基于特征熵的异常流识别技术.pdfVIP

第 39卷 第 12期 计 算 机 科 学 Vo1．39No．12 2012年 12月 Computer Science Dec2012 基于特征熵 的异常流识别技术 许 倩 程东年 张建辉 程国振 (国家数字交换系统工程技术研究中心 郑州450002) 摘 要 多数识别技术通过建立流特征的正常模型来识别偏离的流，但流特征有较强的可变性，建立这样精微的模型 非常困难。异常的发生通常会引起流量地址或端 口在分布上的变化，分布的分散或集中程度可用特征熵来衡量。因 此提 出基于特征熵的异常流识别技术(EntropyofCharacteristicsbasedAnomalyTrafficIdentification，ECATI)，即利 用特征熵依据流量特征参数的分布变化检测异常，通过分析异常间隔的流量迭代地排除类似正常的流，从而识别根源 流。经过手动标记和人工注入异常的仿真实验证实，所提算法能精确地识别出异常流，在平均识别率89．5 的情况 下几乎没有丢失流。识别算法能精确地诊断网络扫描、DDoS攻击和链路失败等多种异常类型。 关键词 特征熵，指数平滑法，分割缩减，异常流识别 中图法分类号 TP393．08 文献标识码 A EntropyofCharacteristicsBasedAnomalyTrafficIdentificationTechnique XU Qian CHENGDong-nian ZHANGJian-hui CHENGGuo-zhen (NationalDigitalSwitchingSystem Engineering TechnologicalRDCenter，Zhengzhou450002，China) Abstract Theexistingmethodsbuildamodeldescribingnormalflow characteristicswhichisusedtoidentifydeviating flows．However，buildingsuchamicroscopicmodelischallengingduetothewidevariabilityofflow characteristics．The distributionsofpacketfeatures(IPaddressesandports)observedintraceswhichcanbedescribedbyentropyrevealthe presenceandthestructureofawiderangeofanomalies．A novelmethodnamedEntropyofCharacteristicsbasedAnom— alyTrafficIdentification(ECATI)wasproposed．Itutilizesentropyofcharacteristicstodetectanomaliesandanalyzes trafficinanomaloustimebinsofwhichdetectoriterativelyremovesflowsthatseem nomr a1．W emeasuredtheaccuracy ofECATIalgorithmusingmanuallylabeledanomaliesandanomalyinjection．TheresultsshowthatECATIaccuratelyi solatestheanomaloustrafficwithonlyfew orzeromissedflowsunderover89．5 ofaverageidentificationrate． Keywords Entropy ofcharacteristics，Exponentiallyweightedmovingaverage，Partitionreduction，Anomalytraffici— dentifjcation