骨干通信網(wǎng)中流量異常事件的關(guān)聯(lián)分析.pdf

1、隨著網(wǎng)絡(luò)規(guī)模的不斷壯大，網(wǎng)絡(luò)結(jié)構(gòu)日益復(fù)雜，網(wǎng)絡(luò)流量的異常行為對(duì)網(wǎng)絡(luò)本身以及用戶造成的危害越來(lái)越大。為了更好的控制和管理通信網(wǎng)絡(luò)，減少異常流量對(duì)正常業(yè)務(wù)的危害，就必須準(zhǔn)確、實(shí)時(shí)地對(duì)流量異常行為特征進(jìn)行分析和提取，主動(dòng)發(fā)現(xiàn)通信網(wǎng)絡(luò)中的異常行為，并對(duì)具有攻擊性的異常流量進(jìn)行攔截和告警。
　　 傳統(tǒng)的用戶網(wǎng)絡(luò)的異常行為分析主要采用用戶行為、應(yīng)用行為和網(wǎng)絡(luò)行為的精細(xì)分析。由于骨干通信網(wǎng)絡(luò)的通信量非常大，精細(xì)的應(yīng)用行為和用戶行為分析是非常困

2、難的，異常行為分析需要以相對(duì)粗粒度的異常特征分析技術(shù)為基礎(chǔ)，才能適應(yīng)骨干通信網(wǎng)絡(luò)的超大規(guī)模流量。本文主要研究?jī)?nèi)容包括骨干通信網(wǎng)中流量特征信息的粗粒度表示、流量異常事件的捕獲以及流量異常事件的關(guān)聯(lián)分析，并在此基礎(chǔ)上提出一種骨干通信網(wǎng)中攻擊檢測(cè)的機(jī)制。具體工作如下：
　　 第一，由于骨干通信網(wǎng)絡(luò)中通信量的海量性與高速性使得精細(xì)分析非常困難，本文采用相對(duì)粗粒度的流量特征參數(shù)，將這些參數(shù)看做隨時(shí)間變化的信號(hào)，即網(wǎng)絡(luò)流量特征信號(hào)，將骨干通

3、信網(wǎng)中流量異常行為的分析轉(zhuǎn)化為多時(shí)間序列的分析問(wèn)題。
　　 第二，針對(duì)異常流量相對(duì)于骨干通信網(wǎng)的海量背景流量的隱蔽性，提出一種多流多特征的流量特征信號(hào)提取方法，在流分類后的子流中提取流量特征信號(hào)，起到了約減數(shù)據(jù)，突出異常流量特征的作用。
　　 第三，在流量特征信號(hào)的異常檢測(cè)方法研究中，引入數(shù)據(jù)挖掘中離群點(diǎn)檢測(cè)的思想，提出一種基于局部密度的時(shí)序離群點(diǎn)挖掘方法。將該方法用于流量特征信號(hào)，得到離群點(diǎn)，形成流量異常事件。

4、　　 第四，由于流量異常事件與引起流量異常的原因之間相互孤立，沒(méi)有形成有效的聯(lián)系。為此采用關(guān)聯(lián)規(guī)則挖掘的方法，通過(guò)在離線數(shù)據(jù)中挖掘得到網(wǎng)絡(luò)攻擊與流量異常事件之間的關(guān)聯(lián)規(guī)則，一條關(guān)聯(lián)規(guī)則表明了一種網(wǎng)絡(luò)攻擊能夠引起何種流量異常事件。
　　 第五，將上述方法運(yùn)用于骨干通信網(wǎng)的網(wǎng)絡(luò)攻擊檢測(cè)中，建立一種骨干通信網(wǎng)的網(wǎng)絡(luò)攻擊檢測(cè)機(jī)制：在骨干通信網(wǎng)中捕獲流量異常事件，將這些流量異常事件與關(guān)聯(lián)規(guī)則庫(kù)中的關(guān)聯(lián)規(guī)則進(jìn)行匹配，最后檢測(cè)出網(wǎng)絡(luò)攻擊并根