19、网络行为分析的协作方法

网络行为分析的协作方法

1. 引言

网络入侵检测系统旨在通过观察网络流量，向运营商通报可能的攻击，从而保护计算机网络。传统的异常检测技术直接部署时，由于错误率高而不实用，因为流量模型难以完美，正常流量中异常流量占比低，很多被调查的事件其实是误分类的合法流量（误报）。

CAMNEP 系统通过一组协作的检测代理对流量统计数据进行在线分析，每个代理都嵌入了一个异常检测模型。该模型通过比较观察到的流量特征与预测值，来预测流量状态并确定每个流的异常情况。CAMNEP 使用信任和声誉等经典代理技术来提高单个代理分类的质量。

系统使用 FlowMon 探针生成的 NetFlow 数据，这些数据聚合了有关网络流的信息。系统不分析传输数据的内容，因此能够检测未知攻击、变形恶意软件以及涉及加密或随机化流量的事件。该系统属于网络行为分析技术类别，可检测从网络角度来看具有重要意义的攻击，如水平扫描、垂直扫描、拒绝服务攻击等。

系统有两种主要部署模式：
- 在线监控 ：高性能使其能够实时分析 1Gb/s 线路的流量，运营商可立即应对 DDoS 攻击或大规模蠕虫传播等问题。
- 离线分析 ：可连接到收集器数据库，对网络过去的流量进行事后分析，识别可能需要更详细分析的主机。

2. 系统用例

为了从用户（如网络管理员或事件分析师）的角度说明系统的功能，以检测 TCP 垂直扫描攻击（SYN 和 CONNECT 扫描）为例。

系统引入了流的可信度概念，为每个流确定一个在 [0, 1] 区间内的值，该值由各个代理报告的可信度聚合而来。系统使