网络异常的检测与诊断方法.pdfVIP

维普资讯 第 2j卷 第 4期 小 型 微 型 计 算 机 系 统 Vo1．25 No．4 2004年 4月 M INI— M ICR0 SYSTEMS ADr．2004 网络异常的检测与诊断方法 邹 柏 贤 (中国科学 院 计算技术研究所网络室 ，北京 100080) 摘 要：为提 高网络的可用性和可靠性，3-网络 出现异常时，首先，必须尽快地发现异常(即异常检测)，发出警报 ，这样 可以提前采取措施 以避免或减轻对服务 的影响，其次，必须从大量的警报信息 中作 出正确 的诊 断，提取 出真正 的、非冗 余 的信 息，以便找 出问题 的根源 (即警报关联)，从而解 决问题 ，改善服务质量．本文就 网络异常检测和警报关联两个方 面进行总结和分析 ，回顾 了该领域 的主要研 究工作 ，最后提 出了一种新 的异常检测方法． 关 键 词 ：网络异常 ；异常检测 ；警报关联 中图分类号 ：TP393．07 文献标识码 ：A 文 章 编 号 2004)()l一0506—05 Detectionand DiagnosisM ethodsforNetworkAnomaly zoU Bai—xian ． (InstituteofComputingTechnologyChines~Academy Science、Beijing 100080．Chtna) Abstract：To improveitsavailabilityanddependability．when anomalyOCCURSinnetwork．firstly，itmustbedetected assoonaspossible (i．e．，anomalydetection)，then theahrmscanbesentOUt，sO thecorrectingactionscanbetaken tO a、’oldimpactoralleviateloss．Secondly．thenumerousalarmsmustbecorrelatedandthetrueandnon—redundantin— formationmaybeextracted，which ishelpfultO find therealproblem andresolveit，SOthequalityofser、icemaybe improved．In thispaper，summarizationsandanalyseson anomaly detection andahrm correlationwasmade．there— searchwork inthisfieldwasre、iewed．Finally．anew methodforanomalydetection isproposed． Keywords：network anomaly；anomalydetection；alarm correlation 1 引 言 网络不正常．由于 网络本身就是在不断 的变化 ．其性能也在经 常地发生变化 ，不同网络 的情况也各不相 同，这就使得这个 计算机 网络越来越普及 ，应用非常广泛 ，网络规模不断扩 基准范围难以确定．另一方面 ，网络协议又使这种情况更加 大，各种 网络新技术层 出不穷 ，网络设备越来越多样化 ，这就 复杂化 ．因为网络协议允许一定程度 的错误存在 ，此外 ，单个 导致 ：(1)网络 出现 问题 的机会增大 ；(2)找出问题根源 的难 的设