基于網(wǎng)絡流相關性的大規(guī)模網(wǎng)絡異常發(fā)現(xiàn)技術研究.pdf

1、隨著網(wǎng)絡規(guī)模的日益擴大，用于異常發(fā)現(xiàn)的傳統(tǒng)入侵檢測系統(tǒng)并不能簡單地應用到大規(guī)模的網(wǎng)絡環(huán)境中。基于報文級別的捕獲、還原、匹配的傳統(tǒng)入侵檢測系統(tǒng)效率無法滿足要求。而基于網(wǎng)絡流的分析是一種更自然的方式。以流行為的動態(tài)變化過程作為研究對象可以在更高的粒度上研究網(wǎng)絡本身的行為特征，是當前一個重要的研究方面。
　　本文主要研究了在大規(guī)模網(wǎng)絡背景下網(wǎng)絡流特征間的相關性并將其應用在異常發(fā)現(xiàn)中。在分析了網(wǎng)絡流量以及網(wǎng)絡流特征的基礎上提取了一些可以代

2、表網(wǎng)絡狀況的特征。在此基礎之上提出了兩種相關性分析方法，并通過實驗驗證了兩種方法的有效性。
　　為了提高攻擊報文的捕獲性能，在分析了攻擊報文大小分布和小報文在正常數(shù)據(jù)中的比例分布的基礎上，本文提出了基于小報文閾值的自適應采樣算法，監(jiān)測小報文的變化情況動態(tài)地調(diào)整采樣策略，更多地捕獲攻擊報文，為后期的分析和處理打下良好的基礎。
　　第一種相關性分析是基于主成分的相關性分析方法，通過抽象化網(wǎng)絡流以及網(wǎng)絡當前狀況，定義了網(wǎng)絡流模式，

3、并且使用主成分分析的方法研究網(wǎng)絡流之間的相關性。通過主成分宏觀分析和微觀分析，該方法很好地分析了流量內(nèi)部微觀的行為和關系，很好地區(qū)分了正常網(wǎng)絡流和異常網(wǎng)絡流在相關性上的不同，為異常發(fā)現(xiàn)提供了新的思路。
　　第二種相關性分析是網(wǎng)絡流多特征相似度分析，定義了多特征相似度的概念和計算方法，研究了正常行為和異常行為的多個特征在時間尺度上的相似性。通過實驗證實了該方法也能很好地區(qū)分不同的網(wǎng)絡行為，在此基礎之上提出了基于多特征相似度的異常檢測