基于统计网络流量异常检测模型.pdfVIP

第31 卷 第24 期 计 算 机 工 程 2005 年12 月 Vol.31 № 24 Computer Engineering December 2005 ·网络与通信· 文章编号：1000—3428(2005)24—0123—03 文献标识码：A 中图分类号：TP393 基于统计的网络流量异常检测模型 梁 昇，肖宗水，许艳美 （山东大学计算机科学与技术学院，济南 250061 ） 摘 要：提出了一个基于统计的流量异常检测模型。根据网络流量的可测度集，描绘了一个正常网络流量的基线。参照该正常流量基线， 使用假设检验理论进行异常检测。采用一个基于滑动窗口的流量更新策略，使异常检测能够更加高效。论述了在高速网络情况下提高检测 性能的方法。 关键词：异常检测；网络基线；滑动窗口 Anomaly Detection Model of Network Traffic Based on Statistics LIANG Sheng, XIAO Zongshui, XU Yanmei (School of Computer Science and Technology, Shandong University, Jinan 250061) 【Abstract 】The paper presents a traffic anomaly detection model based on statistics. According to the measurable aggregate of network traffic, a normal network baseline is built. Compared to the normal network baseline, the theory of hypothesis test is used to execute the anomaly detection. In order to make the anomaly detection more efficiently, the model adopts a traffic update policy based on glide window. The method of improving detection capability in the high-speed network is also discussed. 【Key words 】Anomaly detection; Network baseline; Glide window 网络流量异常包括主干流量异常和某台网络主机的流 网主机的流量都采集到。流量采集有两种情况：对共享网络 量异常，事实上网络主机的流量异常造成了主干网络流量的 进行采集和对交换式网络进行采集。前者直接在共享设备通 异常，因此研究异常流量的监测，定位造成异常的主机，进 过一个端口连接sniffer 即可；后者需要设备支持，通过交换 而对异常主机进行网络隔离，对于避免网络拥塞、保证网络 机的 SPAN （Switched Port Analyzer ）端口把流量镜像到 性能、避免网络资源的滥用，具有重要意义。 sniffer 。SPAN 在使用中非常灵活，可以监视交换机的单个端 流量异常检测的核心问题是实现流量正常行为的描述， 口，也可以监视多个端口，还可以对VLAN 进行监视。利用 并且能够实时、快速地对异常进行处理。检测方法可以归结 libpcap 和linnet 开发高效的协议分析引擎，对镜像出来的数 为以下4 类：(1) 阈值检测方法；(2)统计检测方法；(3)基于小 据包进行报文的监听与