NBOS系統的異常流量行為檢測.pdf

1、異常流量行為是指網絡流量出現偏離正常范圍的狀況，主要是由惡意網絡攻擊行為以及網絡配置失誤、偶發(fā)性線路中斷和突發(fā)的巨流等因素引起，這些事件會對網絡的服務質量產生影響，同時干擾網絡的正常運行。因此，對異常流量行為的檢測是一項有意義的研究工作。本文的研究工作將基于NBOS(Network Behavior Observation System)提供的基礎流量數據展開。研究在網絡的邊界處進行異常流量行為的檢測方法，并將其集成進NBOS系統。

2、r>　　本論文首先討論了異常網絡流量的定義，并根據產生的原因對異常流量進行分類，然后研究了正常狀態(tài)下網絡流量的基本特性以及發(fā)生異常時流量特征分布的變化。接著介紹了目前主要的幾類檢測方法及其優(yōu)缺點。
　　基于網絡邊界路由器提供的流記錄信息，NBOS能為異常檢測提供精細的數據源，包括面向對端IP分類的帶寬測度和端口分布統計數據。因此，本文從兩個角度展開具體的研究工作，一是基于帶寬的異常流量行為檢測，二是基于端口流量分布的異常流量行為檢

3、測。兩項研究工作均在CERNET南京主節(jié)點的實際網絡中進行了檢驗。
　　在面向帶寬測度數據的異常檢測方面，研究工作以對可用的檢測方法進行分析為起點。在分析了環(huán)境和條件等各方面因素的基礎上，選擇了兩個時間序列分析類的經典算法——基于動態(tài)指數平滑模型的檢測算法和基于holt-winters季節(jié)模型的檢測算法，通過基于CERNET南京主節(jié)點的實測數據的比較，選擇了基于holt-winters的檢測算法作為實測算法并將其集成進NBOS系統

4、。該算法在24小時的實際環(huán)境中實時檢測出多個異常事件。論文選擇了其中的三個，對其產生的原因進行了詳細的分析。這個實踐表明經典的異常檢測算法可以在以流記錄為分析源的工程環(huán)境中使用。在面向端口分布統計數據的異常檢測方面，研究工作以對端口流量行為的分析為起點。在對端口流量分布的研究的基礎上，引入信息熵的概念，并定義了面向時間粒度的端口流量熵?；贑ERNET南京主節(jié)點的實測數據的分析表明，每天同時刻的端口流量熵總體滿足正態(tài)分布。在此基礎上，論