基于Netflow的網(wǎng)絡(luò)異常流量發(fā)現(xiàn)的研究與實(shí)現(xiàn).pdf

1、目前,網(wǎng)絡(luò)的演進(jìn)方向是IP化。隨著網(wǎng)絡(luò)的發(fā)展和業(yè)務(wù)的推動(dòng),大多數(shù)業(yè)務(wù)都被遷移到IP網(wǎng)絡(luò)上來。在全I(xiàn)P網(wǎng)絡(luò)承載越來越多的業(yè)務(wù)的同時(shí),網(wǎng)絡(luò)安全問題也層出不斷,網(wǎng)絡(luò)中出現(xiàn)了越來越多的異常流量。異常流量的檢測(cè)也就隨之成為了網(wǎng)絡(luò)運(yùn)營(yíng)商關(guān)注的重點(diǎn)對(duì)象。通過對(duì)網(wǎng)絡(luò)流量檢測(cè)可以及時(shí)的發(fā)現(xiàn)網(wǎng)絡(luò)問題,采取對(duì)應(yīng)措施保證網(wǎng)絡(luò)的正常運(yùn)行。隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大,網(wǎng)絡(luò)流量呈指數(shù)級(jí)增加,傳統(tǒng)的基于數(shù)據(jù)包和字節(jié)數(shù)的檢測(cè)技術(shù)變得不堪重負(fù)。隨之,基于流的異常檢測(cè)應(yīng)時(shí)而出。Ci

2、sco公司提出了Netflow技術(shù)。Netflow技術(shù)以流為基礎(chǔ)進(jìn)行統(tǒng)計(jì),提供多粒度的流量分析,是進(jìn)行異常流量檢測(cè)的最佳選擇。
　　 本文在分析以往基于Netflow的異常檢測(cè)技術(shù)選取的指標(biāo)和算法的基礎(chǔ)上,對(duì)校園網(wǎng)絡(luò)流量的Netflow數(shù)據(jù)進(jìn)行了長(zhǎng)期多視角、多粒度的分析,并提出了利用融合指標(biāo)和融合指標(biāo)時(shí)間窗比較算法進(jìn)行異常發(fā)現(xiàn)的新方法。融合指標(biāo)主要反映了網(wǎng)絡(luò)流的特點(diǎn),去除了網(wǎng)絡(luò)流量的非平穩(wěn)因素;融合指標(biāo)時(shí)間窗比較算法分為縱向和橫

3、向的比較,縱向的比較是分析融合指標(biāo)的長(zhǎng)期變化趨勢(shì),橫向比較是分析融合指標(biāo)的短期變化趨勢(shì)。
　　 本文利用融合指標(biāo)和融合指標(biāo)時(shí)間窗比較算法設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于Netflow的異常發(fā)現(xiàn)系統(tǒng)。整個(gè)異常發(fā)現(xiàn)系統(tǒng)包括數(shù)據(jù)采集,數(shù)據(jù)處理和異常檢測(cè)三個(gè)模塊,數(shù)據(jù)采集模塊負(fù)責(zé)Netflow數(shù)據(jù)的采集,并對(duì)數(shù)據(jù)庫做優(yōu)化處理;數(shù)據(jù)處理模塊對(duì)Netflow數(shù)據(jù)進(jìn)行裁剪,只保留異常檢測(cè)所需字段;異常檢測(cè)模塊主要包括檢測(cè)指標(biāo)的提取,融合指標(biāo)時(shí)間窗檢測(cè)算法