NBOS系統(tǒng)的異常流量行為檢測(cè).pdf

1、異常流量行為是指網(wǎng)絡(luò)流量出現(xiàn)偏離正常范圍的狀況，主要是由惡意網(wǎng)絡(luò)攻擊行為以及網(wǎng)絡(luò)配置失誤、偶發(fā)性線路中斷和突發(fā)的巨流等因素引起，這些事件會(huì)對(duì)網(wǎng)絡(luò)的服務(wù)質(zhì)量產(chǎn)生影響，同時(shí)干擾網(wǎng)絡(luò)的正常運(yùn)行。因此，對(duì)異常流量行為的檢測(cè)是一項(xiàng)有意義的研究工作。本文的研究工作將基于NBOS(Network Behavior Observation System)提供的基礎(chǔ)流量數(shù)據(jù)展開。研究在網(wǎng)絡(luò)的邊界處進(jìn)行異常流量行為的檢測(cè)方法，并將其集成進(jìn)NBOS系統(tǒng)。

2、r>　　本論文首先討論了異常網(wǎng)絡(luò)流量的定義，并根據(jù)產(chǎn)生的原因?qū)Ξ惓Ａ髁窟M(jìn)行分類，然后研究了正常狀態(tài)下網(wǎng)絡(luò)流量的基本特性以及發(fā)生異常時(shí)流量特征分布的變化。接著介紹了目前主要的幾類檢測(cè)方法及其優(yōu)缺點(diǎn)。
　　基于網(wǎng)絡(luò)邊界路由器提供的流記錄信息，NBOS能為異常檢測(cè)提供精細(xì)的數(shù)據(jù)源，包括面向?qū)Χ薎P分類的帶寬測(cè)度和端口分布統(tǒng)計(jì)數(shù)據(jù)。因此，本文從兩個(gè)角度展開具體的研究工作，一是基于帶寬的異常流量行為檢測(cè)，二是基于端口流量分布的異常流量行為檢

3、測(cè)。兩項(xiàng)研究工作均在CERNET南京主節(jié)點(diǎn)的實(shí)際網(wǎng)絡(luò)中進(jìn)行了檢驗(yàn)。
　　在面向帶寬測(cè)度數(shù)據(jù)的異常檢測(cè)方面，研究工作以對(duì)可用的檢測(cè)方法進(jìn)行分析為起點(diǎn)。在分析了環(huán)境和條件等各方面因素的基礎(chǔ)上，選擇了兩個(gè)時(shí)間序列分析類的經(jīng)典算法——基于動(dòng)態(tài)指數(shù)平滑模型的檢測(cè)算法和基于holt-winters季節(jié)模型的檢測(cè)算法，通過基于CERNET南京主節(jié)點(diǎn)的實(shí)測(cè)數(shù)據(jù)的比較，選擇了基于holt-winters的檢測(cè)算法作為實(shí)測(cè)算法并將其集成進(jìn)NBOS系統(tǒng)

4、。該算法在24小時(shí)的實(shí)際環(huán)境中實(shí)時(shí)檢測(cè)出多個(gè)異常事件。論文選擇了其中的三個(gè)，對(duì)其產(chǎn)生的原因進(jìn)行了詳細(xì)的分析。這個(gè)實(shí)踐表明經(jīng)典的異常檢測(cè)算法可以在以流記錄為分析源的工程環(huán)境中使用。在面向端口分布統(tǒng)計(jì)數(shù)據(jù)的異常檢測(cè)方面，研究工作以對(duì)端口流量行為的分析為起點(diǎn)。在對(duì)端口流量分布的研究的基礎(chǔ)上，引入信息熵的概念，并定義了面向時(shí)間粒度的端口流量熵?；贑ERNET南京主節(jié)點(diǎn)的實(shí)測(cè)數(shù)據(jù)的分析表明，每天同時(shí)刻的端口流量熵總體滿足正態(tài)分布。在此基礎(chǔ)上，論