谭 天，叶 倩，孙艳杰

(杭州迪普信息技术有限公司,浙江 杭州 310051)

0 引言

网络异常检测是网络安全领域一个非常重要的研究方向，它是网络入侵检测系统的一个重要组成部分。不同于基于特征码的检测，异常检测能够有效检测出未知的攻击（0-day 攻击）活动。

有关网络异常检测的研究已经具有很长的历史，方法也是多种多样，研究者最常用的方法包括：聚类、分类、统计、信息论、数字信号处理等。Gaddam[1]等人使用K-Means 聚类算法结合ID3算法来进行异常检测，取得了较高的准确率。使用聚类方法最重要的就是要定义一个合适的相似度度量方法。Yan[2]使用许多标注了正常或异常的数据来训练一个SVM 分类器，然后将训练好的分类器应用到网络异常流量检测中。但分类的方法需要线下使用标注过的数据集来训练一个分类器，由于不同网络环境的流量和线下训练时所用的数据集差别可能非常大，这就限制了其应用范围。还有许多研究人员采用基于统计的方法来实现异常检测。统计方法是异常检测领域最早使用的方法，具有简单、快速、可解释性强等特点，但是往往需要假设数据满足某种约束条件，很多时候这些约束条件在复杂多变的网络环境中是无法满足的。Zempoaltecatl Piedras[3]等人提出一种熵空间的方法来进行异常检测，在实际的环境中也取得了不错的表现。但是这种方法对于具有周期特性，并且周期内数据存在较大波动的场景并不适用。信号处理的技术可以用于网络异常检测，Hamdi 和 Boudriga[4]利用小波理论将观测到的一维信号进行分解，分析其特殊的频率及时间局部性，从而识别攻击相关的网络异常。……