用的快速发展,对日志文件分析的需求在迅速增加,如何在网络安全管理、案件侦办过程中实现对海量日志信息的快速准确分析变得越发重要. 因此,亟需研究日志文件模板的高效可靠提取方法.

图1 已宣判涉及日志的刑事案件数随年份的变化情况Fig.1 Changes of the number of criminal cases adjudicated involving logs along with the years

日志文件模板提取方法目前主要采用基于聚类的算法. Tang等[1]在预先确定日志聚类数目的情况下,研究建立了基于词对关系的聚类方法以提取日志模板. 李文杰等[2]改进了基于密度的空间聚类算法,通过自适应法设置E邻域,实现了将对象按簇进行聚类的日志模板提取方法. Vaarandi等[3]提出使用聚合层次聚类,利用聚类结果,选择每个聚类中与其他……