一种网络异常实时检测方法.pdfVIP

第 26卷 第 8期 计 算 机 学 报 Vo1．26 NO．8 2003年 8月 CHINESEJOURNALOFCOMPUTERS Aug． 2003 一 种 网络异常实时检测方法 邹柏贤 (中国科学 院计算技术研究所 北京 100080) 摘 要 传统的网络管理工具通常根据预先设定的阈值来报警，这种方法虽然简单 ，但适应性不好．因此出现 了网 络异常检测技术 ，有时异常检测技术不但能发现网络故障，而且具有预警的效果… ；该文介绍 了一种新 的实时网络 流量异常检测方法 ，转换网络流量观测值序列并假定序列的局部是平稳 的，然后建立 AR模型，定义一个统计量来 检测异常．结果表明，该检测方法具有 GLR测试方法所没有的优点． 关键词 流量异常 ；AR模 型 ；异常检测 中图法分类号 TP393 A Real-TimeDetectionM ethodforNetwork TrafficAnomalies ZOU Bo—Xian (InstituteofComputingTechnology，ChineseAcademyofSciences，Beijing100080) Abstract The traditionalnetworkmanagementtoolsusually generatealarmsaccording to the presetthreshold．Thismethod isstraightforward，butithaspooradaptability．Therefore，the techniquetodetectnetwork anomalyappeared，sometimesitcan findeven predictfaultsofthe network．Inthispaper，anovelmethod todetectnetworkanomalyisintroduced．According to themethod，theobservationseriesofnetworktrafficiStransformedandassumedtobestationa— ry，anAR modeliSbuilttofitit，andastatisticiSdefinedfornetworkanomalydetection．The resultshowsthattheproposedmethodhasmoreadvantagescomparedwithGLR method． Keywords trafficanomaly；AR model；anomalydetection 通常会 向周围传播，或者产生其他异常，因此产生大 引 仁 量 的警报．众多的警报不可能由人工来处理 ，要对它 们进行关联，过滤冗余的警报信息．警报关联已经有 随着计算机 网络的 日益发展 ，网络规模越来越 很多研究成果 ，提出了许多方法 ，例如基于规则的关 大 ，计算机和 网络技术越来越复杂 ，设备也更加多样 联 (rule—basedcorrelation)、贝叶斯网推理 (Bayesian 化 ，导致 网络 出现各种性能问题 的可能性增大，而且 networkreasoning)、基于模型的推理 (model—based 传播得更为广泛 ，发现和诊断问题的难度加大．另一 reasoning)、过滤 (filtering)、基于案例的推理 (case- 方面用户对网络服务性能提 出了更高的要求