1、當(dāng)前網(wǎng)絡(luò)中存在著許多諸如網(wǎng)絡(luò)掃描、拒絕服務(wù)攻擊等以網(wǎng)絡(luò)入侵或網(wǎng)絡(luò)破壞為目的的網(wǎng)絡(luò)異常行為，嚴(yán)重影響了網(wǎng)絡(luò)的正常運(yùn)行。雖然目前已經(jīng)有了基于閥值過(guò)濾、特征匹配、統(tǒng)計(jì)檢測(cè)等網(wǎng)絡(luò)異常檢測(cè)方法，但這些方法主要專(zhuān)注于網(wǎng)絡(luò)異常的發(fā)現(xiàn)以及如何實(shí)現(xiàn)防護(hù)，忽略了對(duì)所發(fā)現(xiàn)的異常進(jìn)行必要的深入分析。因此，提出一種網(wǎng)絡(luò)異常分析方法具有重要的理論意義和實(shí)用價(jià)值。
　　 論述了分析網(wǎng)絡(luò)異常成因所涉及的技術(shù)與相關(guān)概念。從TCP（TransmissionCont

2、rol Protocol）連接建立和連接拆除報(bào)文的完整性入手，選取了五類(lèi)TCP 報(bào)文作為分析網(wǎng)絡(luò)異常產(chǎn)生原因的觀測(cè)報(bào)文，給出了理想狀況下五類(lèi)TCP 報(bào)文間數(shù)量上的關(guān)系，著重分析了現(xiàn)有網(wǎng)絡(luò)中常見(jiàn)的網(wǎng)絡(luò)異常行為，如網(wǎng)絡(luò)掃描、拒絕服務(wù)攻擊等。
　　 說(shuō)明了如何借助相關(guān)系數(shù)矩陣來(lái)表示TCP 流中多類(lèi)報(bào)文間的相關(guān)關(guān)系密切程度，并建立了正常狀況下五類(lèi)TCP 報(bào)文的相關(guān)關(guān)系判定準(zhǔn)則。
　　 給出了基于相關(guān)系數(shù)矩陣的網(wǎng)絡(luò)異常行為分析方法