分布式异常流量监测系统的设计.pdfVIP

第25卷第11期 计算机应用与软件 V0l_25No．11 2008年 11月 ComputerApplicationsandSoftware Nov．2o08 分布式异常流量监测系统的设计 曾国鉴 鲁士文 (中国科学院研究生院 北京 100039) (中国科学院计算技术研究所 北京 100080) 摘 要 提出一个基于分析Netflow数据的异常流量监测系统。通过特征模式匹配及与正常流量基线比较，来分析和判断网络的 异常情况，并通过建立安全策略库，提出安全建议，实现对异常情况的处理，达到对 IP网络的有效闭环管理。 关键词 Netflow DoS／DDoS 异常检测 A DISTRIBUTED SYSTEM DESIGN FoR DETECTING IP ANoMALY TRAFFIC ZengGuojian LuShiwen (GraduateSchooloff“ChineseAcademyofScience，Bejiing100039，China) (InstituteofComputingTechnology，ChineseAcademyofScience，Bejiing100080，China) Abstract ANetflowbasedtrafficdetectionsystem isputforwardinthearticle．Itcananalyzeandjudgenetwork’Sanomalytrafficby matchingflow’Scharactersandcomparingactualtrafficwiththenaturalbaseline，createssecurityruledatabase，andmakessuggestionsto dealwithanomalyinordertoeffectuallymanageIPnetworkinclosed-loop． Keywords Netflow DoS／DDoS Anomalydetection 0 引 言 1 系统设计 随着互联网的广泛普及，网络管理的核心任务从用量管理 1．1 系统结构和主要功能 转向安全管理。随着网络规模的扩大，各种网络攻击造成的损 (1)系统结构 失也随之加大，网络攻击的手法也不断更新，因此网络安全 日益 该系统是基于分析Netflow数据 ，通过特征模式匹配和与正 成为人们普遍关注的焦点。 常流量基线比较 ，来分析和判断网络的异常情况，并通过建立安 由于网络攻击越来越隐蔽 ，攻击的发起时刻到造成严重后 全策略库，提出安全建议，实现对异常情况的处理，达到对 IP网 果的时间间隔越来越短，因此以往的攻击侦测手段已经不适应 络的有效闭环管理。系统结构如图1所示。 当前网络安全管理中对网络攻击要 “及时发现，快速定位，立即 防范”的要求。用统计的方法，可以在短时间内对大量数据进 行处理，通过统计结果，可以及时准确地发现网络攻击，为准确 定位和实施防范赢得了宝贵的时间。网络安全管理有个原则， 侦测点离攻击的源头越近，侦测的效率越高。因此 ，“从源头阻 断攻击”的方法成为防范攻击的最新理念；尤其是在对付分布 式攻击的时候，分布实施阻断是最有效的手段。 本文设计是一套专门面向骨干网的DoS／DDoS及异常流量 监测的分布式分析系统。它采用 NetFlow协议技术，通过统计