基于NetFlow流量分析的网络攻击行为发现.PDFVIP

第31 卷 第 13 期 计 算 机 工 程 2005 年7 月 Vol.31 13 Computer Engineering July 2005 安全技术 文章编号 1000 3428(2005) 13 0137 03 文献标识码 A 中图分类号 TP393.08 基于NetFlow流量分析的网络攻击行为发现 1,2 1 3 1,2 杨 嵘 张国清 韦 卫 李仰耀 1 中国科学院计算技术研究所 北京 100080 2 中国科学院研究生院 北京 100039 3 联想研究院 北京 100085 摘 要 针对当前网络攻击的特点 利用基于NetFlow 协议的高性能数据采集模式并结合分布分析 频度分析等流量分析手段 实现了一 种通过NetFlow 流量分析发现网络攻击行为的方法 关键词 网络攻击 NetFlow 分布分析 频度分析 Discovery of Network Attack Behavior Based on NetFlow Traffic Analysis 1,2 1 3 1,2 YANG Rong , ZHANG Guoqing , WEI Wei , LI Yangyao 1. Institute of Computing Technology, Chinese Academy of Sciences, Beijing 100080; 2. Graduate School of Chinese Academy of Sciences, Beijing 100039; 3. Legend Group Limited Academy, Beijing 100085 Abstract According to the characteristic of current network attack , this paper realizes one kind of method for discovering network attack behavior by using the high performance data-collecting method based on NetFlow protocol and the traffic analysis technique such as distribution analysis, frequency analysis. Key words Network attack ; NetFlow; Distribution analysis; Frequency analysis 由于任何网络攻击行为或者网络病毒都会在网络上留 指定的接收者 下痕迹 因此我们根据所获得的网络层数据流分析出该数据 利用NetFlow 协议执行流量采集的系统分成3 个部分 流的来源去向 它的行为方式 以及一定时间内发生频度等 1 产生 NetFlow 流量数据的路由器或者交换设备 称为 信息 通过和正常网络状况时的流量特征进行比较就能及时 NetFlow Device NFD 2 用来采集流量数据的设备 称 发现网络中异常的行为 针对基于网络的异常攻击行为 本 为NetFlow Collector Device(NFCD) 3 利用Ne