一种IP可追踪性的网络流量异常检测方法

摘要：

提出了一种支持IP可追踪性的网络流量异常检测方法。该方法实时记录网络数据流信息到概要数据结构，然后每隔一定周期进行异常检测。采用EWMA预测模型预测每一周期的预测值，计算观测值与预测值之间的差异sketch，然后基于差异sketch采用均值均方差建立网络流量变化参考模型。该方法能够检测DDoS、扫描等攻击行为，并能追踪发生异常的流中的IP地址。通过试验验证，该方法占用很少的计算和存储资源，能检测骨干网络流量中的异常IP地址。

关键词： 异常检测 概要数据结构 EWMA 均值均方差 网络流量

作者: 王明华 周渊 李爱平 张冰 罗娜

作者单位: 国家计算机网络应急技术处理协调中心，北京，100029 国防科技大学计算机学院，长沙，410073

会议类型: 国内会议

会议名称: 第六届中国信息和通信安全学术会议(CCICS”2009)

会议地点: 南京

会议语种:中文

页码: 443-446

在线出版日期: 2009-05-30（万方平台首次上网日期，不代表论文的发表时间）