基于行为的P2P流量及异常流量检测技术研究

《基于行为的P2P流量及异常流量检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、北京邮电大学博士学位论文基于行为的P2P流量及异常流量检测技术研究姓名：王蛟申请学位级别：博士专业：信号与信息处理指导教师：杨义先20080415摘要题。基于UDP数据包的启发式检测方法进一步增强了NBTI方法的检测效果，结合其基于节点进行检测的特点，使NBTI方法在大流量网络环境下的检测效果更佳。(3)针对极少部分网络流占据了绝大部分流量比特数这一现象，提出基于行为的主体流量检测方法，简称之为BMTI(Behavior-basedMaiorityTrafjficIdentification)方法。BMTI方法的分析对象主要是那些对网络带宽消耗较大的应用，如P2P流传输类

2、应用、P2P文件共享类应用、拒绝服务攻击、蠕虫、扫描等行为。通过对不同应用的节点流量占有率、应用原理、行为特征等方面的异同点分析，获取可以用于检测的特征，利用这些特征的组合来检测特定应用。BMTI方法采取了一些特殊策略来提高检测效率。其一，定义数据包个数门限值和比特数门限值，对检测列表进行限定；其二，采用基于TCP数据包加速算法和UDP数据包启发式算法来提高检测效率和准确率。(4)针对异常流量中威胁较大的拒绝服务攻击，提出一种基于行为的拒绝服务攻击检测方法。通过对单位时间内拒绝服务攻击所产生的数据包连接情况、数据包长度分布特征、外部节点分布情况及端口分布情况等特征进行分析

3、，给出发生拒绝服务攻击时的七点流量异常表现，并根据分析结果，提出了基于数据包长度范围、节点及端口的变化情况、上下行流量比例的变化情况、数据包间隙以及数据包内容相似度等五点要素的拒绝服务攻击检测方法。通过P2P、FTP以及拒绝服务攻击的混合实验，证明了算法的有效性。综上所述，本文提出的基于行为的流量检测方法具有模型简单、适用范围广、易于工程人员理解等特点，不仅在理论上值得深入研究，而且还具有较大的工程应用价值。关键词：对等网络流量检测行为分析主体网络流量网络异常拒绝服务攻击北京邮电人学博士论文AbstractTheStudy0fP2PandAnomalyTramcIdent

4、ificationTechnologyBased0nBehaViOrAnalysisAbstractWithther印iddeVelopmentofIntemettechnologyandP2Papplications，networkmanagementandcontrolhasbecomeincreasin91yimportant，andtraf!Eicidentificationtechnologyhasalsobecomeanimportantsubiect．A-tpresent，mosttra衔cidentificationmethodsstillremainin

5、thetheoreticalstage，sotheycannotbeappliedtoreality．Onthebasisofpreviousstudies，thispaperfIocusesonP2Ptraf!Eicidentificationandanomalydetection，andoptimizesthepayload．basedidentificationmethods．ⅣIeanwhile，behaviorcharacteristicsofnode-basedtra瓶c，themaiorityofthetotaltrafjficbehavioranddeni

6、alofservicebehavioronanomalytrafhcarethoroughlyanalyzed．Themainworl(andcont订butionsofthemesisareasf．ollows：(1)Ontheaspectofpayload-basedidentificationmethods，tomakeuplimitationsinidentificationspeedandaccuracyrateoftheexistingmethods，aheuristictramcidentificationmethodbasedont11lstedlistw

7、asproposed．Thismethodfirstanalyzespacketspayloadcharacteristics，thenaddsthediscemedconnectionintoatmstedlist，andfinallyusesanactiveparametertooptimizeandcontrolthetmstedlist．Thisparameterlabelsthem垌uencythatasessionhasbeenvisited，whichensuresthatarecordwithahighfbqu