基于信息熵的流量異常檢測(cè).pdf

1、異常檢測(cè)是網(wǎng)絡(luò)管理的一項(xiàng)重要內(nèi)容，高速骨干網(wǎng)絡(luò)的節(jié)點(diǎn)流量巨大，使得傳統(tǒng)基于報(bào)文的入侵檢測(cè)系統(tǒng)無(wú)法及時(shí)地處理每一個(gè)報(bào)文。近年來(lái)，研究人員越來(lái)越多的將信息論應(yīng)用于網(wǎng)絡(luò)流量的異常檢測(cè)中。
　　信息熵是衡量分布無(wú)序程度的一個(gè)很好的指標(biāo)，當(dāng)信息熵越大，則表示分布越無(wú)序。許多研究人員將信息熵應(yīng)用于網(wǎng)絡(luò)流量異常檢測(cè)，其中的一個(gè)應(yīng)用模型是：將網(wǎng)絡(luò)流量分成許多時(shí)間段，計(jì)算每個(gè)時(shí)間段流量在特征上的分布的信息熵，形成時(shí)間序列，通過(guò)觀察時(shí)間序列的波動(dòng)情況

2、來(lái)判斷網(wǎng)絡(luò)是否發(fā)生異常。本文通過(guò)對(duì)信息熵靈敏進(jìn)行分析，指出這種應(yīng)用模型的兩個(gè)缺陷：1、無(wú)法提供異常細(xì)節(jié)；2、靈敏度不夠，只適合于檢測(cè)大規(guī)模的網(wǎng)絡(luò)異常。
　　本文提出一種新的基于信息熵的異常檢測(cè)方法，能夠有效地克服上述應(yīng)用模型的缺點(diǎn)。本文定義了IP的行為分類標(biāo)識(shí)(簡(jiǎn)寫(xiě)成bid)，用于標(biāo)識(shí)一個(gè)IP的行為特征。不同行為特征的IP具有不同的bid，IP的bid能唯一標(biāo)識(shí)一種IP行為特征。異常IP與正常IP具有不同的行為特征，所以可以通過(guò)I

3、P的bid區(qū)分IP異常與否。本文預(yù)先建立常見(jiàn)正常應(yīng)用bid庫(kù)，然后實(shí)時(shí)地計(jì)算網(wǎng)絡(luò)流量中IP的bid，如果其bid落在正常應(yīng)用bid庫(kù)中，則將其歸類為正常IP，否則，將其歸類為異常IP。另外，本文使用輔助測(cè)度對(duì)那些bid識(shí)落在正常應(yīng)用bid庫(kù)中的IP進(jìn)行二次檢測(cè)，使用白名單對(duì)被歸類為異常IP的IP進(jìn)行過(guò)濾。
　　基于上述理論，本文設(shè)計(jì)開(kāi)發(fā)了EBAD(Entropy Based Anomalies Detection)系統(tǒng)，將其部署于