基于突變理論的IP網(wǎng)絡(luò)異常行為檢測和控制機(jī)制.pdf

1、網(wǎng)絡(luò)異常檢測是保證網(wǎng)絡(luò)安全和網(wǎng)絡(luò)生存性首要措施，在網(wǎng)絡(luò)安全防御體系中起著極為重要作用，因此，近年來對網(wǎng)絡(luò)異常檢測的研究越來越受到關(guān)注。目前網(wǎng)路異常檢測技術(shù)主要分為誤用檢測(misused detection)和基于正常行為上的異常檢測(based on normal behaviors anomaly detection)兩類。誤用檢測是指工作在已知異常特征下，對檢測數(shù)據(jù)進(jìn)行匹配以實現(xiàn)異常檢測。該機(jī)制對已知異常具有檢測很高的檢測率，而對

2、匹配庫中沒有的異常存在100％漏檢率。基于正常行為上的異常檢測技術(shù)是指用已創(chuàng)建的正常行為輪廓檢測偏離的異常行為。該機(jī)制能夠有效檢測出未知異常，所以可克服誤用檢測漏檢未知異常；但該機(jī)制對正常行為的檢測存在高誤檢率。近年來，DoS等攻擊和網(wǎng)絡(luò)擁塞異常造成網(wǎng)絡(luò)性能發(fā)生突變惡化，使網(wǎng)絡(luò)面臨嚴(yán)重考驗，因此實現(xiàn)對此類異常的檢測迫在眉睫。然而，現(xiàn)有異常檢測技術(shù)對其卻無法實現(xiàn)高效檢測。那么是否存在一種異常檢測技術(shù)，該機(jī)制既可實現(xiàn)檢測已知異常檢測，又能檢

3、測未知異常檢測，同時對正常行為檢測不會造成誤檢?
　　 為此，本文圍繞著上述問題，對異常網(wǎng)絡(luò)的突變行為，結(jié)合突變理論及其特征，提出了一種基于突變理論的網(wǎng)絡(luò)異常檢測方法(An Anomaly DetectionMechanism Based on Catastrophe Model For IP Network，ADMCM)，實現(xiàn)對突變異常行為的檢測。該機(jī)制的主要思路在于：首先采用總和標(biāo)準(zhǔn)化方法對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行預(yù)處理；其次，采用t假

4、設(shè)檢驗和圖示法驗證網(wǎng)絡(luò)異常行為的突變性；然后采用聚類算法，最小二乘多項式擬合，置信估計等方法建立描述網(wǎng)絡(luò)異常行為的具體模型-尖點突變模型；基于該網(wǎng)絡(luò)異常行為模型，運用聚類算法計算出網(wǎng)絡(luò)吞吐量、異常網(wǎng)絡(luò)流量和網(wǎng)絡(luò)負(fù)載的異常臨界值，通過分別對各個異常臨界值制定邏輯值，建立一種基于多個變量異常關(guān)系的邏輯組合的異常檢測機(jī)制。該機(jī)制建立充分利用了突變模型特征及多個變量間的異常關(guān)系。最后，通過采用KDD CUP99數(shù)據(jù)集對ADMCM實驗，結(jié)果表明相

5、對傳統(tǒng)異常檢測機(jī)制，ADMCM能有效改善對DoS等異常攻擊的檢測率和虛報率。對于ADMCM，雖有效檢測網(wǎng)絡(luò)異常行為，但對于這些造成網(wǎng)絡(luò)性能發(fā)生突變惡化的異常行為，該機(jī)制并不能有效避免網(wǎng)絡(luò)異常發(fā)生。
　　 針對上述問題，本文提出了一種基于突變的IP網(wǎng)絡(luò)異常行為避免方法(AnAnomaly Behaviors Avoiding Scheme Based on Cusp Catastrophe for IP Network，BASCC

6、)，實現(xiàn)避免網(wǎng)絡(luò)異常行為的發(fā)生。首先分析了突變理論特征，然后利用控制參數(shù)分別為路由器轉(zhuǎn)發(fā)率(u)、業(yè)務(wù)請求次數(shù)(v)和狀態(tài)參數(shù)為時延、吞吐量的網(wǎng)絡(luò)動態(tài)行為在異常時表現(xiàn)的突變性和動態(tài)行為軌跡，建立了描述動態(tài)行為的尖點模型和描述網(wǎng)絡(luò)異常行為邊界-交叉集。提出了實現(xiàn)避免異常的機(jī)制，該機(jī)制為：控制網(wǎng)絡(luò)控制參量u、v的變化軌跡，使其不穿越動態(tài)異常行為的交叉集，或?qū)崿F(xiàn)異常行為的交叉集遠(yuǎn)離正常網(wǎng)絡(luò)參數(shù)變化的范圍。在IP網(wǎng)絡(luò)中提出了實現(xiàn)網(wǎng)絡(luò)異?？刂频膬?/p>