一種低存儲消耗的超點檢測算法研究.pdf

1、超點是在一個測量區(qū)間內(nèi)鏈接了大量源IP(宿IP)的宿IP(源IP),買時超點檢測對網(wǎng)絡(luò)安全和管理具有重要意義。網(wǎng)絡(luò)中的許多安全事件,如分布式拒絕服務(wù)攻擊(DDoS)、蠕蟲病毒、端口掃描等都具有類似的行為特征,這些攻擊的共同特點是源IP(宿IP)發(fā)送或接收到大量來自不同宿IP(源IP))的鏈接,這些事件都屬于超點檢測問題。
　　 盡管已有一些超點檢測的算法,但它們存在內(nèi)存空間消耗較大或測量精度不高的問題。本文提出了一種新的檢測超點

2、的算法SuperpointTrap,它最根本的特點是內(nèi)存消耗少,可以在速度快容量小的內(nèi)存中運行(如SRAM)。它的有效性來自于一個新的存儲數(shù)據(jù)的結(jié)構(gòu)Cache。對于每個流,在Cache中只用一個比特位來記錄它的信息,這個比特所在行位置由此流的源IP確定,列位置由此流的目的IP確定。當(dāng)Cache中存儲的流數(shù)目超過閾值時,判定該主機為超點,輸出該主機的源IP,并清空它所在Cache中的信息,這樣方便存儲后到的報文,而且還節(jié)省了內(nèi)存空間。為了

3、進一步降低算法的錯誤否定率,本文還提出了兩種改進算法:P-SuperpointTrap算法和BF-SuperpointTrap算法,并對以上三種算法進行了理論分析。
　　 本文對這三種算法采用不同數(shù)據(jù)源的Trace進行實驗。實驗結(jié)果表明,SuperpointTrap超點檢測算法不僅節(jié)省了內(nèi)存空間,還可以準(zhǔn)確、高效地檢測出超點的信息。而且通過與SuperpointTrap進行結(jié)果對比,兩種改進的算法也可以進一步地降低算法的錯誤否定