基于流量測量的高速IP網(wǎng)絡(luò)異常檢測技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)帶寬的“階躍式”提升，針對網(wǎng)絡(luò)安全的流量攻擊事件愈發(fā)頻繁，攻擊方式愈發(fā)隱蔽，對網(wǎng)絡(luò)正常運(yùn)行造成了極大的危害。如何快速實(shí)現(xiàn)高速IP網(wǎng)絡(luò)的流量測量與異常檢測行為分析對提高網(wǎng)絡(luò)健壯性，掌握網(wǎng)絡(luò)行為結(jié)構(gòu)，促進(jìn)網(wǎng)絡(luò)體系結(jié)構(gòu)的蓬勃發(fā)展具有重要意義。本文依托國家863計(jì)劃專項(xiàng)——“面向三網(wǎng)融合的統(tǒng)一安全管控網(wǎng)絡(luò)”，重點(diǎn)研究網(wǎng)絡(luò)異常檢測技術(shù)，設(shè)計(jì)了一種基于流量測量的分級異常流檢測方案。該方案首先通過基于流數(shù)估計(jì)的網(wǎng)絡(luò)安全態(tài)勢感知算法判定是否存在

2、網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)，進(jìn)而采用基于自適應(yīng)抽樣的異常流選擇性抽樣算法選取“有代表性”的異常流敏感數(shù)據(jù)，最后使用基于神經(jīng)網(wǎng)絡(luò)分類器的機(jī)器學(xué)習(xí)算法訓(xùn)練檢測模型，并對選取的流量做出精細(xì)化檢測。該方案通過逐級處理機(jī)制大幅提升了系統(tǒng)計(jì)算資源的利用效率，檢測效果優(yōu)于傳統(tǒng)方案，在檢測精度和誤報(bào)率方面都有不同程度的提升。具體而言，論文主要研究成果如下：
　　1.提出一種基于流數(shù)估計(jì)的網(wǎng)絡(luò)安全態(tài)勢感知算法，從網(wǎng)絡(luò)流量分布的重尾特性出發(fā)，對原始流量進(jìn)行大小流區(qū)

3、分估計(jì)，通過迭代估計(jì)流長分布中占主要成分的小流，解決了傳統(tǒng)算法只注重提高迭代精度而忽視迭代更新速度的問題，快速實(shí)現(xiàn)對全網(wǎng)安全的粗粒度感知檢測，較現(xiàn)有測量算法性能提高約25％。
　　2.針對現(xiàn)有流量測量算法存在流量特征估計(jì)誤差偏高和異常流量抽樣能力偏弱的缺陷，提出一種基于業(yè)務(wù)流已抽樣長度與完全抽樣閾值S的自適應(yīng)流抽樣算法，該算法測量時(shí)根據(jù)完全抽樣閾值S以概率1精細(xì)化抽樣與異常流量強(qiáng)相關(guān)的流長度s≤S的業(yè)務(wù)流量，對流長度s＞S的業(yè)務(wù)流

4、根據(jù)已抽樣報(bào)文數(shù)自適應(yīng)調(diào)整抽樣概率函數(shù)P(s)。仿真結(jié)果表明，抽樣流量中包含75%以上的所有異常流量，測量估計(jì)誤差上界降低30%以上，有助于提高檢測系統(tǒng)的準(zhǔn)確率。
　　3.針對當(dāng)前異常流量檢測特征維度偏高，檢測算法易陷入局部最優(yōu)解等問題，提出一種基于特征選擇方法與神經(jīng)網(wǎng)絡(luò)分類器的網(wǎng)絡(luò)流量異常檢測模型。該模型采用MMIFS(Modified Mutual information-based Feature Selection alg