網(wǎng)絡應用流行為分析與異常檢測方法研究.pdf

1、很多大型企事業(yè)單位都有自己的內部網(wǎng)絡，該網(wǎng)絡除了承載一般的網(wǎng)絡應用外，還承載著企業(yè)內部的私有網(wǎng)絡應用。以校園網(wǎng)為例，校園網(wǎng)包括了財務系統(tǒng)、科研管理系統(tǒng)、學生管理系統(tǒng)、選課系統(tǒng)、協(xié)同辦公系統(tǒng)等應用。企事業(yè)單位內部網(wǎng)絡各項應用的穩(wěn)定運行對其業(yè)務的正常發(fā)展至關重要。
　　現(xiàn)有的網(wǎng)絡管理工具主要依靠NetFlow及SNMP協(xié)議信息對網(wǎng)絡節(jié)點及鏈路的狀況進行監(jiān)控和分析，缺乏一種行之有效的方法來對特定網(wǎng)絡應用的運行狀況進行監(jiān)控與異常檢測。為此

2、本文采用基于內部網(wǎng)絡應用流連接行為分析與基于統(tǒng)計特征分析的應用流行為異常檢測方法全面的對于內部網(wǎng)絡特定應用流行為進行異常檢測。
　　本文的創(chuàng)新和主要工作如下：
　?。?）采用信息熵與流連接密度相結合的內部網(wǎng)絡特定應用流連接行為二次異常判定方法，利用信息熵與流連接密度對于內部網(wǎng)絡特定應用流連接的集中程度進行表征，通過各時間點信息熵值變化發(fā)現(xiàn)異常并得到異常時間窗，再根據(jù)異常時間窗內各時間點的流連接密度波動值與時間窗內流連接密度平

3、均波動值的比值進行二次異常判定，定位異常時間點并發(fā)現(xiàn)異常時間點內異常源IP地址、目的IP地址以及IP地址對。
　?。?）根據(jù)應用流量的統(tǒng)計特征，利用內部網(wǎng)絡服務器端特定應用流量歷史統(tǒng)計數(shù)據(jù)建立了表征正常應用流行為的Hurst系數(shù)經(jīng)驗模型，提出了利用網(wǎng)絡流量自相似性對同一時間片的歷史應用流量進行Hurst系數(shù)異常檢測置信區(qū)間的劃定，達到了對異常應用流行為引起的異常流量突變的準確檢測以及防止對正常應用流行為導致的正常流量突變誤檢的目的