基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測(cè)(1)

1、中國(guó)工程物理研究院碩士學(xué)位申請(qǐng)論文獨(dú)創(chuàng)性聲明本人聲明所呈交的學(xué)位論文是本人在導(dǎo)師指導(dǎo)下進(jìn)行的研究工作及取得的研究成果。據(jù)我所知，除了文中特別加以標(biāo)注和致謝的地方外，論文中不包含其他人已經(jīng)發(fā)表成撰寫過的研究成果，也不包含為獲得中國(guó)工程物理研究院或其它教育機(jī)構(gòu)的學(xué)位或證書使用過的材料。與我一同工作的同志對(duì)本研究所做的任何貢獻(xiàn)均已在論文中作了明確的說明并表示謝意。學(xué)位論文作粵以參簽字日期夕豸年6月名日學(xué)位論文版權(quán)使用授權(quán)書本學(xué)位論文作者完全了

2、解并接受中國(guó)工程物理研究院研究生部有關(guān)保存、使用學(xué)位論文的規(guī)定，允許論文被查閱、借閱和送交國(guó)家有關(guān)部門或機(jī)構(gòu)，同時(shí)授權(quán)中國(guó)工程物理研究院研究生部可以將學(xué)位論文全部或部分內(nèi)容編入有關(guān)數(shù)據(jù)庫進(jìn)行檢索，可以影印、縮印或掃描等復(fù)制手段保存、匯編學(xué)位論文。學(xué)位論文作者簽名：簽字日期：弦曙年6以勇店日聊躲弛簽字日期：加爭(zhēng)年6月∥日摘要摘要近些年來，隨著計(jì)算機(jī)網(wǎng)絡(luò)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用經(jīng)歷了從傳統(tǒng)的Web、Ftp、Mail等業(yè)務(wù)為主導(dǎo)到以P2P為主導(dǎo)的

3、變化，同時(shí)伴隨著網(wǎng)絡(luò)流量成倍的增大。這些變化加大了網(wǎng)絡(luò)管理的難度，尤其是對(duì)高速流量的實(shí)時(shí)處理和對(duì)采用動(dòng)態(tài)端口的應(yīng)用層協(xié)議識(shí)別方面。如何識(shí)別出高速網(wǎng)絡(luò)流量中包含的異常流量一直是一個(gè)具有挑戰(zhàn)性的問題，這些異常流量可以是網(wǎng)絡(luò)攻擊，諸如Dos、蠕蟲病毒等所產(chǎn)生；也可能是網(wǎng)絡(luò)的配置變更或失效；以及FlashCrowds等等。及時(shí)地識(shí)別這些異常流量對(duì)網(wǎng)絡(luò)的正常運(yùn)營(yíng)有重要意義，但是僅僅依靠SNMP所提供的信息是不夠的，另一方面，網(wǎng)絡(luò)流量如此之大以至于

4、基于數(shù)據(jù)包地實(shí)時(shí)監(jiān)控變得非常困難。對(duì)于此，本文提出了基于流技術(shù)的分布式網(wǎng)絡(luò)異常檢測(cè)方法。采用分布式結(jié)構(gòu)可以對(duì)流量進(jìn)行負(fù)載均衡，同時(shí)還可以解決非對(duì)稱路由等問題。管理的對(duì)象不是數(shù)據(jù)包而是流，流包含了如源、目的口地址、源、目的端口、流量、傳輸層協(xié)議等等。流由硬件設(shè)備以UDP數(shù)據(jù)包的方式導(dǎo)出，如思科的NetFlow、華為的NetStream等等。在管理端收集流以后，首先進(jìn)行應(yīng)用層協(xié)議的識(shí)別。當(dāng)前的網(wǎng)絡(luò)流量P2P占據(jù)過半，而P2P又存在私有協(xié)議和

5、動(dòng)態(tài)端口的特性，因而流量識(shí)別的方法好壞主要取決于對(duì)P2P的識(shí)別。本文采用的方法是基于流信息的識(shí)別，通過對(duì)協(xié)議進(jìn)行分類，同一類別的協(xié)議存在一些共同的特征，利用這些特征進(jìn)行識(shí)別，然后根據(jù)協(xié)議類別進(jìn)行統(tǒng)計(jì)得到各類協(xié)議的流量時(shí)間序列，為異常檢測(cè)提供支持。傳統(tǒng)的異常流量檢測(cè)方法主要是通過對(duì)流量建立一個(gè)可信的范圍，超過可信范圍的流量可視為異常，這種方法容易實(shí)現(xiàn)但誤報(bào)率很高。另一種識(shí)別途徑就是利用信號(hào)分析的有力工具一小波變換進(jìn)行處理，它是基于這樣一個(gè)

6、觀察，即在發(fā)生異常的地方往往伴隨著頻率的突變。本文采用的方法是基于協(xié)議分類的流量和總體流量相結(jié)合的方法?；趨f(xié)議統(tǒng)計(jì)的方法無疑比僅僅基于總體流量的方法更為有效，尤其是在對(duì)DoS的識(shí)別上。在進(jìn)行異常判定的時(shí)候采用小波與時(shí)間序列預(yù)測(cè)同自相關(guān)相結(jié)合的方法，小波從頻域上識(shí)別，而后者則在時(shí)域內(nèi)進(jìn)行識(shí)別。基于時(shí)間序列的預(yù)測(cè)方法它考慮到了周期的影響，而基于自相關(guān)的方法能對(duì)周期內(nèi)的流量進(jìn)行有效分析。文中最后給出了基于Darpal999年數(shù)據(jù)的實(shí)驗(yàn)結(jié)果，