靳仁杰，王 宇，韩伟杰



基于流量模板检测网络异常流量

靳仁杰1，王 宇2，韩伟杰2

(1. 装备学院研究生管理大队，北京怀柔 101416；2. 装备学院信息装备系，北京怀柔 101416)

当前的网络异常流量检测技术侧重于采用机器学习和统计学方法，两者适用于通用网络环境。本文针对受控网络环境通信特征，提出了一种基于流量模板的网络异常流量检测方法，该方法实时抓取分析网络流量，提取网络流量头部特征和行为特征，基于网络八元组信息建立流量模板，通过匹配流量模板检测网络异常流量。实验结果表明该方法在受控网络环境下能准确检测出网络异常流量。

受控网络；异常流量；特征提取；网络八元组；流量模板

0 引言

如今网络应用已经渗透到人们生活的方方面面，网络数量和规模都成倍增长。众多的网络应用在带来便利的同时，也引起了很多问题，这其中由恶意攻击、设备故障或者人为因素引起的网络异常流量[1]及其检测方法，逐渐成为安全人士研究的热点问题。

网络异常流量检测方法的分类有很多种，按检测建模方法可以分为基于误用检测和基于异常检测两类[2]；按数据采集方式可以分为抽样检测和非抽样检测两类；按检测节点数量可以分为分布式异常检测和单节点异常检测两类[3]；按数据处理方式可以分为初级流量特征统计的异常检测和挖掘数据特征规律的异常检测两类[4]。

基于误用的异常检测主要是提取已知异常流量的流量特征和行为特征，建立规则库。……