企业级网络异常行为检测技术的研究

论文摘要

互联网存在各种各样的安全威胁,影响了网络的正常运行。这些威胁表现为各种各样的网络异常行为,包括网络层面的异常行为和用户层面的异常行为。作为当前网络安全领域的研究热点之一,如何检测并发现网络异常行为,对预防并排除和缓解安全威胁具有重要理论意义和实际应用价值。本文围绕这一迫切需求,研究基于网络IP流信息的企业级网络异常行为检测技术,完成的主要研究工作有:首先,提出对用户终端进行IP流信息采集和分析技术的思想,设计了基于IP流信息的企业级网络异常行为检测架构,并将其集成到一个实际的网络用户管理控制系统型号项目中;其次,基于上述技术架构,重点研究了网络层面的异常行为检测技术,提出了基于端口熵的NADA改进方法—NADA-PE。通过引入端口熵值的计算,较好地解决了原有NADA方法很难检测到的对网络流量没有明显影响的网络异常攻击行为,并利用MIT林肯实验室DARPA99评测IDS系统的数据集验证了该方法的有效性;最后,重点研究了用户层面的异常行为检测技术。提出采用用户行为规则匹配方法来判定异常行为,并通过在企业网络用户管理控制系统的用户代理系统中植入精简IPFIX协议,实现非法外联检测功能,验证了基于IP流信息进行用户层面异常行为检测的有效性,同时也为非法外联检测探索了一条新的、有效的技术途径。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 课题背景
• 1.2 网络异常行为检测技术概况
• 1.2.1 网络层面异常行为检测
• 1.2.2 用户层面异常行为检测
• 1.3 本文的主要工作
• 1.4 本文的内容组织
• 第二章 网络IP 流信息测量技术概述和相关的研究工作
• 2.1 基于NETFLOW 的流信息测量技术
• 2.1.1 NetFlow 的流定义
• 2.1.2 NetFlow 流信息测量技术可实现的功能
• 2.1.3 NetFlow 流信息测量技术的工作流程
• 2.2 基于IPFIX 的流信息测量技术
• 2.2.1 产生背景
• 2.2.2 IPFIX 协议
• 2.2.3 IPFIX 协议术语
• 2.2.4 IPFIX 流信息测量技术的工作流程
• 2.3 基于IP 流信息的网络异常行为检测方法
• 2.3.1 基于网络流量的PCA 检测方法
• 2.3.2 基于OD 流的信息熵的PCA 异常行为分析方法
• 2.3.3 NADA（Network Anomaly Detection Algorithm）方法
• 2.4 小结
• 第三章 基于IP 流信息的企业级网络异常行为检测架构及其应用设计
• 3.1 基于IP 流信息的企业级网络异常行为检测架构
• 3.2 网络异常行为检测架构与用户管理控制系统的融合
• 3.2.1 网络用户管理系统管理层次
• 3.2.2 网络用户管理系统功能分析
• 3.2.3 系统组成
• 3.3 融合后的网络用户管理控制系统系统网络拓扑结构
• 3.4 小结
• 第四章 NADA-PE 网络异常行为检测方法
• 4.1 NADA-PE 方法
• 4.2 方法的实现和验证
• 4.2.1 数据预处理
• 4.2.2 NADA-PE 方法实现和验证
• 4.3 小结
• 第五章 基于IPFIX 协议的非法外联行为检测
• 5.1 基于IPFIX 协议的用户层面网络异常行为检测
• 5.1.1 IPFIX 精简实现
• 5.1.2 用户异常行为检测系统的实现
• 5.2 基于IPFIX 的非法外联行为检测
• 5.2.1 基于IPFIX 的非法外联检测的实现
• 5.2.2 基于IPFIX 的非法外联检测的验证
• 5.3 小结
• 第六章 结束语
• 致谢
• 参考文献
• 作者在学期间取得的学术成果