基于流记录的异常网络流量检测解析.PDFVIP

基于流记录的异常网络流量检测 吴琪 丁伟 (东南大学 计算机科学与工程学院， 南京 211189) 摘要 异常网络流量行为的检测对于提高网络的可用性和可靠性有着重要的意义。因此，这是一个重要的 研究领域，持续多年的研究发展出很多经典的网络异常检测算法。本文基于一个精细化的网管平台NBOS 提供的细粒度的分类流量信息，对现有的相关算法进行了分析，确定Holt-winters 模型最适合于NBOS平 台环境。将该算法集成进NBOS平台并部署在CERNET 南京主节点后，在实际的流量环境中实时检测出了 大量异常流量案例，论文对其进行了展示和分析。 关键词 异常检测；流记录；时间序列模型；指数平滑； Holt-winters模型 Network TrafficAnomaly Detection BasedonFlow Records Wu Qi DINGWei (School of Computer Science and Engineering, Southeast University,Nanjing 211189) Abstract Network traffic anomaly detection is much important to improve network availability and reliability. Hence,it is a topic of concern and many classical anomaly detection algorithms havebeen developed.Based onthe fine-grainedclassifiedtraffic dataprovidedbyNBOS,which is a fine-grained network management system, the paper analysed existed related algorithms and determine that method based on Holt-winters is most appropriate for the platform environment of NBOS.The method is deployed at NanKing node of CERNET and a massive of networktraffic anomaliescasedhavebeen detected .Relevant demonstration andanalysiswillbe displayedinthepaper. Keywords anomaly detection ;flowrecords;time sequencemodel;exponential smoothing; Holt-wintersmodel 1引言 来自网络设备提供的SNMP 数据。SNMP 是一种广为使用的网络协议，它使用嵌入到 网络设备中的代理软件收集网络通信信息 大量研究表明,网络流量具有自相似、长 和有关网络设备的统计数据并将其记录到 相关和重尾分布等分布特征[1]。这些研究结 管理信息库 （MIB）中。这些信息中与带宽 果对网络流量工程、网络建模和异常检测具 有关的部分包括占用带宽和字节数，它们是 有指导意义。网络流量在正常运行的情况下 根据链路层地址进行聚合的，无法反映报文 是具有一定的周期性和稳定性的，当流量偏 中IP 地址和端口号等信息。在这样的数据 离了其正常行为，打破了这种规律时，就可 条件下使用异常流量行为算法仅能对网络 能发生了异常。引发主干网流量异常的原因 设备端口的整体宏观流量进行分析,可能会 可分为三类[2]：网络攻击异常，如DDoS、 漏报一些局部的异常。图1是NBOS系统提 扫描等；网络设备故障异常，如路由器故障 供的同一时间段的流量信息，(a)是CERNET 导致