1、目前,網(wǎng)絡(luò)的演進方向是IP化。隨著網(wǎng)絡(luò)的發(fā)展和業(yè)務(wù)的推動,大多數(shù)業(yè)務(wù)都被遷移到IP網(wǎng)絡(luò)上來。在全IP網(wǎng)絡(luò)承載越來越多的業(yè)務(wù)的同時,網(wǎng)絡(luò)安全問題也層出不斷,網(wǎng)絡(luò)中出現(xiàn)了越來越多的異常流量。異常流量的檢測也就隨之成為了網(wǎng)絡(luò)運營商關(guān)注的重點對象。通過對網(wǎng)絡(luò)流量檢測可以及時的發(fā)現(xiàn)網(wǎng)絡(luò)問題,采取對應(yīng)措施保證網(wǎng)絡(luò)的正常運行。隨著網(wǎng)絡(luò)規(guī)模的擴大,網(wǎng)絡(luò)流量呈指數(shù)級增加,傳統(tǒng)的基于數(shù)據(jù)包和字節(jié)數(shù)的檢測技術(shù)變得不堪重負。隨之,基于流的異常檢測應(yīng)時而出。Ci

2、sco公司提出了Netflow技術(shù)。Netflow技術(shù)以流為基礎(chǔ)進行統(tǒng)計,提供多粒度的流量分析,是進行異常流量檢測的最佳選擇。
　　 本文在分析以往基于Netflow的異常檢測技術(shù)選取的指標和算法的基礎(chǔ)上,對校園網(wǎng)絡(luò)流量的Netflow數(shù)據(jù)進行了長期多視角、多粒度的分析,并提出了利用融合指標和融合指標時間窗比較算法進行異常發(fā)現(xiàn)的新方法。融合指標主要反映了網(wǎng)絡(luò)流的特點,去除了網(wǎng)絡(luò)流量的非平穩(wěn)因素;融合指標時間窗比較算法分為縱向和橫

3、向的比較,縱向的比較是分析融合指標的長期變化趨勢,橫向比較是分析融合指標的短期變化趨勢。
　　 本文利用融合指標和融合指標時間窗比較算法設(shè)計并實現(xiàn)了一個基于Netflow的異常發(fā)現(xiàn)系統(tǒng)。整個異常發(fā)現(xiàn)系統(tǒng)包括數(shù)據(jù)采集,數(shù)據(jù)處理和異常檢測三個模塊,數(shù)據(jù)采集模塊負責(zé)Netflow數(shù)據(jù)的采集,并對數(shù)據(jù)庫做優(yōu)化處理;數(shù)據(jù)處理模塊對Netflow數(shù)據(jù)進行裁剪,只保留異常檢測所需字段;異常檢測模塊主要包括檢測指標的提取,融合指標時間窗檢測算法