TCP宏觀平衡性研究.pdf

1、本論文通過對 TCP 協(xié)議交互的過程分析，定義了評價 TCP 宏觀平衡性的測度體系，這些測度集從 TCP 的連接建立、拆除和數(shù)據(jù)傳輸三個過程對TCP的宏觀平衡性進(jìn)行了刻畫。通過分析幾種典型的 TCP 宏觀異常行為對測度的影響，證明了這些測度可以作為評價 TCP 宏觀行為的有效工具。 論文通過對 TCP 交互的長度分布模型和到達(dá)模型等的分析，得到了TCP 宏觀平衡性在不同時間粒度下的測量誤差模型，發(fā)現(xiàn)時間粒度的選擇與測量誤差間近

2、似符合對數(shù)線性關(guān)系，另外誤差模型還與網(wǎng)絡(luò)里 TCP 流的RTT分布和流內(nèi)報文到達(dá)延時有關(guān)。對誤差模型的理論分析、模擬、仿真表明，選擇5-10min作為測量的時間粒度對于大多數(shù)測量的精度而言是可以接受的。 根據(jù)上述測量誤差模型，選擇恰當(dāng)?shù)臅r間粒度，以 TCP 協(xié)議標(biāo)準(zhǔn)規(guī)定的超時上限作為正常 TCP 交互的RTT和流內(nèi)報文到達(dá)延時的極限，可以得到各種 TCP 宏觀平衡性測度的正常取值的極限，并以此可確定用于評價 TCP 宏觀平衡性

3、的測度及其正常/異常判斷的閾值。論文針對交互的次數(shù)一般不大于2的短流情形，例如路由循環(huán)發(fā)生時TCP的工作狀態(tài)，基于TCP的大規(guī)模掃描，DDoS攻擊和蠕蟲擴(kuò)散等，定義了對應(yīng)的短流模型來確定時間粒度和正常/異常判斷的標(biāo)準(zhǔn)。給出的實(shí)例分析表明，TCP宏觀平衡性能夠從TCP連接建立到拆除的各個不同的階段宏觀地評價TCP的工作狀態(tài),并能檢測TCP宏觀異常行為的發(fā)生時間。 論文通過對hash函數(shù)聚類特征的分析，給出了利用hash函數(shù)聚類后

4、TCP宏觀平衡性，發(fā)現(xiàn)對不同的 TCP 控制報文進(jìn)行相同的聚類變換后， TCP 宏觀平衡性保持不變。特別地，在使用Bloom Filter對TCP五元組進(jìn)行聚類后，不同 TCP 控制報文在相同hash函數(shù)的同-hash串的命中率之間也應(yīng)該遵循 TCP 宏觀平衡性，此即 TCP 宏觀平衡性的聚類不變性。 論文通過對Bloom Filter的誤差分析，放寬hash函數(shù)對映射均勻性的要求，使得hash函數(shù)可以使用任意類型的映射。選擇

5、源串的部分比特位作為hash函數(shù)的過程讓hash函數(shù)帶有源串的語義特征；這種直接比特映射的hash函數(shù)(DBSM)由于其hash串的比特來自于源串的比特，從hash串逆向推導(dǎo)源串的過程很直觀。在確定兩個由不同hash函數(shù)產(chǎn)生的hash串來自于同一個源串后，這兩個hash串可以組成更長的hash串，反映了源串更多的信息。利用DBSM在hash串間重復(fù)上面的過程，可得到源串的所有比特。 論文建立了著色過程的概念，它利用兩個hash

6、函數(shù)間具有相同著色的特點(diǎn)來確定兩個不同hash函數(shù)產(chǎn)生的hash串是否來自于同一個源串，即確定兩個hash串是否同源，在商集映射的視角下發(fā)現(xiàn)其具有較高的精度。通過hash函數(shù)的商集映射和著色過程的分析，論文提出了自然著色的概念，在使用DBSM的聚類過程中，保持兩個hash函數(shù)間有一定的比特串直接來自于原始比特串，即讓hash函數(shù)保持源串的“自然色”，同時也直觀地反映了源串部分比特的聚類狀態(tài)。在此基礎(chǔ)上論文提出基于自然著色聚類還原法的源串

7、聚類信息還原，充分利用自然著色過程的聚類特性和自然著色過程同源性判斷的優(yōu)勢，把具有相同聚類特征的源串的比特串間的關(guān)系通過數(shù)量和自然色的橋梁，合并為源串的聚類信息，完成從hash串構(gòu)成的存儲空間對源串的聚類信息的還原。而把‘TCP宏觀平衡性的聚類模型使用自然著色聚類進(jìn)行分析，利用活躍IP報文的Pareto分布特性，只需對少量Top N的hash串進(jìn)行自然著色聚類，就可以還原出TCP宏觀平衡性中占主導(dǎo)地位的各種成分的聚類信息。而這些主成份的

8、聚類信息仍然滿足TCP宏觀平衡性的要求，因此對這些主成分的聚類后的TCP宏觀平衡性的分析將反映網(wǎng)絡(luò)里主要TCP流量的宏觀平衡性。如果這些主成分被TCP宏觀平衡性測度斷定為異常，則這些聚類的信息就是異?；顒又鳈C(jī)的五元組的聚類，可以直接用來進(jìn)行異常行為阻止。 在實(shí)例中進(jìn)行的檢驗(yàn)表明，使用自然著色聚類還原的TCP宏觀平衡性能夠有效地揭示出各種TCP控制報文的聚類信息，間接反映網(wǎng)絡(luò)里TCP的宏觀狀態(tài)，可以用于網(wǎng)絡(luò)管理。對自然著色聚類還

9、原算法的復(fù)雜度分析表明，這個算法的時間和空間復(fù)雜度都接近于線性，并且由于只需分析Top N的數(shù)據(jù)，其規(guī)模非常小，適用于對時間和空間復(fù)雜度要求非常高的場合。 給出TCP宏觀平衡性和自然著色聚類還原的綜合應(yīng)用表明，TCP宏觀平衡性的理論和自然著色聚類還原工具對于檢測TCP宏觀異常行為如DDoS、掃描、蠕蟲擴(kuò)散、病態(tài)路由等非常有效。這些TCP宏觀異常的不同行為特征使得他們在TCP宏觀平衡性和自然著色聚類的框架下非常容易區(qū)分開來。而自