基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測.pdf

1、近些年來，隨著計算機(jī)網(wǎng)絡(luò)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用經(jīng)歷了從傳統(tǒng)的Web、Ftp、Mail等業(yè)務(wù)為主導(dǎo)到以P2P為主導(dǎo)的變化，同時伴隨著網(wǎng)絡(luò)流量成倍的增大。這些變化加大了網(wǎng)絡(luò)管理的難度，尤其是對高速流量的實時處理和對采用動態(tài)端口的應(yīng)用層協(xié)議識別方面。
　　如何識別出高速網(wǎng)絡(luò)流量中包含的異常流量一直是一個具有挑戰(zhàn)性的問題，這些異常流量可以是網(wǎng)絡(luò)攻擊，諸如Dos、蠕蟲病毒等所產(chǎn)生;也可能是網(wǎng)絡(luò)的配置變更或失效;以及Flash Crowds等等

2、。及時地識別這些異常流量對網(wǎng)絡(luò)的正常運營有重要意義，但是僅僅依靠SNMP所提供的信息是不夠的，另一方面，網(wǎng)絡(luò)流量如此之大以至于基于數(shù)據(jù)包地實時監(jiān)控變得非常困難。對于此，本文提出了基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測方法。
　　采用分布式結(jié)構(gòu)可以對流量進(jìn)行負(fù)載均衡，同時還可以解決非對稱路由等問題。管理的對象不是數(shù)據(jù)包而是流，流包含了如源、目的IP地址、源、目的端口、流量、傳輸層協(xié)議等等。流由硬件設(shè)備以UDP數(shù)據(jù)包的方式導(dǎo)出，如思科的Net

3、Flow、華為的NetStream等等。
　　在管理端收集流以后，首先進(jìn)行應(yīng)用層協(xié)議的識別。當(dāng)前的網(wǎng)絡(luò)流量P2P占據(jù)過半，而P2P又存在私有協(xié)議和動態(tài)端口的特性，因而流量識別的方法好壞主要取決于對P2P的識別。本文采用的方法是基于流信息的識別，通過對協(xié)議進(jìn)行分類，同一類別的協(xié)議存在一些共同的特征，利用這些特征進(jìn)行識別，然后根據(jù)協(xié)議類別進(jìn)行統(tǒng)計得到各類協(xié)議的流量時間序列，為異常檢測提供支持。
　　傳統(tǒng)的異常流量檢測方法主要是通

4、過對流量建立一個可信的范圍，超過可信范圍的流量可視為異常，這種方法容易實現(xiàn)但誤報率很高。另一種識別途徑就是利用信號分析的有力工具-小波變換進(jìn)行處理，它是基于這樣一個觀察，即在發(fā)生異常的地方往往伴隨著頻率的突變。本文采用的方法是基于協(xié)議分類的流量和總體流量相結(jié)合的方法?；趨f(xié)議統(tǒng)計的方法無疑比僅僅基于總體流量的方法更為有效，尤其是在對DoS的識別上。在進(jìn)行異常判定的時候采用小波與時間序列預(yù)測同自相關(guān)相結(jié)合的方法，小波從頻域上識別，而后者則