網間IP流量行為分析與關系發(fā)現(xiàn).pdf

1、互聯(lián)網是一個由數(shù)以百萬計的本地網絡組成的全球性網絡，承載著廣泛的信息資源與和服務。在網絡空間中運作的系統(tǒng)和網絡存在安全漏洞，給使用它們的個人、組織與國家?guī)戆踩L險。互聯(lián)網威脅是各國面臨的最嚴重的經濟和安全挑戰(zhàn)之一。安全研究人員提出了各種的策略，以減少網絡威脅的影響，提高抵御網絡攻擊的能力。這其中的一個關鍵是對攻擊準確而及時的發(fā)現(xiàn)，因此防御方的角色中包括復雜的認知任務。
　　種類繁多的安全、監(jiān)控和分析工具被用于檢測網絡滲透和分析網

2、絡性能，例如防病毒軟件，防火墻，日志審計工具，基于主機和基于網絡的入侵檢測系統(tǒng)IDS，低交互和高交互的蜜罐系統(tǒng)，通用和專用的蜜罐系統(tǒng)，網絡流量分析工具等等。這些不同來源的安全工具產生的海量數(shù)據(jù)使得網絡安全工程師越來越更難以處理。同時人們也意識到，依賴單一工具是不足以保護網絡使其免遭各種威脅?；诔掷m(xù)監(jiān)控和所得的安全警報事件，網絡安全態(tài)勢感知NSSA提供了高層次的安全視圖，可以有能力依據(jù)這些安全事件之間的多維度關聯(lián)來確定計算機網絡的總體安

3、全狀態(tài)。本文的貢獻在于為建立IP信息數(shù)據(jù)庫提供了關于網絡流量行為的背景信息，以支持網絡安全態(tài)勢感知。這種IP信息有助于預測網絡安全的變化趨勢。論文研究了IP主機行為輪廓建立(Profiling)和分簇問題，目的在于標識出主機流量行為中主要的和持續(xù)性的部分，借以構成主機的行為輪廓，分析具有相似行為的主機群組。這將豐富IP特性數(shù)據(jù)庫的內容，支持網絡安全態(tài)勢感知在覺察階段和理解階段的研究工作。
　　IP行為輪廓的建立基于所觀察到的最顯著

4、活躍的IP地址的流量模式。論文提出了一種算法來提取用于分析的最顯著IP節(jié)點，避免了對全部流量中數(shù)以百萬計的IP節(jié)點進行全部分析（數(shù)據(jù)壓縮）。論文討論了主機通信行為模式的特征，這些特征可用于描述主機的行為特征以建立主機行為輪廓。論文從抽取或計算了15個有關IP地址流量行為的流量模式，作為特征用于之后的數(shù)據(jù)聚類處理。論文以選定的IP地址進行了相對較長時間范圍內的流量數(shù)據(jù)分析，以便提取其更為穩(wěn)定的主機流量行為。以往的研究都集中在相對較短時間粒

5、度的主機行為觀察上，論文選擇以一個小時作為一個時間粒度，這意味著限定時間內一個粒度內需要處理更多的流量數(shù)據(jù)。
　　論文研究了可表示管理域內網絡主機與外部IP網絡主機之間的社會關系的IP地址之間關系問題。論文方法的起點是將整個IP地址空間分割成為內部（被管域內）和外部（網絡外）兩部分。聚類的策略是將有共同外部IP地址作為通信對端的內部IP地址定義一個群組，兩個內部IP地址的相似性測度是兩者擁有的相同的對端外部IP地址數(shù)量。論文提出用

6、了一種使用近似算法的新方法，可在大規(guī)模的被管理域中發(fā)現(xiàn)存在的社區(qū)結構，該方法基于二部圖方法，單模式投影和相似圖的圖形分割方法。將從實際的管理域邊界路由器采集NetFlow數(shù)據(jù)集中包含的IP地址按內部地址空間和外部地址空間構造二部圖，然后使用單模式投影方法構建內部IP地址社會關系的相似圖。論文設計了一個新的社區(qū)檢測算法來檢測具有類似行為的社區(qū)。論文通過應用深度流檢測(DFI)方法和深度數(shù)據(jù)包檢測(DPI)方法對理論計算結果進行了實驗驗證，