基于網(wǎng)絡(luò)流相關(guān)性的大規(guī)模網(wǎng)絡(luò)異常發(fā)現(xiàn)技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)規(guī)模的日益擴大，用于異常發(fā)現(xiàn)的傳統(tǒng)入侵檢測系統(tǒng)并不能簡單地應(yīng)用到大規(guī)模的網(wǎng)絡(luò)環(huán)境中?；趫笪募墑e的捕獲、還原、匹配的傳統(tǒng)入侵檢測系統(tǒng)效率無法滿足要求。而基于網(wǎng)絡(luò)流的分析是一種更自然的方式。以流行為的動態(tài)變化過程作為研究對象可以在更高的粒度上研究網(wǎng)絡(luò)本身的行為特征，是當(dāng)前一個重要的研究方面。
　　本文主要研究了在大規(guī)模網(wǎng)絡(luò)背景下網(wǎng)絡(luò)流特征間的相關(guān)性并將其應(yīng)用在異常發(fā)現(xiàn)中。在分析了網(wǎng)絡(luò)流量以及網(wǎng)絡(luò)流特征的基礎(chǔ)上提取了一些可以代

2、表網(wǎng)絡(luò)狀況的特征。在此基礎(chǔ)之上提出了兩種相關(guān)性分析方法，并通過實驗驗證了兩種方法的有效性。
　　為了提高攻擊報文的捕獲性能，在分析了攻擊報文大小分布和小報文在正常數(shù)據(jù)中的比例分布的基礎(chǔ)上，本文提出了基于小報文閾值的自適應(yīng)采樣算法，監(jiān)測小報文的變化情況動態(tài)地調(diào)整采樣策略，更多地捕獲攻擊報文，為后期的分析和處理打下良好的基礎(chǔ)。
　　第一種相關(guān)性分析是基于主成分的相關(guān)性分析方法，通過抽象化網(wǎng)絡(luò)流以及網(wǎng)絡(luò)當(dāng)前狀況，定義了網(wǎng)絡(luò)流模式，

3、并且使用主成分分析的方法研究網(wǎng)絡(luò)流之間的相關(guān)性。通過主成分宏觀分析和微觀分析，該方法很好地分析了流量內(nèi)部微觀的行為和關(guān)系，很好地區(qū)分了正常網(wǎng)絡(luò)流和異常網(wǎng)絡(luò)流在相關(guān)性上的不同，為異常發(fā)現(xiàn)提供了新的思路。
　　第二種相關(guān)性分析是網(wǎng)絡(luò)流多特征相似度分析，定義了多特征相似度的概念和計算方法，研究了正常行為和異常行為的多個特征在時間尺度上的相似性。通過實驗證實了該方法也能很好地區(qū)分不同的網(wǎng)絡(luò)行為，在此基礎(chǔ)之上提出了基于多特征相似度的異常檢測