基于层叠模型网络流量异常检测方法.docVIP

基于层叠模型网络流量异常检测方法 　　摘 要： 　　进行网络流量异常检测，需要对正常流量行为建立准确的模型，根据异常流量与正常模型间的偏离程度作出判断。针对现有网络流量模型中自相似模型与多分形模型无法全面刻画流量特征的不足，提出了一种基于流量层叠模型分析的异常检测算法，采用层叠模型对整个时间尺度上的流量特征进行更准确的描述，并运用小波变换对流量的层叠模型进行估计，分析异常流量对模型估计的影响，提出统计累计偏离量进行异常流量检测的方法。仿真结果表明，该方法能够有效检测出基于自相似Hurst系数方法不能检测的弱异常以及未明显影响Hurst系数变化的异常流。 　　?す丶?词：异常检测； 层叠模型； 小波变换模极大 　　?ぶ型挤掷嗪牛?TP393??08 文献标志码：A 　　 文章编号：1001?菠B3695(2008)09?菠B2839?菠B03 　　Network traffic anomaly detection method based on cascade model 　　LI Zong??lin, HU Guang??min, ZHOU Ru??qiang 　　 (Key Laboratory of Broadband Optical Fiber Transmission Communication Networks, University of Electronic Science Technology of China, Chengdu 610054, China) 　　Abstract: 　　Traffic modeling as one of the ways to describe the normal behavior of network traffic was used to detect anomaly. Due to the self??similar model and multi??fractal model were inherently unable to capture the nature of traffic data in all time scales. This paper proposed a novel anomaly detection method based on cascade model analysis to describe the characteristic of traffic data more accurately. By studying the influences of anomalous traffic on the estimation of cascade model through wavelet transform modulus maxima, defined a cumulative deviation to estimate abnormal behavior. The simulation results show that this method is more sensitive to small anomalous traffic than detection methods based on ??H?? parameter analysis, and can accurately detect the anomalies which will not cause the Hurst parameter change evidently. Therefore, it is suite for the early stage detection of anomaly traffic. 　　??Key words：anomaly detection; cascade model; wavelet transform modulus maxima(WTMM) 　　 　　0 引言?? 　　 　　网络流量的正常行为模式描述，对流量异常检测至关重要，为后期判断流量是否偏离正常提供依据。作为描述流量行为模式的方法之一，网络流量建模采用流量模型来刻画流量的变化，通过判断当前流量是否符合流量模型检测异常。?? 　　文献[1]的研究表明，流量具有自相似特性，自相似模型较传统的泊松模型等更适合描述网络流量，流量的负载变化会影响其统计特性，从而导致该模型中表征流量突发特性的??H??(Hurst)系数发生变化。学者们在异常流量对??H??系数的影响方面作了大量研究，提出了对流量建立自相似模型，根据??H??系数变化程度检测异常的方法。如小波[2，3]、方差时间法[4]分别采用不同的方法计算??H??系数，分析??H