赖蔚蔚

(广东电网公司惠州供电局，广东 惠州 516003)

基于基线算法的电力企业信息网异常流量检测的实现

赖蔚蔚

(广东电网公司惠州供电局，广东 惠州 516003)

主要提出了一种基于基线算法的电力企业信息网的异常流量检测。该方法利用思科的NetFlow采集工具NetFlow Collector(NFC)，每5 min采集一次设备通过UDP传送过来的NetFlow原始数据，然后通过利用通讯端口、时间、流量(字节数或封包数目)3个维度的信息，通过筛选、去除偏离值、计算基线数值、实际值与基线数值比较等方式，检查当前网络是否存在异常流量。

基线算法；异常流量；基线分析；网络安全

0 引言

随着计算机和通信技术的发展，电力企业网络的规模越来越大，复杂性也在不断提升，各种应用业务也越来越广泛，因此发生各种故障的可能性也越大，各式各样的异常流量也随之而来。异常流量的产生不仅会影响网络的正常运行、降低工作效率，更有可能造成企业机密信息的泄露，影响企业的发展。因此，异常流量检测成为电力企业面临的一大难题。

主流的流量采集技术主要有基于镜像(阀在线)交通的协议分析技术、分布式监测技术(基于硬件探针监测技术)、基于NetFlow的监测技术和基于SNMP的监测技术4种。相对于NetFlow的监测技术，其他技术各有短板。流量镜像只能应用在单条链路，全网监测不适宜采用。硬件探针监测技术受接口速率上限的限制。SNMP技术主要收集一些设备状态信息和相应的流量信息。由于信息的单调和一些误差的存在，使得后期的数据分析只能在网络2、3层的信息以及设备的状态消息上进行。……