基于Netflow的網絡異常流量發(fā)現(xiàn)的研究與實現(xiàn).pdf

1、目前,網絡的演進方向是IP化。隨著網絡的發(fā)展和業(yè)務的推動,大多數業(yè)務都被遷移到IP網絡上來。在全IP網絡承載越來越多的業(yè)務的同時,網絡安全問題也層出不斷,網絡中出現(xiàn)了越來越多的異常流量。異常流量的檢測也就隨之成為了網絡運營商關注的重點對象。通過對網絡流量檢測可以及時的發(fā)現(xiàn)網絡問題,采取對應措施保證網絡的正常運行。隨著網絡規(guī)模的擴大,網絡流量呈指數級增加,傳統(tǒng)的基于數據包和字節(jié)數的檢測技術變得不堪重負。隨之,基于流的異常檢測應時而出。Ci

2、sco公司提出了Netflow技術。Netflow技術以流為基礎進行統(tǒng)計,提供多粒度的流量分析,是進行異常流量檢測的最佳選擇。
　　 本文在分析以往基于Netflow的異常檢測技術選取的指標和算法的基礎上,對校園網絡流量的Netflow數據進行了長期多視角、多粒度的分析,并提出了利用融合指標和融合指標時間窗比較算法進行異常發(fā)現(xiàn)的新方法。融合指標主要反映了網絡流的特點,去除了網絡流量的非平穩(wěn)因素;融合指標時間窗比較算法分為縱向和橫

3、向的比較,縱向的比較是分析融合指標的長期變化趨勢,橫向比較是分析融合指標的短期變化趨勢。
　　 本文利用融合指標和融合指標時間窗比較算法設計并實現(xiàn)了一個基于Netflow的異常發(fā)現(xiàn)系統(tǒng)。整個異常發(fā)現(xiàn)系統(tǒng)包括數據采集,數據處理和異常檢測三個模塊,數據采集模塊負責Netflow數據的采集,并對數據庫做優(yōu)化處理;數據處理模塊對Netflow數據進行裁剪,只保留異常檢測所需字段;異常檢測模塊主要包括檢測指標的提取,融合指標時間窗檢測算法