基于統(tǒng)計的網(wǎng)絡流量異常檢測技術研究.pdf

1、網(wǎng)絡流量異常指的是流量偏離正常模型。引起流量異常的原因有很多,比如惡意攻擊、網(wǎng)絡設備故障、正常的突發(fā)用戶行為等。網(wǎng)絡異常檢測的目的就是及時檢測出異常的發(fā)生,便于網(wǎng)絡管理員采取相應措施以保證網(wǎng)絡的正常運行和服務質量。目前網(wǎng)絡異常的檢測方法主要有:基于統(tǒng)計的方法、基于數(shù)據(jù)流的方法和基于機器學習的方法。由于基于統(tǒng)計的方法有諸多優(yōu)勢,所以本文重點研究了這種方法。具體來說是三種統(tǒng)計方法:基于流獨立性和穩(wěn)態(tài)性的短時非相關流平衡性(ASTUTE:A

2、Short-Timescale Uncorrelated-Traffic Equilibrium)方法、基于卡爾曼(Kalman)濾波的方法和基于時間序列預測的指數(shù)加權滑動平均(Exponentially Weighted Moving Average:EWMA)方法。
　　從另一個角度看,網(wǎng)絡異常檢測方法又可以分為兩類:基于流量大小(volume)改變的檢測方法和基于流量特征分布(traffic feature distribu

3、tion)改變的檢測方法。其中基于流量特征分布改變的檢測方法更具優(yōu)勢,一般會用信息熵來度量其改變。本文用EWMA算法分別實現(xiàn)了這兩種方法。
　　經(jīng)調研發(fā)現(xiàn),網(wǎng)絡異常流量檢測研究領域存在兩個問題:一是網(wǎng)絡流量和異常事件的種類是多種多樣的,沒有一個通用的檢測器適用于所有的場景,所以需要明確哪一個檢測器適用于哪一種場景;二是檢測閾值的設置目前是憑借經(jīng)驗或者理論,但基本為固定閾值,自適應調節(jié)閾值仍然是一個難題。
　　本文研究并實現(xiàn)了

4、ASTUTE、Kalman、EWMA(基于流量大小和基于流量特征)算法,并用兩種數(shù)據(jù)源:作了標注的MAWI Lab數(shù)據(jù)集和在本地主機上通過 wireshark采集的數(shù)據(jù)集,做了大量實驗。本文仔細分析了實驗結果,并對算法檢測到的異常事件做了人工根因分析。實驗結果表明:上述三種方法可以檢測出的異常種類并不相同,ASTUTE算法擅長檢測產(chǎn)生許多小IP流的異常,而Kalman和EWMA算法擅長檢測產(chǎn)生少量的大IP流的異常?；趯嶒灲Y果分析,本文