1、異常檢測是網絡管理的一項重要內容，高速骨干網絡的節(jié)點流量巨大，使得傳統(tǒng)基于報文的入侵檢測系統(tǒng)無法及時地處理每一個報文。近年來，研究人員越來越多的將信息論應用于網絡流量的異常檢測中。
　　信息熵是衡量分布無序程度的一個很好的指標，當信息熵越大，則表示分布越無序。許多研究人員將信息熵應用于網絡流量異常檢測，其中的一個應用模型是：將網絡流量分成許多時間段，計算每個時間段流量在特征上的分布的信息熵，形成時間序列，通過觀察時間序列的波動情況

2、來判斷網絡是否發(fā)生異常。本文通過對信息熵靈敏進行分析，指出這種應用模型的兩個缺陷：1、無法提供異常細節(jié)；2、靈敏度不夠，只適合于檢測大規(guī)模的網絡異常。
　　本文提出一種新的基于信息熵的異常檢測方法，能夠有效地克服上述應用模型的缺點。本文定義了IP的行為分類標識(簡寫成bid)，用于標識一個IP的行為特征。不同行為特征的IP具有不同的bid，IP的bid能唯一標識一種IP行為特征。異常IP與正常IP具有不同的行為特征，所以可以通過I

3、P的bid區(qū)分IP異常與否。本文預先建立常見正常應用bid庫，然后實時地計算網絡流量中IP的bid，如果其bid落在正常應用bid庫中，則將其歸類為正常IP，否則，將其歸類為異常IP。另外，本文使用輔助測度對那些bid識落在正常應用bid庫中的IP進行二次檢測，使用白名單對被歸類為異常IP的IP進行過濾。
　　基于上述理論，本文設計開發(fā)了EBAD(Entropy Based Anomalies Detection)系統(tǒng)，將其部署于