基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測(cè).pdf

1、近些年來，隨著計(jì)算機(jī)網(wǎng)絡(luò)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用經(jīng)歷了從傳統(tǒng)的Web、Ftp、Mail等業(yè)務(wù)為主導(dǎo)到以P2P為主導(dǎo)的變化，同時(shí)伴隨著網(wǎng)絡(luò)流量成倍的增大。這些變化加大了網(wǎng)絡(luò)管理的難度，尤其是對(duì)高速流量的實(shí)時(shí)處理和對(duì)采用動(dòng)態(tài)端口的應(yīng)用層協(xié)議識(shí)別方面。
　　如何識(shí)別出高速網(wǎng)絡(luò)流量中包含的異常流量一直是一個(gè)具有挑戰(zhàn)性的問題，這些異常流量可以是網(wǎng)絡(luò)攻擊，諸如Dos、蠕蟲病毒等所產(chǎn)生;也可能是網(wǎng)絡(luò)的配置變更或失效;以及Flash Crowds等等

2、。及時(shí)地識(shí)別這些異常流量對(duì)網(wǎng)絡(luò)的正常運(yùn)營有重要意義，但是僅僅依靠SNMP所提供的信息是不夠的，另一方面，網(wǎng)絡(luò)流量如此之大以至于基于數(shù)據(jù)包地實(shí)時(shí)監(jiān)控變得非常困難。對(duì)于此，本文提出了基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測(cè)方法。
　　采用分布式結(jié)構(gòu)可以對(duì)流量進(jìn)行負(fù)載均衡，同時(shí)還可以解決非對(duì)稱路由等問題。管理的對(duì)象不是數(shù)據(jù)包而是流，流包含了如源、目的IP地址、源、目的端口、流量、傳輸層協(xié)議等等。流由硬件設(shè)備以UDP數(shù)據(jù)包的方式導(dǎo)出，如思科的Net

3、Flow、華為的NetStream等等。
　　在管理端收集流以后，首先進(jìn)行應(yīng)用層協(xié)議的識(shí)別。當(dāng)前的網(wǎng)絡(luò)流量P2P占據(jù)過半，而P2P又存在私有協(xié)議和動(dòng)態(tài)端口的特性，因而流量識(shí)別的方法好壞主要取決于對(duì)P2P的識(shí)別。本文采用的方法是基于流信息的識(shí)別，通過對(duì)協(xié)議進(jìn)行分類，同一類別的協(xié)議存在一些共同的特征，利用這些特征進(jìn)行識(shí)別，然后根據(jù)協(xié)議類別進(jìn)行統(tǒng)計(jì)得到各類協(xié)議的流量時(shí)間序列，為異常檢測(cè)提供支持。
　　傳統(tǒng)的異常流量檢測(cè)方法主要是通

4、過對(duì)流量建立一個(gè)可信的范圍，超過可信范圍的流量可視為異常，這種方法容易實(shí)現(xiàn)但誤報(bào)率很高。另一種識(shí)別途徑就是利用信號(hào)分析的有力工具-小波變換進(jìn)行處理，它是基于這樣一個(gè)觀察，即在發(fā)生異常的地方往往伴隨著頻率的突變。本文采用的方法是基于協(xié)議分類的流量和總體流量相結(jié)合的方法?；趨f(xié)議統(tǒng)計(jì)的方法無疑比僅僅基于總體流量的方法更為有效，尤其是在對(duì)DoS的識(shí)別上。在進(jìn)行異常判定的時(shí)候采用小波與時(shí)間序列預(yù)測(cè)同自相關(guān)相結(jié)合的方法，小波從頻域上識(shí)別，而后者則