46、网络安全检测技术综述

网络安全检测技术综述

1. CERN网络行为调查与异常检测项目

1.1 项目概述

CERN与惠普ProCurve网络合作，于2007年启动了CINBAD（CERN网络行为调查与异常检测）项目。该项目旨在理解高性能计算和大型园区网络（如CERN拥有约70,000个千兆用户端口的网络）的行为，目标包括检测流量异常、进行趋势分析、自动采取对策以及提供事后分析工具。

1.2 网络异常

如今，网络异常是计算机网络中常见的现象。异常的定义因领域而异，其原因也多种多样，包括网络故障、恶意攻击、病毒和蠕虫、配置错误、政策违规等。一般来说，异常是系统偏离正常（预期）行为（基线）的情况，而正常行为并非固定不变，这使得非平凡的异常难以检测。

1.3 数据来源

• sFlow数据包采样 ：现代高速网络无法监控所有数据包，sFlow作为监控高速交换网络的行业标准，通过随机采样网络流量中的数据包（前128字节）来解决这一问题。CINBAD团队基于CERN周围1500多个交换机和路由器的流量进行收集和分析。
• 其他数据来源 ：团队还研究了其他数据来源，如CERN中央防病毒服务的报告、DNS服务器的详细日志和其他中央服务的信息。通过关联不同数据源的信息，可以发现有趣的现象。

1.4 数据分析方法

• 统计分析 ：依赖于检测网络行为的偏差，需要理解正常的网络行为。可以通过指定网络某些部分的允许模式来建立预期的网络活动，或者通过从过去