基于主机活跃性与通信模式分析的实时异常流量检测.pdfVIP

全国网络与信息安全技术研讨会’8007 ·35· 基于主机活跃性和通信模式分析的实时异常流量检测 叶润国1’2，胡建平2 (1．北京启明星辰信息技术有限公司，北京100093：2。北京航空航天大学计算机学院，北京100083) 摘要： 提出一种基于主机活跃性和通信模式分析的实时异常流量检测方法，对整个网络报文空间按异 常流量事件相关报文类型进行分类，在各报文子空间中分析各活动主机的活跃性，采用自适用报文抽样和报 文特征分布熵方法提取各活跃主机通信模式，与先前建立的各类型异常流量检测事件通信模式进行比较，从 而实现对各类型异常流量事件的实时检测和异常流量事件源的准确物理定位。通过在实验环境中进行混合模 拟攻击测试表明，本异常流量检测方法对各种常见类型异常流量事件具有较高检测速度和精度，适合高速骨 干网络环境下实时异常流量检测。 关键词： 网络安全；异常流量；通信模式； 异常检测 一 tf ‘time traffictra detectdetectbased0n anomaly host’Sactivistandcommunication patterns Ye．Runguom，Hu-Jianpin92 VenusInformation Scieaee (1 TechnologyInc．，BIc／jing100093)、(2．CongmtcrCollege,BeijingUniversity 100083) Abstract：Areal-time traffic basedOn ofhost’Sactivistandcommunication anomaly analysis patterns detectingapproach WaS at divides each of first thewholetraffic into toa approach spacesubspacescorrespondingtypepacket proposed。This in hostactivisteach andextractsitscommunicationvia classification；then packet analyzes packetsubspace patternsadaptive and featuredistribution active-hostWas withafew of samplingentropy—basedpacket techniques；砒last．eachcompared types trafficeventsintermsofcommunication undersimulated environmentshowed anomaly pattern．11圮experimentattacking thatthis isabletodetectcommonkindsof trafficevents谢th and for approach anomaly highpr