基于Bitmap的隱超點檢測算法研究.pdf

1、隱超點是在一個測量區(qū)間內(nèi)鏈接了一定數(shù)量的源IP（宿IP）的宿IP（源IP）。在實際網(wǎng)絡中，對于隱超點的檢測往往很困難，因為其夾雜在正常的流中，很容易避開檢測系統(tǒng)。網(wǎng)絡中的一些安全事件，如溫和蠕蟲病毒傳播、僵尸網(wǎng)絡掃描等都具有類似的行為特征，這些潛在的攻擊者在測量區(qū)間內(nèi)緩慢的向目的主機發(fā)送報文，這都屬于隱超點檢測問題。
　　 盡管超點檢測技術已經(jīng)很成熟，但是這些算法對于隱超點的檢測很困難，因為超點檢測技術關注的是大流。本文提出了兩

2、種隱超點檢測算法，均是基于Bitmap二維位數(shù)組，避開了傳統(tǒng)超點檢測技術的弊端，其最主要優(yōu)點是:輕量級，可以運行在速度快容量小的內(nèi)存中（如SRAM）。
　　 第一種檢測算法CBS算法的提出是為了使檢測算法應用于實時網(wǎng)絡流檢測。該算法的核心是三個存儲主機流數(shù)的Bitmap二維位數(shù)組，在位數(shù)組的每一行加入一個行計數(shù)器，用于記錄本行中1的個數(shù)。算法包含4個哈希函數(shù)，將源IP及宿IP哈希映射到位數(shù)組中相應的行列，進行定位。對于每個到達的

3、報文，都要進行更新位數(shù)組及行計數(shù)器操作，當代表行的行計數(shù)器均大于給定閾值，則進行統(tǒng)計處理。此算法簡單且占用存儲空間較小，但是其準確度有待提高。
　　 為了進一步提高準確度，本文又提出另一種檢測算法BS算法，用于離線統(tǒng)計隱超點，其核心是三個存儲主機流數(shù)的Bitmap二維位數(shù)組、以及存儲源IP及其基數(shù)的數(shù)組Cache。相比于CBS算法，BS算法準確率較高但處理速度比較慢。
　　 本文對這兩種算法采用不同數(shù)據(jù)源的Trace進行