刘国荣，刘东鑫，沈 军，金华敏

(中国电信股份有限公司广东研究院 广州510630)

1 引言

国家“十二五”规划明确提出“全面提高信息化水平”、“加快建设宽带、融合、安全、泛在的下一代国家信息基础设施”，宽带建设成为“十二五”期间我国信息化发展的主要任务之一，超宽带时代即将开启。

随着网络接入带宽的不断提升，异常流量对网络的威胁日益严重，防治的需求更为紧迫。网络安全和管理解决方案供应商Arbor发布的2010年网络基础设施安全调查报告（如图1所示）显示，分布式拒绝服务（DDoS）攻击流量呈逐年递增的趋势，2010年最大单次攻击规模甚至超过了100 Gbit/s，源自僵尸网络的容量耗尽攻击和应用层DDoS攻击仍然是网络运营人员面临的最重大威胁。

2 异常流量检测与防治技术的现状及应用

网络流量异常指网络的流量行为偏离其正常行为，其特点是发作突然，先兆特征未知，可以在短时间内给网络或网络上的计算机带来极大的危害[1]。

2.1 异常流量防治技术

异常流量防治技术包括异常流量检测、非法流量检测过滤和流量牵引与注入技术。

2.1.1 异常流量检测技术

主要用于实时监控网络中的流量状况，及时检测网络中突发的异常流量，如 SYN-flood、UDP-flood、ICMP-flood、Smurf等类型的DoS/DDoS攻击流量，第一时间对攻击来源和攻击目标进行准确的定位，并做出及时而准确的流量异常报警和响应。

图1 Arbor发布的2010年网络基础设施安全调查报告

根据网络异常流量的采集方式，可将网络异常流量检测技术分为基于网络流量全镜像、SNMP和Netflow的检测技术3种[2]。……