城域網(wǎng)應(yīng)用層流量異常檢測(cè)與分析的研究.pdf

1、網(wǎng)絡(luò)流量異常檢測(cè)及分析在網(wǎng)絡(luò)管理及網(wǎng)絡(luò)安全領(lǐng)域具有重要意義。
　　 近年來(lái),國(guó)內(nèi)外網(wǎng)絡(luò)流量異常檢測(cè)與分析的研究方法主要是采用基于特征/行為的研究、基于流挖掘的研究和基于統(tǒng)計(jì)的研究。主元分析是基于統(tǒng)計(jì)研究的主要方法,但傳統(tǒng)的主元分析方法沒(méi)有考慮如何降低檢測(cè)的誤警率,異常原因的分析也非常復(fù)雜、代價(jià)很高。
　　 本文針對(duì)在城域網(wǎng)流量異常檢測(cè)和分析所面臨的問(wèn)題,從應(yīng)用層協(xié)議角度出發(fā),提出了一種基于小波去噪和貢獻(xiàn)圖的主元分析方法:

2、在構(gòu)建合理的流量數(shù)據(jù)矩陣的基礎(chǔ)上,采用平方預(yù)測(cè)誤差(Squared Prediction Error,SPE)統(tǒng)計(jì)量和Hotelling T2統(tǒng)計(jì)量對(duì)異常進(jìn)行檢測(cè)與分析。最后本文根據(jù)兩個(gè)統(tǒng)計(jì)量的不同統(tǒng)計(jì)意義,對(duì)檢測(cè)結(jié)果進(jìn)行了四種不同類(lèi)型的劃分,使管理員更容易精確地定位網(wǎng)絡(luò)異常的原因。
　　 本文主要完成以下幾個(gè)方面的工作:
　　 (1)針對(duì)流量異常檢測(cè)誤警率高的問(wèn)題,對(duì)傳統(tǒng)主元分析方法進(jìn)行了改進(jìn),提出了基于小波去噪的主元

3、分析方法。該方法采用小波分析對(duì)原始流量數(shù)據(jù)進(jìn)行去噪預(yù)處理,然后采用主元分析方法進(jìn)行流量建模,在此基礎(chǔ)上,采用SPE統(tǒng)計(jì)量的控制圖檢測(cè)流量異常。實(shí)驗(yàn)數(shù)據(jù)結(jié)果表明:本文方法最多能降低55.6％的異常檢測(cè)誤警率。
　　 (2)針對(duì)已有流量異常分析方法存在過(guò)程復(fù)雜、代價(jià)大的問(wèn)題,本文基于應(yīng)用層流量分類(lèi)的二維流量數(shù)據(jù)矩陣,提出以SPE統(tǒng)計(jì)量的貢獻(xiàn)圖來(lái)分析流量異常原因的新方法。實(shí)驗(yàn)結(jié)果表明:該方法能較簡(jiǎn)捷地將異常原因定位到具體的應(yīng)用層協(xié)議和

4、程序。
　　 (3)針對(duì)城域網(wǎng)流量存在出入境流量不對(duì)稱(chēng)、不同應(yīng)用協(xié)議對(duì)應(yīng)不同大小的數(shù)據(jù)包特征,重新構(gòu)建二維流量數(shù)據(jù)矩陣,采用主元分析方法對(duì)流量異常進(jìn)行檢測(cè)和分析。這種構(gòu)建流量數(shù)據(jù)矩陣的新方法能進(jìn)一步挖掘出異常的出處及異常數(shù)據(jù)包的大小。
　　 (4)提出將Hotelling T2統(tǒng)計(jì)量用于流量異常進(jìn)行檢測(cè),并且根據(jù)SPE統(tǒng)計(jì)量和Hotelling T2統(tǒng)計(jì)量的不同統(tǒng)計(jì)意義,將網(wǎng)絡(luò)流量異常檢測(cè)結(jié)果分成四類(lèi)情況,分析了每類(lèi)情況