网络流量异常检测及分析中的.pdfVIP

网络流量异常检测及分析中的 数据需求研究 姓 名：陈明璨 专 业: 计算机应用 导 师：王宗敏 教授 引言 2008年中国互联网安全报告[1]： 网络安全事件接收与处理情况 与2007年相比，数量涨幅位居前3位的是拒绝服务攻击事 件、病毒、蠕虫或木马事件和垃圾邮件事件，涨幅分别为 165%、54.5%和20.6% 。 互联网业务流量监测情况 在TCP协议中，占用带宽最多的网络应用有4类，分别是 Web浏览、P2P下载、电子邮件和即时聊天工具。 在UDP协议中，占用带宽最多的是各类P2P下载、DNS 服务以及网络游戏。 由此可知，DDoS攻击、蠕虫病毒和P2P应用已经成为造成 当前网络流量异常的最主要原因。 2010-1-5 2 网络流量异常概念 网络流量异常是指对网络正常使用造成不良影响的网 络流量模式。引起网络流量异常的原因主要包括： 1)网络攻击，如DDoS攻击、DoS攻击、端口查看等； 2)导致数据流量模式改变的网络病毒，如蠕虫病毒等； 3)网络的使用问题，如大量的P2P的应用模式对网络流量 造成了影响。 2010-1-5 3 网络流量异常的检测及分析概念 网络流量异常的检测是指检测何时何处有异常的网络 流量发生。 异常分析则是指在异常检测的基础上进一步确定哪些 数据流引发网络异常并诊断异常类型。 流量异常检测及分析是网络流量异常监视及响应应用 的基础，便于网络及安全管理人员排查网络异常、维护网 络正常运转、保证网络安全。 2010-1-5 4 网络流量异常检测的基础 网络流量异常检测的基础是网络上产生的流量数据。 对异常流量检测与分析的研究主要集中在以下三个层面： 1.数据包层面。 2.数据流层面。 3.统计数据层面。 2010-1-5 5 网络流量异常研究工作 对DDoS攻击的研究工作主要集中在数据流与统计数 据层面。 对蠕虫病毒的研究工作主要集中在数据包和统计数据 层面。 对P2P流量的研究工作主要集中在数据流和统计数据层 面。 2010-1-5 6 研究内容 数据包层面研究： 1. IP数据报文特征研究：IP数据报需要分析 的字段有版本号、服务类型、协议号、源 IP地址、目的IP地址等。 边界过滤技术[2]：通过在网络的边界路由 器上基于路由的分布式报过滤(DPF)对来自 网络内部的报文进行检查，如果报文的源 IP 地址不在本网络的范围内，则可以断定 其为伪造报文，对其进行过滤。 2010-1-5 7 2. ICMP报文特征研究：对ICMP报文的研究则主要 是通过研究ICMP端口不可达报文来判断网络中 是否存在蠕虫。 文献[3]研究指出一台被蠕虫