基于NetFlow流量行为分析的网络异常检测.pdfVIP

鬣霍蕾翟因雷幽 ．网络安全． 基于NetFlow流量行为分析的网络异常检测 马华林 (浙江工商职业技术学院浙江宁波315012) 摘要：本文提出了一种新的基于流量行为分析的同络异常检潮方法，该方法在网络攻击与流量分析的基础上，结合NetFI ow-I办议的高性能数据采集模式，利用网络行为异常发现算法来进行网络异常检测。应用此方法对实际网络流量进行检测，结 果表明了该方法是有效可行的。 NetFlow 关键词：网络行为 异常检测 关联度 中图分类号：TP316．8 文献标识码：A 文章编号：1007—9416(2011)03—0130—02 1．引言 行为模式簇质心集合{以Il≤i≤上}中找不到与置相近的模式，即 随着网络技术的不断发展和网络规模的不断扩大。网络入侵的 Dist(X，，以)相对较大。 机会也越来越多，网络安全已经成为一个全球性的重要问题．在网 络安全问题日益突出的今天，如何迅速、有效地发现各类新的入侵 3．异常检测算法 行为，对于保证系统和网络资源的安全显得十分重要。 网络流量中不同协议的流密度分布可以描述网络行为，网络行 本文提出了一种新的基于NetFlow流量分析的网络异常检测为间的距离可以描述不同网络行为之间的区别，本文用关联度来描 方法，它利用Cisco公司开发的NetFlow交换协议提高了采集数据述不同网络行为之间的区别，算法如下： 的性能，建立了具有自适应性的网络流量正常行为模式，用关联度 设有两个网络行为X。和x，，则其闻的关联度定义为 1上 算法对NetFlow-流量数据的网络行为分布进行分析，从而发现异常 re=古艺勺(t)(1) 的网络数据流。 式中，毛(Ji})——关联系数 Ⅳ——置和x，的长度 2．相关定义 定义l：流密度。每条NetFlow流至少包含来源IP地址、来源端 口号、目的IP地址、目的端口号、协议种类，字节数六个字段，定义间 eo(k)。砾Am=而+pA,mx(2) 隔时间t内{srclP，smPoA，dstlP，dstPort，ptlType，bytes}六元组的 数量为流密度，记为FCD(t)，简写为FCD。对FCD可以有多种形式 式中△Ⅱ(t)=l置(．i})一Xf(七)l，1sk≤N(3) 的条件表示，女IIFCD(…，1)表示协议类型是icmp的流密度，FCD △一=max{aF(1)，△F(2)…．，AF(Ⅳ)} (…，6，50)表示协议类型为tcp且字节数量小于50的流密度(sYN △旆=min{a。(1)，A。(2)…～(Ⅳ)} 扫描数据包特征)。 P——分辨系数，一般取p=0．5 、 定义2：有可列个流密度FCDI，FCD2…FCD,，每个流密度的类型都 设待检测的网络行为置和根据定义45t算得到的正常网络行为 不同，且都属于相同间隔时Pit，我们把间隔时间t上的网络行为表示为 模式x。，根据(1)式可得墨与x。的关联度％．。根据实验统计，在正 X(FCD,，FCD2…FCD，)，简写为x，显然x为多维向量，我们定义J(f)