一種低存儲(chǔ)消耗的超點(diǎn)檢測(cè)算法研究.pdf

1、超點(diǎn)是在一個(gè)測(cè)量區(qū)間內(nèi)鏈接了大量源IP(宿IP)的宿IP(源IP),買(mǎi)時(shí)超點(diǎn)檢測(cè)對(duì)網(wǎng)絡(luò)安全和管理具有重要意義。網(wǎng)絡(luò)中的許多安全事件,如分布式拒絕服務(wù)攻擊(DDoS)、蠕蟲(chóng)病毒、端口掃描等都具有類(lèi)似的行為特征,這些攻擊的共同特點(diǎn)是源IP(宿IP)發(fā)送或接收到大量來(lái)自不同宿IP(源IP))的鏈接,這些事件都屬于超點(diǎn)檢測(cè)問(wèn)題。
　　 盡管已有一些超點(diǎn)檢測(cè)的算法,但它們存在內(nèi)存空間消耗較大或測(cè)量精度不高的問(wèn)題。本文提出了一種新的檢測(cè)超點(diǎn)

2、的算法SuperpointTrap,它最根本的特點(diǎn)是內(nèi)存消耗少,可以在速度快容量小的內(nèi)存中運(yùn)行(如SRAM)。它的有效性來(lái)自于一個(gè)新的存儲(chǔ)數(shù)據(jù)的結(jié)構(gòu)Cache。對(duì)于每個(gè)流,在Cache中只用一個(gè)比特位來(lái)記錄它的信息,這個(gè)比特所在行位置由此流的源IP確定,列位置由此流的目的IP確定。當(dāng)Cache中存儲(chǔ)的流數(shù)目超過(guò)閾值時(shí),判定該主機(jī)為超點(diǎn),輸出該主機(jī)的源IP,并清空它所在Cache中的信息,這樣方便存儲(chǔ)后到的報(bào)文,而且還節(jié)省了內(nèi)存空間。為了

3、進(jìn)一步降低算法的錯(cuò)誤否定率,本文還提出了兩種改進(jìn)算法:P-SuperpointTrap算法和BF-SuperpointTrap算法,并對(duì)以上三種算法進(jìn)行了理論分析。
　　 本文對(duì)這三種算法采用不同數(shù)據(jù)源的Trace進(jìn)行實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果表明,SuperpointTrap超點(diǎn)檢測(cè)算法不僅節(jié)省了內(nèi)存空間,還可以準(zhǔn)確、高效地檢測(cè)出超點(diǎn)的信息。而且通過(guò)與SuperpointTrap進(jìn)行結(jié)果對(duì)比,兩種改進(jìn)的算法也可以進(jìn)一步地降低算法的錯(cuò)誤否定