[发明专利]一种面向分布式网络的流量行为分析方法

说明书

本发明提供一种面向分布式网络的流量行为分析方法，所述方法包括：部署网络流量采集方案；采集历史流量数据；训练模型；获取流量行为模型；采集实时流量数据；估计网络全局流量行为。本发明将整个分布式网络视为一个整体，通过采集网络节点流量信息，利用网络节点流量行为的空时上下文关系，分析网络流量内在行为状态，实现对网络全局流量行为的监控，能够辅助开展资源调度、异常检测等网络管理工作。

技术领域

本发明涉及网络管理应用领域，更具体地，涉及一种面向分布式网络的流量行为分析方法。

背景技术

随着网络与信息技术的迅猛发展，网络规模的空前扩大以及各种网络应用的广泛使用，网络深深地融入政治、经济、文化等领域，网络的多样性给人们的工作生活带来了极大的便利，与此同时，网络的复杂性增加了网络管理和维护的难度，使得网络管理员面临诸多困难。IPv6技术的推进促使网络协议由IPv4向IPv6过渡，使网络中常出现IPv4/IPv6双栈并行的情况，这增加了网络异常排查的难度。各种网络包括无线局域网、无线城域网、公共移动通信网络等接入互联网扩大了网络的规模，网络的异构性给网络的运行维护带来困难。云计算的出现、社交网络的兴起、多媒体技术的发展促使网络应用流量复杂多变，严重时会占用网络中正常业务的带宽，这给网络带宽的优化配置带来挑战。另一方面，层出不穷的网络安全问题影响运营商、企业等网络的正常运行，往往造成经济损失，网络的安全管理成为网络管理员的重任。

为了在复杂的网络环境中解决上述各种问题，增强网络管理能力，建立稳定、安全的网络环境，学术界与工业界提出了许多用于分析网络行为的方法。包括：面向单点以及面向多点的流量分析方法。在面向单点的流量分析方法中，论文“Zhao D,Traore I,Sayed B,et al.Botnet detection based on traffic behavior analysis and flow intervals[J].ComputersSecurity,2013,39(4):2-16.”0提出一种网络流量分析方法，主要分析通信网络中的网络流特征，包括源目的IP地址、源目的端口、协议、包长等信息，进而检测网络中的僵尸主机，该方法部署在网络关键节点，分析节点的流量特征，基于决策树算法检测僵尸主机。公开专利一种基于网络流量分析的异常检测方法，该方法通过对IP数据包的深入分析提出了一个比较完备的网络流量初始特征集，并根据不同类型的网络异常动态选择用于异常检测的特征子集，最后利用贝叶斯分类器根据特征子集对未知样本进行类别预测。绿盟科技推出一款网络流量分析产品(绿盟科技网络流量分析系统http://www.nsfocus.com.cn/products/details_22_2.html)，该产品能够通过简单网络管理协议(Simple Network Management Protocol，SNMP)、Netflow协议等采集到网络中路由设备的流量信息，进行多种维度的分析，包括网络中的流量情况、流量组成成分、流量变化趋势等。在面向多点的流量分析方法中，论文“Jiang D,Xu Z,Zhang P,et al.A transformdomain-based anomaly detection approach to network-wide traffic[J].Journal ofNetworkComputer Applications,2014,40(C):292-306.”提出了一种基于变换域的异常检测方法，用于研究网络侧的流量行为特征，利用具有相同目的节点的源目的(Origin-Destination，OD)对的网络流信息，将网络流量视为时间序列，利用S变换得到时间序列的时频信号，通过比较正常流量、异常流量在高频分量的不同特性，实现网络侧的异常流量检测。论文“Li Y,Luo X,Qian Y,et al.Network-Wide Traffic Anomaly Detection andLocalization Based on Robust Multivariate Probabilistic Calibration Model[J].Mathematical Problems in Engineering,2015,2015(1):1-26.”提出一种网络侧异常流量检测与定位的方法，通过测量网络中OD对的流量如数据包数量、字节数、流数，构造流量矩阵，应用多变量t分布的隐变量概率理论方法构造流量正常行为模型，通过评估样本的Mahalanobis距离实现异常检测与定位。李志鹏的专利公开了一种网络流量的分析系统及方法，该系统首先通过流量采集模块采集网络中各节点的原始流量信息，然后提取出原始流量信息中的应用层流量信息，再通过对应用层流量信息进行统计比较，分析出应用系统中是否存在异常流量，实现了基于网络流量的应用层分析。郭祖龙的专利公开了一种基于分布式的网络流量分析系统及方法，该系统首先通过流量采集模块采集网络中流量信息，然后提取出原始流量信息中的网络层、传输层和应用层信息，再通过对网络层、传输层和应用层信息进行分析处理，对总流量情况、IP到IP流量数据、IP层网络数据信息以及应用层协议信息进行分析。科来网络推出一款全流量安全分析产品(科来网络全流量安全分析系统https://app.huaweicloud.com/product/00301-55020-0--0)0，该产品通过对网络链路全流量采集存储、全数据分析，对网络异常行为有敏锐的感知能力。