基于TF―IDF算法AAA服务异常检测机制研究.docVIP

基于TF―IDF算法AAA服务异常检测机制研究 　　【摘 要】首先基于某电信公司2014年度的AAA服务日志文件，统计了其认证结果的比例分布，归纳了导致服务状态异常的数据源行为类型，即恶意登录和唯N性授权攻击。接着针对现有异常检测策略在效率和准确性上的不足，提出了一种基于参数替换的TF-IDF算法的服务状态异常检测机制，通过计算待筛选数据源与已确认的异常源集的关联度，高效地发现和确定其他异常源。最后通过模拟实验，验证了该机制的有效性和高效性。 　　【关键词】AAA服务 异常日志 TF-IDF算法 异常检测 　　doi：10.3969/j.issn.1006-1010.2016.02.017 中图分类号：TP309.2 文献标识码：A 文章编号：1006-1010（2016）02-0083-05 　　引用格式：黄晓丹，罗伟，李秀峰，等. 基于TF-IDF算法的AAA服务异常检测机制研究[J]. 移动通信， 2016，40（2）： 83-87. 　　Research on AAA Service Anomaly Detection Mechanism 　　Based on TF-IDF Algorithm 　　HUANG Xiao-dan1， LUO Wei2，3， LI Xiu-feng1， LI Xiao-bing1， LIU Jian-jian1 　　（1. Shandong Branch of China Telecom Co.， Ltd.， Jinan 250000， China; 　　2. College of Computer， National University of Defense Technology， Changsha 410073， China; 　　3. Armed Police Corps of Hainan Province， Haikou 570000， China） 　　[Abstract] Based on AAA service log files of a telecommunications company in 2014， the proportion distribution of authentication results was addressed， and then the behavior types of data sources leading to abnormal service state were summarized， i.e. malicious login and quantity limitation attack. According to the flaws of existing anomaly detection mechanisms in efficiency and accuracy， an anomaly detection mechanism based on TF-IDF algorithm with parameter replacement was proposed. It calculates the correlation between the data source to be filtered and the abnormal data source set to efficiently discover and confirm other abnormal data sources. Finally， simulation experiments verified the effectiveness and efficiency of the mechanism. 　　[Key words]AAA Service abnormal log TF-IDF algorithm anomaly detection 　　1 概述 　　1.1 AAA服务概述 　　AAA服务以一体化模式为电信运营商提供认证（Authentication）、授权（Authorization）和计费（Accounting）的业务功能[1]。对于电信运营商来说，AAA服务既是确认收费对象身份的基础，也是保证网络安全（防止非法用户接入）的重要手段。在完成用户身份确认后，AAA服务根据用户与运营商签订的服务合同授予用户相应的权限，如可接入终端的数量、可用带宽等[2]。 　　作为网络接入的认证和授权系统，AAA系统的正常运行直接关系到运营商网络服务的正常提供。而且，由于AAA系统多采用集中服务的模式（1个或多个省份部署1套AAA系统）工作，其故障会导致