基于Cuckoo抽樣的超點(diǎn)檢測(cè)算法研究.pdf

1、超點(diǎn)是指在一個(gè)檢測(cè)周期內(nèi)鏈接大量不同源主機(jī)或目的主機(jī)的主機(jī)。許多網(wǎng)絡(luò)攻擊事件（分布式拒絕服務(wù)攻擊、蠕蟲病毒、端口掃描等）都具有這種網(wǎng)絡(luò)行為特征。所以，超點(diǎn)檢測(cè)對(duì)網(wǎng)絡(luò)安全和網(wǎng)絡(luò)服務(wù)有著重要意義。實(shí)時(shí)檢測(cè)超點(diǎn)并獲取超點(diǎn)信息是目前網(wǎng)絡(luò)安全研究的熱點(diǎn)之一。
　　本文針對(duì)已有超點(diǎn)檢測(cè)算法存在的內(nèi)存消耗較大或檢測(cè)精度不高的問題，提出兩種基于Cuckoo抽樣的超點(diǎn)檢測(cè)算法。第一種算法是將Cuckoo抽樣算法與Snare超點(diǎn)檢測(cè)算法相結(jié)合，對(duì)Sn

2、are算法的更新操作進(jìn)行改進(jìn)，即數(shù)據(jù)的插入過程采用遞歸式插入方法，避免多個(gè)超點(diǎn)映射到相同的存儲(chǔ)位置，使部分超點(diǎn)占位失敗，影響算法的檢測(cè)精度。此外，網(wǎng)絡(luò)中存在的大量冗余報(bào)文會(huì)影響超點(diǎn)檢測(cè)算法的整體性能。為提高第一種算法的檢測(cè)性能，本文將冗余報(bào)文過濾器BloomFilter-0以及單流源過濾器Bloom Filter-1應(yīng)用到第一種超點(diǎn)檢測(cè)算法中，提出第二種帶過濾器的Cuckoo抽樣超點(diǎn)檢測(cè)算法。最后，通過對(duì)兩種新算法的理論分析和實(shí)驗(yàn)分析證