15、网络流量数据异常检测与通信设备监控方法

网络流量数据异常检测与通信设备监控方法

1. 网络流量数据异常检测

在网络流量数据中检测异常是保障网络安全和稳定运行的重要任务。这里介绍了几种检测异常的方法，包括TopRank算法、DTopRank算法等，并对它们的性能进行了评估。

1.1 TopRank算法性能评估

首先，使用参数P = 60，∆ = 1s，M = 10和M′ = 1来研究TopRank算法的性能。
- 统计性能 ：当TopRank算法步骤3中引入的p值α的上限满足α ≥ 2 × 10⁻⁶时，可以识别出受攻击的IP地址。图5.3展示了四个受攻击IP地址中两个的审查时间序列（TopRank算法步骤2），同时用垂直线标记出检测到变化的时刻。通过观察可以恢复每秒收到的实际TCP/SYN数据包数量，例如第一个IP地址为1000，第二个为500。
| 攻击情况 | 检测所需最小p值 | 误报数量 |
| ---- | ---- | ---- |
| 第一次攻击 | α ≥ 10⁻⁸ | 3 |
| 第二次攻击 | - | - |
| 第三次攻击（M′ = 1） | - | 9 |
| 第三次攻击（M′ = 5或M′ = M = 10） | - | 10 |
| 第四次攻击 | - | - |

此外，还将TopRank算法与Siris和Papagalou（2006）提出的方法（SP）进行了比较。SP方法使用CUSUM算法在对应所有请求的目标IP地址收到的SYN数据包总和的时间序列中寻找变化点。对于60秒的每个观察窗口，当Siris和Papagalou（2006）方程（6）中定义的统计