全局的多流量相关异常检测算法.pdfVIP

第37卷 第6期 电子 科 技 大 学 学 报 V0l1．37 No．6 2008年11月 JoumalofUniversityofElectronicScienceandTechnologyofChina NOV．2008 全局的多流量相关异常检测算法 杨 丹，胡光岷，李宗林，姚兴苗 (电子科技大学宽带光纤传输与通信网技术教育部重点实验室 成都 610054) 【摘要】针对现有单链路流量异常检测和全局流量异常检测方法存在的不足，该文提出一种全局的多流量相关异常检测 算法。该算法利用同一异常在不同链路或OD流所产生的多个异常流量信号在频率、幅值变化特征等方面具有相似性这一特点， 将这种相似性作为检测的依据来检测异常。通过每个OD流或链路的前期流量数据进行下一时刻的流量预测，将实际流量数据 减去预测流量值得到异常流量值；通过多个OD流或链路之间的全局相关分析进行流量异常检测。仿真结果表明该文提出的方 法能够有效地检测其他单链路和全局异常检测方法无法检测的异常。 关 键 词 ARMA~型；相关性分析：全局流量异常检测；流量预测 中图分类号 TN914．5 文献标识码 A TheNetwork-W ideMulti-TrafficCorrelativeAnomalyDetection YANGDan，HUGunag-min，LIZong—lin，andYAOXing-miao (KeyLaboratoryofMinistryofEducationforBroadbandOpticalFiberTransmissionnadCommunicationNetworks， UniversityofElectronicsSciencenadTechnologyofChina Chengdu 610054) Abstract A mgattIlelackofthesinglelink’Snaomalydetectionnadthenetwork-wide仃a伍C’Snaomaly detection．weproposeanetwork-widemulti．仃 Ccorrelativenaomalydetectionmethod．Thismethoduseshte characteristichtathteanomalysignalsondifferentlinksororigni．destinationfOD)flows，producedbyone anomaly，rae similarni frequency，htetransforillation chraacteristic ofhteamplitude，and SO on．And hte comparabilityiSusedashteevidenceofhtenaomalydetection．Inprinciple．htetr 证Cisforecastedbyhteprevious dataoneveryOD flOW orlink．htenaomalytrafficisobtainedbysubtractingtherealtrafficfiom hteforecastdata, andlastly．thetrafnCnaomalyiSdetectedbyglobalcorrelationanalysisonall仃affiCS．Simulationresultnidicates tllatthisknidofmethodcandetecthtenaomaly． Keywords ARMAmodel； correlationnaalysis； newt ork．widetr碰 Cnaomalydetect； 仃 Cforecast 网络流量异常指网络的流量行为偏离其正常行 常明显的流量异常，检测常常出现误判或漏判。如 为的情形，引起网络流量异常的原因是多种多样的， 果将多条链路或多个OD流的流量信号作为一个整 如网络设备的不 良运行、网络操作异常、突发访 问 体进行研究(进行多时间序列分析)时，异常就有可能 (flash