基于Burr分布和OD矩陣的網(wǎng)絡(luò)流量異常檢測(cè)方法研究.pdf

1、網(wǎng)絡(luò)流量異常是指網(wǎng)絡(luò)中的數(shù)據(jù)流量表現(xiàn)出與預(yù)期情形有較大偏差的一種現(xiàn)象，這種偏差往往是由網(wǎng)絡(luò)中的異常情況導(dǎo)致，如網(wǎng)絡(luò)入侵和網(wǎng)絡(luò)故障等，這些異常情況可能會(huì)導(dǎo)致網(wǎng)絡(luò)無法提供正常服務(wù)甚至癱瘓，因此有必要對(duì)網(wǎng)絡(luò)流量中存在的異常進(jìn)行檢測(cè)。目前已有的網(wǎng)絡(luò)流量異常檢測(cè)方法往往具有較大的局限性，因此探索出行之有效的網(wǎng)絡(luò)流量異常檢測(cè)方法對(duì)網(wǎng)絡(luò)安全管理具有重大的理論價(jià)值和積極的實(shí)際意義。
　　網(wǎng)絡(luò)流量具有的重尾分布特征以及自相似性特征使得正常網(wǎng)絡(luò)流量服

2、從Burr分布，而相關(guān)的研究表明異常網(wǎng)絡(luò)流量則不服從Burr分布，即無法對(duì)其進(jìn)行有效的Burr分布擬合。故可使用一種變形的K-S（Kolmogorov-Smirnov）擬合優(yōu)度檢驗(yàn)方法對(duì)待檢測(cè)的網(wǎng)絡(luò)流量經(jīng)擬合后得到的分布函數(shù)進(jìn)行有效性檢驗(yàn)，以此為基礎(chǔ)提出了一種基于Burr分布的網(wǎng)絡(luò)流量異常檢測(cè)方法。
　　考慮到有效TCP（Transmission Control Protocol）數(shù)據(jù)流量具有自相似性特征，可使用OD（Origin

3、-Destination）矩陣根據(jù)網(wǎng)絡(luò)中有效TCP數(shù)據(jù)的當(dāng)前鏈路流量以及歷史流量對(duì)OD對(duì)之間的有效TCP數(shù)據(jù)流量進(jìn)行預(yù)測(cè)，并通過對(duì)OD對(duì)之間的有效TCP數(shù)據(jù)流量的預(yù)測(cè)值與真實(shí)值進(jìn)行對(duì)比，從而判斷網(wǎng)絡(luò)流量中是否存在異常，以此為基礎(chǔ)提出了一種基于OD矩陣的網(wǎng)絡(luò)流量異常檢測(cè)方法。
　　考慮到兩種網(wǎng)絡(luò)流量異常檢測(cè)方法均存在一定的不足，故將兩種流量異常檢測(cè)方法進(jìn)行結(jié)合提出了一種綜合的網(wǎng)絡(luò)流量異常檢測(cè)方法，并給出了該方法的檢測(cè)流程和相關(guān)檢測(cè)算