طبیعتا در جدول بالا، باید برخی از ویژگی‌ها حذف شوند. برای مثال ، ویژگی IP برای مرحله خوشه‌بندی باید حذف شود زیرا معنا و مفهومی خاصی برای خوشه‌بندی ندارد. پیش‌پردازش داده‌ها از دیدگاه رکورد و ستون ، از اهمیت بسزایی برخوردار است. به گونه‌ای که کارایی الگوریتم هوشمند ، تاثیر مستقیمی برکیفیت داده‌ها دارد.

قبل از انجام الگوریتم انتخاب ویژگی‌ها ، فیلتر اولیه‌ای بر اساس نظر شخص خبره اعمال می‌شود. برای این منظور ، تنها پروتکل‌های TCP و UDP را نگه داشته و مابقی را حذف می‌نماییم. همچنین هاست‌هایی که فقط حجم ارسالی و یا دریافتی داشته‌اند را نیز حذف می‌کنیم. در پایان نیز، هاست‌هایی که حجم ارسالی و دریافتی آنها بر حسب بایت، از مقدار پیش فرض (۱۵۰۰ بایت) کمتر باشد، آن‌ها نیز حذف می‌شوند.
حال، داده‌ها از دیدگاه رکورد آماده می‌باشند و پیش‌پردازش بر روی رکوردها تمام شده است. باید ستون‌های جدول نیز تعیین شوند. برای این منظور از روش‌های انتخاب ویژگی استفاده می‌شود.

۳-۲-۴- انتخاب ویژگی‌ها

انتخاب ویژگی‌های مناسب، تاثیربسزایی در کارایی الگوریتم‌های هوش مصنوعی دارد. روش‌های مختلفی تاکنون برای انتخاب ویژگی‌های معرفی شده‌است. در این پایان‌نامه نیز جهت انتخاب ویژگی‌ها، از روش Relief algorithm [2] استفاده شد. در نهایت متغیرهای نهایی زیر انتخاب شدند:
MeanByteReceive, MeanByteSend , TotalByteReceive, TotalByteSend , TotalReceivePacket, TotalSendPacket
حال، داده‌ها آماده برای بخش خوشه‌بندی می‌باشد.

۳-۲-۵- خوشه‌بندی

امروزه دسته‌ه ای متنوعی از روش‌های خوشه‌بندی نظیر سلسله‌مراتبی، گراف، فازی وغیره پیشنهاد شده‌است. در انتخاب روش خوشه‌بندی، باید چند نکته لحاظ شود:
۱) سرعت بالا.
۲) سادگی.
۳) قدرت بالا در مدل‌سازی داده‌ها.
در بین روش‌های مطرح الگوریتم K-Means از محبوبیت ویژه‌ای به دلیل هزینه زمانی و سادگی برخوردار است. اما این روش، در مدل‌سازی داده‌های با رفتار ویژه (مخصوصا نامتوازن) ناکارا می‌باشد[۳]. در این کار، از روش خوشه‌بندی مبتنی بر روش K-Means و فاصله مینکوفسکی^[۷۸] استفاده ‌شده‌است[۴] که به عقیده نگارنده، در مدل‌سازی داده‌های حوزه امنیت مناسب است.
بعد از این مرحله، خوشه‌بندی انجام شده و می‌توان با تحلیل بر روی خوشه‌ها، سالم بودن و یا مخرب بودن آنها را تشخیص داد.

۳-۲-۶- تشخیص هاست جدید.

با ورود هاست جدید و انجام تبادل داده، بعد از گذشت چند ارتباط ، باید اطلاعات آماری ارتباط، استخراج شود . سپس هاست جدید با توجه به اطلاعات استخراج شده ، اقدام به تعیین نزدیکترین خوشه می‌کنیم. به دلیل ماهیت روش خوشه‌بندی انتخابی در مرحله قبل (مبتنی بر مرکز) می‌توان ویژگی‌های هاست جدید را با مراکز خوشه‌ها مقایسه نمود. با توجه به خوشه انتخابی، می‌توان رفتار هاست جدید را تشخیص داد. جهت افزایش دقت، می‌توان به صورت متوالی اطلاعات آماری ارتباط ، بروز شده و مجددا تعیین خوشه انجام شود.

۳-۳- پیاده‌سازی و شبه کد روش پیشنهادی

جهت پیاده‌سازی، روش پیشنهادی به دو بخش مجزا تقسیم شد. بخش خواندن فایل PCAP و تفسیر آن، بخش داده‌کاوی شامل فیلتر اولیه، انتخاب ویژگی‌ها و خوشه‌بندی. جهت پیاده‌سازی بخش اول ، از زبان برنامه‌نویسی C# استفاده شد. دلیل این انتخاب، قدرت و سرعت این زبان در خواندن فایل‌های حجیم می‌باشد. خروجی این ماژول ، فایل اکسل حاوی اطلاعات آماری تمامی هاست‌ها می‌باشد. پیاده‌سازی بخش دوم نیز توسط Matlab انجام شده‌است. در شکل ۳-۴، نمایی از چارچوب پیاده‌سازی مشاهده می‌شود.
شکل ۳-۴: چارچوب پیاده‌سازی
در شکل ۳-۵، شبه کد روش پیشنهادی مشاهده می‌شود.
Void main()
{
Cluster CL[ ];
Data=LoadData;// From ISOT dataset in a PCAP format
StructData=TranslateData(Data); // Writing in C#
D1=Filter(StructData);
FinalData=FeatureSelection(D1);
CL=Clustering(FinalData);
Evaluate(CL);
}
۳-۵: شبکه کد روش پیشنهادی
در این فصل، به بیان جزئیات روش پیشنهادی در تشخیص خودکار بات‌نت‌ها پرداخته‌شد. جهت شناسایی خودکار بات‌نت‌ها از روش خوشه‌بندی بر پایه روش محبوب K-Means استفاده شد. این روش می‌تواند به عنوان یک ابزار کمکی و قدرتمند در اختیار مفسر انسانی قرار گرفته و سبب افزایش کارایی در کنترل بسته‌های شبکه گردد. همان‌طور که گفته‌شد ، ابتدا پیش‌پردازش داده‌ها در راستای رکوردها انجام شده و سپس ویژگی‌های مورد نظر استخراج می‌شوند. روش نوین وکارای مبتنی بر K-Means که مخصوص داده‌های نامتقارن می‌باشد ، انتخاب و جهت خوشه‌بندی استفاده شد. با پیاده‌سازی چنین سیستمی می‌توان بات نت‌های مهاجم را بعد از گذشت اندک زمانی از ارتباط شناسایی نموده و از تبادل داده‌ها جلوگیری نمود.

فصل چهارم

پیاده سازی

ارزیابی روش پیشنهادی

همان‌طور که در فصل قبل بحث شد، در روش پیشنهادی هدف بر آن است با با کمک اطلاعات جمع‌ آوری شده از تبادلات تحت شبکه ، اقدام به شناسایی و خوشه‌بندی هاست‌های سالم و بات نمود . حال می‌توانیم با ورود یک هاست جدید ، آن را ارزیابی نموده و به نزدیکترین خوشه انتساب داد. از آنجایی که روش پیشنهادی مبتنی بر روش‌های مبتنی بر مرکز هستند ، یافتن نزدیکترین خوشه ، تنها نیازمند مقایسه هاست ورودی با مراکز ثقل خوشه‌ها دارد. در انتخاب روش خوشه‌بندی تلاش بر آن بوده است تا ضمن انتخاب روشی ساده ، معیارهای کارایی و نیز زمان اجرا ، لحاظ شود. برای همین منظور از توسعه روشی جدید مبتنی بر
K-Means استفاده شده‌است.
در روش خوشه‌بندی انتخابی ، مانند روش پایه ، از مرکز خوشه‌ها و شباهت بین رکوردها استفاده می‌شود. طبق ادعای نویسنده، روش پیشنهادی در برخورد با داده‌های نامتوازن نیز می‌تواند موفق عمل نماید.
در این فصل به بیان نتایج روش پیشنهادی ، مقایسه با روش خوشه‌بندی پایه و سپس محاسبه معیارهای پایه پرداخته می‌شود .

۴-۱- معماری چارچوب ارزیابی

تمامی مراحل ارزیابی و اجرا ، بر روی سیستمی با مشخصات زیر پیاده‌سازی شد. در انتخاب سیستم تست باید از انتخاب سیستم با قدرت پردازشی و قدرت ذخیره‌سازی ممتاز جلوگیری نمود تا قابلیت مقیاس‌پذیری سیستم مشخص شود. علاوه بر مشخص نمودن ویژگی‌های سخت‌افزاری ، باید ویژگی‌های نرم‌افزارها نیز مشخص شوند. در مقایسه روش‌ها ، از مشغول پردازنده به سایر وظایف ، پرهیز نموده و تلاش بر آن بوده‌است تا حداکثر توان پردازنده در اختیار برنامه اجرایی قرار گیرد .
پردازنده: ۲ هسته‌ای ۲ گیگا هرتز.
حافظه اصلی: ۲ گیگا بایت.

نشست از برتازی اسبی سمند
پس ساوه بهرام چون پیل مست
ورا دید بر تازیی چون هزبر
خدنگی گزین کرد پیکان چن آب
چو بوسید پیکان سر انگشت اوی

همی تاخت ترسان ز بیم گزند
کمندی به بازو کمانی به دست
همی ساخت در دشت بر سان ابر
نهاده بر او چار پر عقاب
گذر کرد از مهره­ی پشت اوی^[۴۷]

۱-۱-۲ سرگذشت بهرام چوبین و پیروزی او بر ترکان در منابع بیزانسی، ارمنی، سریانی
تئوفیلاکت سیموکاتا درباره بهرام چوبین چنین می­نویسد:
«از یک مرد بابلی^[۴۸] که صاحب منصبی معتبر بود و تجارب زیادی در نوشتن نامه های شاهی داشت شنیدم که بهرام اصالتاً از منطقه­ ری^[۴۹] بود، اما این غاصب که شروع به برانداختن هرمزد^[۵۰] ستمگر کرد، به خاندان میرامس تعلق داشت».^[۵۱] سپس از هفت خاندان اشکانی نام می­برد که هر کدام نقش مهمی را در پادشاهی ایفا می­ کنند و این را قانون داریوش پسر ویشتاسب می­داند.^[۵۲]
تئوفیلاکت تاریخچه­ بهرام چوبین را اینگونه ادامه می­دهد:
«آن­ها می­گویند بهرام که از خاندان مهران و مردم اشکانی بود، در گذشته در میان نگهبانان شاه ثبت­نام کرد، و مدتی کوتاه پس از آن، به عنوان فرمانده­ی گروهی از سربازان، در نبردی به همراه پسر قباد شرکت کرد. در آن زمان بابلی­ها] ایرانیان[ دارا را فتح کردند؛ در حالی­که ژوستین کوچک به حکومت روم رسید. بنابراین بهرام به همراه خسرو یکم، شاه ایران، تا خود ارمنستان حمله کرد؛ خودش را در این عملیات مشهور نمود و به زودی حتی به عنوان فرمانده­ی لشکر ایران منصوب گشت. وقتی که اقبال به مرور او را بالاتر برد حتی صاحب عنوان کراریگبدوم^[۵۳]خاندان شاهی گشت (که رومی­ها در واقع آن را کوروپلاتس {curopalates} می نامند).^[۵۴] او راه خود را به سوی حماقتی بزرگ ادامه داد، و به خاطر پیروزیش بر ترک­ها بیش از اندازه مغرور شد».^[۵۵]

رویدادنامه­ی خوزستان تنها اشاره می­ کند که یکی از فرماندهان نظامی که هرمزد چهارم او را به سرزمین ترک ها فرستاده بود و نامش بهرام چوبین بود، از ری^[۵۶] بر علیه وی شورید و نیروهای زیادی را برای جنگ با شاه آماده کرد.^[۵۷]
سبئوس بهرام چوبین را، بهرام چوبین مهروندک، فرمانروای مناطق شرقی می­خواند:
«بهرام به ارتش تتال­ها^[۵۸] حمله کرد و با قدرت، بلخ و تمامی سرزمین کوشان­ها را تا قسمت دور رودخانه­ی وهرت^[۵۹] و تا منطقه ی کازیبون فتح کرد. او از نیزه ی اسپندیات^[۶۰] شجاع که بربرها می گویند با جنگ به این نقطه رسیده بود؛ گذشت و نیزه­ی خود را در زمین فرو کرد. سپس این بهرام با شاه بزرگ مزکوتک^[۶۱] که در منطقه­ فراسوی رودخانه بزرگ بود جنگید؛ جمعیت زیادی از ارتش او را شکست داد، و شاهشان را در جنگ کشت».^[۶۲]
مارکوارت در مورد ریشه­ نام مزکوتک در روایت سبئوس مردد است، و احتمال می­دهد که شاید سبئوس، مانند تئوفانس بیزانسی، با این نام ترک­ها را درک کرده باشد؛ زیرا احتمالاً پادشاه مزکیت­ها با خاقان «چو- لو- هیئو» مشابه است که پس از غلبه بر «آ- پو-کان» (در سال ۵۸۷ م) که در غرب مستقر شده بود، در یک لشکرکشی به منظور تسخیر غرب به وسیله­ تیری کشته شد.^[۶۳] به هر حال شاهنامه­ی فردوسی، رویدادنامه­ی خوزستان و تئوفانس این دشمن شرقی را از نژاد ترک دانسته ­اند. تئوفیلاکت در جایی آن­ها را هون و در جایی ترک می­نامد. تئوفانس نیز مانند سایر منابع غیرایرانی از شماره­ سپاه ذکری به میان نمی­آورد. تنها می­نویسد که هرمز پس از انتخاب بهرام چوبین به عنوان فرمانده، وی را با سپاهی بزرگ به سوانیا^[۶۴] فرستاد و در آنجا او حمله­ای غیر منتظره انجام داد؛ بنابراین ایرانیان ترک­ها را کاملاً شکست دادند.^[۶۵] کتاب اخبار سعرت نیز آنان را ترک می­داند.^[۶۶] اما در منابع مذکور تنها شاهنامه­ی فردوسی و سبئوس اشاره به کشته شدن شاه ترکان در حین جنگ به دست بهرام چوبین می­ کنند.
به طور کلی روایت شاهنامه، در این مورد، نسبت به منابع دیگر دارای جزئیات بسیار زیادی می­باشد، که بسیاری از آن ها با سایر منابع ایرانی قابل تطبیق است.
۱-۱-۳ بررسی و نقد فرضیه­ مهرپرست بودن بهرام چوبین
پورشریعتی اصرار بر مهرپرست بودن بهرام چوبین دارد و در این راه ابیاتی از شاهنامه­ی فردوسی را مورد بحث قرار می­دهد، که به طور غیر مستقیم ممکن است شواهدی از مهر را ارائه دهند. به طور مثال، مراد فردوسی از استفاده­ی صفت مهترپرست را در مورد بهرام چوبین، همان مهرپرست می­داند که به علت تنگی قافیه چنین آمده است. نیایش بهرام چوبین به یزدان داور، پیش از جنگ با ساوه، و تقاضای طرفداری از طرف حق را که از ویژگیهای ایزد مهر است نشانه­ای از مهرپرستی او می­داند. بیتی که در آن بهرام چوبین خود را احیا­کننده­ آیین میلاد می­داند،^[۶۷] را نشانه­ای از مهرپرستی اشکانیان به حساب می ­آورد، و این موضوع را که بهرام چوبین در شاهنامه خود را ستایش­کننده­ آتش آذربرزین مهر می­خواند شاهدی بر این ادعا معرفی می­ کند. از بیتی که تنها در دو دست­نویس شاهنامه آمده است، به عنوان سندی استفاده می­نماید و آن را با مهریشت مقایسه می­ کند:

که با داد و مهریم و با تیغ و دست

ز دشمن نیاید به ما بر شکست^[۶۸]

همچنین بیت زیر را که در آن بهرام چوبین، خسروپرویز را به نگه نداشتن پیمان یزدان متهم می­ کند، به علت استفاده از واژه­ی پیمان با ایزد مهر مرتبط می­داند:

تو پیمان یزدان نداری نگاه

همی ناسزا جویی این پیشگاه^[۶۹]

دخالت سروش در ماجرای جنگ بهرام چوبین و خسروپرویز را نیز به عنوان سندی دیگر ارائه می­دهد، و در پایان در این­که شورش بهرام چوبین با جریانات مهرپرستی همراه و دین بهرام چوبین با خسروپرویز متفاوت بوده است، شک کمی می­بیند.^[۷۰]
یکی از اشکالات وارد بر فرضیه­ ایشان این است، که اولاً در میان منابع بسیاری که درباره قیام بهرام چوبین وجود دارد؛ تنها به چندین بیت از شاهنامه­ی فردوسی اشاره می­ شود. در هیچ منبعی به اینکه قیام بهرام چوبین دارای موضوعات مهرپرستی بوده است اشاره نمی­گردد. شاهنامه­ی فردوسی نیز هیچ اشاره­ی مستقیمی به مهرپرست بودن بهرام چوبین ندارد. این که به خاطر تنگی قافیه واژه­ی مهترپرست را همان مهرپرست بدانیم لزوما نمی­تواند درست باشد، زیرا ماجرای شورش بهرام چوبین در چند هزار بیت بیان گردیده است، و فردوسی اگر بهرام چوبین را مهرپرست می­دانستَ، می­توانست به طور مستقیم در ابیات دیگری آن را بیان کند. اشکال دیگر این است که ابیاتی که ایشان مورد استفاده قرار داده است برخی نشانه­ های مهرپرستی از جمله حفظ پیمان را دارا هستند، اما سند محکمی وجود ندارد که منظور فردوسی همان ایزد مهر باشد؛ او در ابیات بسیار دیگری نیز به عدل و داد یزدان اشاره می­ کند؛ بی­آنکه لزوماٌ منظورش ایزد مهر باشد. به طور مثال خسروپرویز به بهرام چوبین می­گوید: