NBOS系統(tǒng)的異常流量行為檢測.pdf

1、異常流量行為是指網(wǎng)絡(luò)流量出現(xiàn)偏離正常范圍的狀況，主要是由惡意網(wǎng)絡(luò)攻擊行為以及網(wǎng)絡(luò)配置失誤、偶發(fā)性線路中斷和突發(fā)的巨流等因素引起，這些事件會對網(wǎng)絡(luò)的服務(wù)質(zhì)量產(chǎn)生影響，同時干擾網(wǎng)絡(luò)的正常運行。因此，對異常流量行為的檢測是一項有意義的研究工作。本文的研究工作將基于NBOS(Network Behavior Observation System)提供的基礎(chǔ)流量數(shù)據(jù)展開。研究在網(wǎng)絡(luò)的邊界處進(jìn)行異常流量行為的檢測方法，并將其集成進(jìn)NBOS系統(tǒng)。

2、r>　　本論文首先討論了異常網(wǎng)絡(luò)流量的定義，并根據(jù)產(chǎn)生的原因?qū)Ξ惓Ａ髁窟M(jìn)行分類，然后研究了正常狀態(tài)下網(wǎng)絡(luò)流量的基本特性以及發(fā)生異常時流量特征分布的變化。接著介紹了目前主要的幾類檢測方法及其優(yōu)缺點。
　　基于網(wǎng)絡(luò)邊界路由器提供的流記錄信息，NBOS能為異常檢測提供精細(xì)的數(shù)據(jù)源，包括面向?qū)Χ薎P分類的帶寬測度和端口分布統(tǒng)計數(shù)據(jù)。因此，本文從兩個角度展開具體的研究工作，一是基于帶寬的異常流量行為檢測，二是基于端口流量分布的異常流量行為檢

3、測。兩項研究工作均在CERNET南京主節(jié)點的實際網(wǎng)絡(luò)中進(jìn)行了檢驗。
　　在面向帶寬測度數(shù)據(jù)的異常檢測方面，研究工作以對可用的檢測方法進(jìn)行分析為起點。在分析了環(huán)境和條件等各方面因素的基礎(chǔ)上，選擇了兩個時間序列分析類的經(jīng)典算法——基于動態(tài)指數(shù)平滑模型的檢測算法和基于holt-winters季節(jié)模型的檢測算法，通過基于CERNET南京主節(jié)點的實測數(shù)據(jù)的比較，選擇了基于holt-winters的檢測算法作為實測算法并將其集成進(jìn)NBOS系統(tǒng)

4、。該算法在24小時的實際環(huán)境中實時檢測出多個異常事件。論文選擇了其中的三個，對其產(chǎn)生的原因進(jìn)行了詳細(xì)的分析。這個實踐表明經(jīng)典的異常檢測算法可以在以流記錄為分析源的工程環(huán)境中使用。在面向端口分布統(tǒng)計數(shù)據(jù)的異常檢測方面，研究工作以對端口流量行為的分析為起點。在對端口流量分布的研究的基礎(chǔ)上，引入信息熵的概念，并定義了面向時間粒度的端口流量熵。基于CERNET南京主節(jié)點的實測數(shù)據(jù)的分析表明，每天同時刻的端口流量熵總體滿足正態(tài)分布。在此基礎(chǔ)上，論