1、當(dāng)前網(wǎng)絡(luò)中存在著許多諸如網(wǎng)絡(luò)掃描、拒絕服務(wù)攻擊等以網(wǎng)絡(luò)入侵或網(wǎng)絡(luò)破壞為目的的網(wǎng)絡(luò)異常行為，嚴(yán)重影響了網(wǎng)絡(luò)的正常運(yùn)行。雖然目前已經(jīng)有了基于閥值過(guò)濾、特征匹配、統(tǒng)計(jì)檢測(cè)等網(wǎng)絡(luò)異常檢測(cè)方法，但這些方法主要專注于網(wǎng)絡(luò)異常的發(fā)現(xiàn)以及如何實(shí)現(xiàn)防護(hù)，對(duì)攻擊時(shí)刻、攻擊類型、攻擊行為發(fā)起主機(jī)地址等與網(wǎng)絡(luò)犯罪相關(guān)的數(shù)字證據(jù)關(guān)注較少。因此，探索出行之有效的網(wǎng)絡(luò)異常檢測(cè)與溯源方法，對(duì)網(wǎng)絡(luò)追蹤、網(wǎng)絡(luò)取證、打擊網(wǎng)絡(luò)犯罪，具有重要的理論意義和現(xiàn)實(shí)意義。
　　

2、 根據(jù)網(wǎng)絡(luò)流量在大時(shí)間尺度上的自相似性，以及在小時(shí)間尺度上異常流量、小波變換模極大值與Lipschitz（簡(jiǎn)稱李氏）正則性三者之間的關(guān)系，利用小波變換，提出了一種基于小波變換的網(wǎng)絡(luò)流量異常檢測(cè)與定位方法。該方法利用小波系數(shù)方差法求解Hurst 指數(shù)，并通過(guò)該指數(shù)的變化情況來(lái)判斷當(dāng)前網(wǎng)絡(luò)流量正常與否。在發(fā)現(xiàn)異常后，利用信號(hào)奇異性與李氏指數(shù)的關(guān)系，使用小波變換快速求解網(wǎng)絡(luò)流量的李氏指數(shù)，并通過(guò)李氏指數(shù)的變化情況來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)流量異常發(fā)生時(shí)刻定位

3、。
　　 同時(shí)，據(jù)研究發(fā)現(xiàn)，網(wǎng)絡(luò)流量中約有90%的流量為T(mén)CP（Transmission ControlProtocol）流。不難想象，TCP 流的任何微小變化都可能會(huì)對(duì)整個(gè)網(wǎng)絡(luò)產(chǎn)生巨大的影響。因此，在發(fā)現(xiàn)網(wǎng)絡(luò)流量存在異常，并定位異常發(fā)生時(shí)刻后，根據(jù)TCP協(xié)議，針對(duì)TCP 流，提出了一種基于相關(guān)系數(shù)矩陣的網(wǎng)絡(luò)異常行為檢測(cè)與分析的方法。該方法從TCP 連接建立和連接拆除報(bào)文的完整性入手，利用TCP 流不同類型報(bào)文在數(shù)量上的相關(guān)關(guān)系

4、，在不維護(hù)每個(gè)TCP 連接具體狀態(tài)的情況下使用相關(guān)系數(shù)矩陣對(duì)TCP流的健康性進(jìn)行宏觀評(píng)估。通過(guò)選擇恰當(dāng)?shù)慕y(tǒng)計(jì)時(shí)間粒度和樣本量，選取TCP 流中與TCP 連接建立和連接拆除相關(guān)的五種不同類型的報(bào)文作為觀察報(bào)文，根據(jù)各觀察報(bào)文彼此間在數(shù)量上的相關(guān)關(guān)系變化情況，結(jié)合常見(jiàn)的TCP 流異常行為對(duì)相關(guān)系數(shù)計(jì)算結(jié)果的影響，揭示出導(dǎo)致TCP 流發(fā)生異常的報(bào)文類型，進(jìn)而發(fā)掘出導(dǎo)致網(wǎng)絡(luò)行為異常的原因。
　　 在發(fā)現(xiàn)網(wǎng)絡(luò)流量存在異常，并判斷出異常發(fā)生

5、時(shí)間段、異常的報(bào)文以及異常行為的類型后，針對(duì)網(wǎng)絡(luò)傳輸層異常報(bào)文溯源的要求，提出了一種網(wǎng)絡(luò)傳輸層異常報(bào)文的溯源方法。該方法通過(guò)一種對(duì)標(biāo)準(zhǔn)Bloom Filter 改進(jìn)的方法—獨(dú)立哈希布魯姆過(guò)濾（Independent Hash Bloom Filter，IHBF）方法對(duì)異常報(bào)文的TCP 五元組信息進(jìn)行存儲(chǔ)和聚類分析。在挖掘出異常報(bào)文中最活躍的五元組及其主成分聚類信息的頻繁項(xiàng)后，結(jié)合TCP 流常見(jiàn)異常行為的聚類特征，通過(guò)綜合分析獲取與異常報(bào)