Abstract-This paper utvecklar parametriska metoder för att upptäcka nätverksanomalier med enbart aggregerad trafikstatistik, i motsats till andra arbeten som kräver flödesseparation, även när anomalien är en liten del av den totala trafiken. Genom att anta enkla statistiska modeller för avvikande och bakgrundstrafik i tidsdomänen, kan man uppskatta modellparametrar i realtid, vilket undanröjer behovet av en lång utbildningsfas eller manuell parameterinställning. Den föreslagna bivariatparametriska detektionsmekanismen (bPDM) använder ett sekventiellt sannolikhetsförhållandestest som gör det möjligt att kontrollera den falska positiva hastigheten samtidigt som man undersöker avvägningen mellan detektionstid och hållfastheten hos en anomali. Dessutom används både trafik- och paketstorlek statistik, vilket ger en bivariat modell som eliminerar de flesta falska positiva. Metoden analyseras med hjälp av det metriska bit-rate signal-to-brus-förhållandet (SNR), som visar sig vara ett effektivt mätvärde för anomalisdetektering. BPDM:s resultat utvärderas på tre sätt. För det första ger syntetiskt genererad trafik en kontrollerad jämförelse av detektionstiden som en funktion av den onormala trafiknivån. För det andra visar tillvägagångssättet att kunna upptäcka kontrollerade konstgjorda attacker över University of Southern California (USC), Los Angeles, campus nätverk i varierande verkliga trafikmixer. För det tredje uppnår den föreslagna algoritmen snabb upptäckt av verkliga överbelastningsattacker som bestäms av replay av tidigare fångade nätverksspår. Den metod som utvecklas i detta dokument kan upptäcka alla attacker i dessa scenarier på några sekunder eller mindre. Index Terms-Aggregate trafik, anomali upptäckt, distribuerad överbelastning (DDoS), parametriska modeller.
Thatte m.fl. föreslagna parametriska metoder för att upptäcka nätavvikelser med hjälp av aggregerad statistik över IP-flöden REF.
Parametric Methods for Anomaly Detection in Aggregate Traffic
{'venue': 'IEEE/ACM Transactions on Networking', 'journal': 'IEEE/ACM Transactions on Networking', 'mag_field_of_study': ['Computer Science']}