基于動(dòng)態(tài)閾值的網(wǎng)絡(luò)流量異常檢測方法研究與實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和網(wǎng)絡(luò)規(guī)模日益擴(kuò)大,網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和網(wǎng)絡(luò)設(shè)備日趨復(fù)雜,承載的業(yè)務(wù)種類也逐漸增多,這些都使網(wǎng)絡(luò)中出現(xiàn)故障或遭受攻擊的可能性大大增加,網(wǎng)絡(luò)檢測面臨更大的挑戰(zhàn)。網(wǎng)絡(luò)檢測的目的是通過對(duì)網(wǎng)絡(luò)運(yùn)行情況的連續(xù)檢測,及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中的異常,當(dāng)網(wǎng)絡(luò)中出現(xiàn)異常時(shí)能夠及時(shí)發(fā)出報(bào)警通知,以提醒網(wǎng)管人員采取必要措施,減弱異常帶來的損害。網(wǎng)絡(luò)異常檢測是網(wǎng)絡(luò)監(jiān)測中的關(guān)鍵部分,能否正確、及時(shí)地檢測出網(wǎng)絡(luò)異常對(duì)于提高網(wǎng)絡(luò)的可用性和可靠性具有重要的意義。

2、r>　　 本文研究了網(wǎng)絡(luò)流量異常檢測的方法,針對(duì)網(wǎng)絡(luò)異常閾值、流量模型的建立中存在的問題以及如何根據(jù)所采集網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行檢測進(jìn)行了分析并提出了解決方法。
　　 本文首先研究了基于閾值的異常檢測算法,對(duì)靜態(tài)閾值存在的問題進(jìn)行了分析,并提出一種以多點(diǎn)檢測異常統(tǒng)計(jì)量為基礎(chǔ)的自適應(yīng)閾值算法。該算法不僅考慮了當(dāng)前檢測點(diǎn)對(duì)正常歷史流量的偏離狀況,也考慮了網(wǎng)絡(luò)的動(dòng)態(tài)變化給異常檢測帶來的影響,由于當(dāng)異常發(fā)生時(shí)會(huì)在多個(gè)檢測點(diǎn)檢測到異常,因此通過多

3、點(diǎn)異常統(tǒng)計(jì)量來作為判定是否報(bào)警的決策量,并且動(dòng)態(tài)調(diào)整單點(diǎn)檢測的異常判定閾值,能夠較好的定義并量化流量異常,為后面的異常檢測算法研究打下了良好的基礎(chǔ)。
　　 網(wǎng)絡(luò)正常流量模型的建立對(duì)異常檢測算法的檢測效率有著重要影響,常用的預(yù)測模型為回歸模型。針對(duì)回歸預(yù)測模型應(yīng)用于網(wǎng)絡(luò)流量中的缺點(diǎn),創(chuàng)新性地將指數(shù)平滑模型和小波變換結(jié)合起來,通過小波變換削弱時(shí)間序列中隨機(jī)變化的部分,為流量模型的建立創(chuàng)造了良好的條件。自適應(yīng)三次指數(shù)平滑模型無需大量歷

4、史數(shù)據(jù)即可擬合模型參數(shù),并可隨時(shí)間動(dòng)態(tài)調(diào)整自身參數(shù),能夠較好的適應(yīng)網(wǎng)絡(luò)流量的多變性特征,使異常檢測達(dá)到較好的效果。
　　 網(wǎng)絡(luò)流量的采集即通過哪些特征量來表示網(wǎng)絡(luò)流量,對(duì)于網(wǎng)絡(luò)異常檢測空間、時(shí)間開銷以及檢測結(jié)果的精確性都起著決定性的作用。為了實(shí)現(xiàn)可溯源的異常檢測,本文提出了一種基于概要數(shù)據(jù)結(jié)構(gòu)的異常檢測算法,對(duì)異常流量與正常流量的分布狀況的差異提出一種基于KL距離的衡量方法,算法由于通過逐點(diǎn)計(jì)算距離,并通過這些距離來判斷異常,使