基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測(1)

1、中國工程物理研究院碩士學位申請論文獨創(chuàng)性聲明本人聲明所呈交的學位論文是本人在導師指導下進行的研究工作及取得的研究成果。據(jù)我所知，除了文中特別加以標注和致謝的地方外，論文中不包含其他人已經(jīng)發(fā)表成撰寫過的研究成果，也不包含為獲得中國工程物理研究院或其它教育機構(gòu)的學位或證書使用過的材料。與我一同工作的同志對本研究所做的任何貢獻均已在論文中作了明確的說明并表示謝意。學位論文作粵以參簽字日期夕豸年6月名日學位論文版權(quán)使用授權(quán)書本學位論文作者完全了

2、解并接受中國工程物理研究院研究生部有關(guān)保存、使用學位論文的規(guī)定，允許論文被查閱、借閱和送交國家有關(guān)部門或機構(gòu)，同時授權(quán)中國工程物理研究院研究生部可以將學位論文全部或部分內(nèi)容編入有關(guān)數(shù)據(jù)庫進行檢索，可以影印、縮印或掃描等復制手段保存、匯編學位論文。學位論文作者簽名：簽字日期：弦曙年6以勇店日聊躲弛簽字日期：加爭年6月∥日摘要摘要近些年來，隨著計算機網(wǎng)絡(luò)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用經(jīng)歷了從傳統(tǒng)的Web、Ftp、Mail等業(yè)務(wù)為主導到以P2P為主導的

3、變化，同時伴隨著網(wǎng)絡(luò)流量成倍的增大。這些變化加大了網(wǎng)絡(luò)管理的難度，尤其是對高速流量的實時處理和對采用動態(tài)端口的應(yīng)用層協(xié)議識別方面。如何識別出高速網(wǎng)絡(luò)流量中包含的異常流量一直是一個具有挑戰(zhàn)性的問題，這些異常流量可以是網(wǎng)絡(luò)攻擊，諸如Dos、蠕蟲病毒等所產(chǎn)生；也可能是網(wǎng)絡(luò)的配置變更或失效；以及FlashCrowds等等。及時地識別這些異常流量對網(wǎng)絡(luò)的正常運營有重要意義，但是僅僅依靠SNMP所提供的信息是不夠的，另一方面，網(wǎng)絡(luò)流量如此之大以至于

4、基于數(shù)據(jù)包地實時監(jiān)控變得非常困難。對于此，本文提出了基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測方法。采用分布式結(jié)構(gòu)可以對流量進行負載均衡，同時還可以解決非對稱路由等問題。管理的對象不是數(shù)據(jù)包而是流，流包含了如源、目的口地址、源、目的端口、流量、傳輸層協(xié)議等等。流由硬件設(shè)備以UDP數(shù)據(jù)包的方式導出，如思科的NetFlow、華為的NetStream等等。在管理端收集流以后，首先進行應(yīng)用層協(xié)議的識別。當前的網(wǎng)絡(luò)流量P2P占據(jù)過半，而P2P又存在私有協(xié)議和

5、動態(tài)端口的特性，因而流量識別的方法好壞主要取決于對P2P的識別。本文采用的方法是基于流信息的識別，通過對協(xié)議進行分類，同一類別的協(xié)議存在一些共同的特征，利用這些特征進行識別，然后根據(jù)協(xié)議類別進行統(tǒng)計得到各類協(xié)議的流量時間序列，為異常檢測提供支持。傳統(tǒng)的異常流量檢測方法主要是通過對流量建立一個可信的范圍，超過可信范圍的流量可視為異常，這種方法容易實現(xiàn)但誤報率很高。另一種識別途徑就是利用信號分析的有力工具一小波變換進行處理，它是基于這樣一個

6、觀察，即在發(fā)生異常的地方往往伴隨著頻率的突變。本文采用的方法是基于協(xié)議分類的流量和總體流量相結(jié)合的方法?；趨f(xié)議統(tǒng)計的方法無疑比僅僅基于總體流量的方法更為有效，尤其是在對DoS的識別上。在進行異常判定的時候采用小波與時間序列預(yù)測同自相關(guān)相結(jié)合的方法，小波從頻域上識別，而后者則在時域內(nèi)進行識別。基于時間序列的預(yù)測方法它考慮到了周期的影響，而基于自相關(guān)的方法能對周期內(nèi)的流量進行有效分析。文中最后給出了基于Darpal999年數(shù)據(jù)的實驗結(jié)果，