網(wǎng)絡(luò)應(yīng)用流行為分析與異常檢測(cè)方法研究.pdf

1、很多大型企事業(yè)單位都有自己的內(nèi)部網(wǎng)絡(luò)，該網(wǎng)絡(luò)除了承載一般的網(wǎng)絡(luò)應(yīng)用外，還承載著企業(yè)內(nèi)部的私有網(wǎng)絡(luò)應(yīng)用。以校園網(wǎng)為例，校園網(wǎng)包括了財(cái)務(wù)系統(tǒng)、科研管理系統(tǒng)、學(xué)生管理系統(tǒng)、選課系統(tǒng)、協(xié)同辦公系統(tǒng)等應(yīng)用。企事業(yè)單位內(nèi)部網(wǎng)絡(luò)各項(xiàng)應(yīng)用的穩(wěn)定運(yùn)行對(duì)其業(yè)務(wù)的正常發(fā)展至關(guān)重要。
　　現(xiàn)有的網(wǎng)絡(luò)管理工具主要依靠NetFlow及SNMP協(xié)議信息對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)及鏈路的狀況進(jìn)行監(jiān)控和分析，缺乏一種行之有效的方法來對(duì)特定網(wǎng)絡(luò)應(yīng)用的運(yùn)行狀況進(jìn)行監(jiān)控與異常檢測(cè)。為此

2、本文采用基于內(nèi)部網(wǎng)絡(luò)應(yīng)用流連接行為分析與基于統(tǒng)計(jì)特征分析的應(yīng)用流行為異常檢測(cè)方法全面的對(duì)于內(nèi)部網(wǎng)絡(luò)特定應(yīng)用流行為進(jìn)行異常檢測(cè)。
　　本文的創(chuàng)新和主要工作如下：
　　（1）采用信息熵與流連接密度相結(jié)合的內(nèi)部網(wǎng)絡(luò)特定應(yīng)用流連接行為二次異常判定方法，利用信息熵與流連接密度對(duì)于內(nèi)部網(wǎng)絡(luò)特定應(yīng)用流連接的集中程度進(jìn)行表征，通過各時(shí)間點(diǎn)信息熵值變化發(fā)現(xiàn)異常并得到異常時(shí)間窗，再根據(jù)異常時(shí)間窗內(nèi)各時(shí)間點(diǎn)的流連接密度波動(dòng)值與時(shí)間窗內(nèi)流連接密度平

3、均波動(dòng)值的比值進(jìn)行二次異常判定，定位異常時(shí)間點(diǎn)并發(fā)現(xiàn)異常時(shí)間點(diǎn)內(nèi)異常源IP地址、目的IP地址以及IP地址對(duì)。
　　（2）根據(jù)應(yīng)用流量的統(tǒng)計(jì)特征，利用內(nèi)部網(wǎng)絡(luò)服務(wù)器端特定應(yīng)用流量歷史統(tǒng)計(jì)數(shù)據(jù)建立了表征正常應(yīng)用流行為的Hurst系數(shù)經(jīng)驗(yàn)?zāi)Ｐ停岢隽死镁W(wǎng)絡(luò)流量自相似性對(duì)同一時(shí)間片的歷史應(yīng)用流量進(jìn)行Hurst系數(shù)異常檢測(cè)置信區(qū)間的劃定，達(dá)到了對(duì)異常應(yīng)用流行為引起的異常流量突變的準(zhǔn)確檢測(cè)以及防止對(duì)正常應(yīng)用流行為導(dǎo)致的正常流量突變誤檢的目的