1、網(wǎng)絡(luò)技術(shù)飛速發(fā)展的今天，網(wǎng)絡(luò)服務(wù)的安全性、健壯性成為了人們關(guān)心的主要問題。為了快速發(fā)現(xiàn)惡意代碼和網(wǎng)絡(luò)資源濫用，保障網(wǎng)絡(luò)的正常運(yùn)轉(zhuǎn)，提出了基于‘流’的流量分析與異常檢測方法。 NetFlow技術(shù)的提出使得基于‘流’的網(wǎng)管系統(tǒng)的實(shí)施更加便利。隨著一系列知名廠商對NetFlow技術(shù)的支持，如何運(yùn)用NetFlow技術(shù)分析網(wǎng)絡(luò)流量、發(fā)現(xiàn)網(wǎng)絡(luò)異常，成為了網(wǎng)絡(luò)管理的一個新方向。 當(dāng)前較流行的兩種基于NetFlow的網(wǎng)絡(luò)流量分析工具集，

2、雖然可以較好的滿足網(wǎng)絡(luò)管理員的需求，實(shí)現(xiàn)了諸如流量分析、部分類型的異常檢測等等功能。但其在易用性和可擴(kuò)展性上仍存在相當(dāng)?shù)膯栴}；尤其對于流量頻繁網(wǎng)絡(luò)，很難保證所有流信息都能準(zhǔn)備的被接收與被分析。除此之外，網(wǎng)絡(luò)管理員必須熟知NetFlow技術(shù)以及每種工具的使用方法，才能較好的使用這些工具。 如何使流量分析與異常檢測更好的應(yīng)用于網(wǎng)絡(luò)管理中，更有效、更靈活的監(jiān)視網(wǎng)絡(luò)異常、發(fā)現(xiàn)網(wǎng)絡(luò)中的惡意攻擊，正是本文的主要研究內(nèi)容。 每種網(wǎng)絡(luò)異

3、常都有其特殊的流特征，從頻繁發(fā)生的網(wǎng)絡(luò)數(shù)據(jù)流中發(fā)現(xiàn)這些特征，正是異常檢測的關(guān)鍵。本文以此為出發(fā)點(diǎn)，提出了一套完善、靈活的基于NetFlow流信息的異常檢測方法。 以某校園網(wǎng)為實(shí)驗(yàn)床，我們開發(fā)了基于NetFlow的網(wǎng)管系統(tǒng)，該系統(tǒng)除了普通的流量分析功能之外，更引入了我們研究得到的異常檢測功能。為了提高系統(tǒng)對大流量網(wǎng)絡(luò)的適應(yīng)能力，我們采用了分布式架構(gòu)，并引入了緩沖技術(shù)。考慮了易用性、可擴(kuò)展性等要素后，系統(tǒng)更引入了可配置的異常監(jiān)測方法