RMPCM：一種基于健壯多元概率校準(zhǔn)模型的全網(wǎng)絡(luò)異常檢測(cè)方法

李宇翀，羅興國，錢葉魁，趙鑫

(1. 國家數(shù)字交換系統(tǒng)工程技術(shù)研究中心，河南 鄭州 450002；2. 通信網(wǎng)信息傳輸與分發(fā)技術(shù)重點(diǎn)實(shí)驗(yàn)室，河北 石家莊 050000；3. 解放軍防空兵學(xué)院，河南 鄭州 450052)

1 引言

當(dāng)前因特網(wǎng)環(huán)境下各種網(wǎng)絡(luò)異常事件層出不窮，DDoS攻擊、僵尸網(wǎng)絡(luò)等大規(guī)模的網(wǎng)絡(luò)入侵給互聯(lián)網(wǎng)的安全運(yùn)營帶來嚴(yán)重威脅，而網(wǎng)絡(luò)擁塞、網(wǎng)絡(luò)故障等也會(huì)嚴(yán)重影響互聯(lián)網(wǎng)的服務(wù)質(zhì)量，因此網(wǎng)絡(luò)異常行為的檢測(cè)是非常必要的。同時(shí)，由于網(wǎng)絡(luò)異常種類繁多、變化快速，且常常隱藏在復(fù)雜龐大的背景流量中，給網(wǎng)絡(luò)異常的檢測(cè)帶來極大的困難。

針對(duì)網(wǎng)絡(luò)異常檢測(cè)的研究也有很多，文獻(xiàn)[1,2]等使用主機(jī)的系統(tǒng)日志、審計(jì)信息等為數(shù)據(jù)源，采用數(shù)據(jù)挖掘等方法提出基于主機(jī)的異常檢測(cè)方法；文獻(xiàn)[3,4]等使用端到端往返時(shí)延、分組丟失率等性能測(cè)量數(shù)據(jù)，采用一元時(shí)間序列分析法提出基于單路徑的異常檢測(cè)方法；文獻(xiàn)[5]等使用單條鏈路的SNMP、NetFlow等網(wǎng)絡(luò)流量數(shù)據(jù)，采用機(jī)器學(xué)習(xí)、小波分析等方法提出基于單鏈路的異常檢測(cè)方法。上述方法主要關(guān)注網(wǎng)絡(luò)的局部信息，監(jiān)測(cè)范圍有限，但隨著網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，數(shù)據(jù)傳輸速度持續(xù)加快，許多網(wǎng)絡(luò)異常呈現(xiàn)出很強(qiáng)的全局特性[6～8]，其影響分散到網(wǎng)絡(luò)中多條鏈路或路徑，在局部表征信息并不明顯。采用上述基于主機(jī)、單路徑或單鏈路的分析檢測(cè)方法無法對(duì)網(wǎng)絡(luò)進(jìn)行綜合測(cè)量和全局分析，在檢測(cè)精度方面也很難保證。

針對(duì)以上問題 Lakhina等[9]首次提出了基于主元分析子空間構(gòu)建(subspace construction via PCA)的全網(wǎng)絡(luò)(network-wide)異常檢測(cè)方法，綜合利用多條路徑的流量統(tǒng)計(jì)信息構(gòu)建正常模型，通過判斷當(dāng)前情形是否偏離正常模型從而確定異常是否發(fā)生；隨后文獻(xiàn)[10～20]沿著全網(wǎng)絡(luò)檢測(cè)的思路，在檢測(cè)算法的時(shí)空擴(kuò)展性[10～13]、頑健性[14～16]、實(shí)時(shí)性[17,18]和異常測(cè)度[19,20]等方面進(jìn)行了研究，豐富了全網(wǎng)絡(luò)異常檢測(cè)的內(nèi)容。上述方法綜合利用整個(gè)網(wǎng)絡(luò)的流量數(shù)據(jù)，取得了優(yōu)于單節(jié)點(diǎn)、單路徑或單鏈路方法的檢測(cè)性能，同時(shí)由于采用建立正常模型并與其相比較的異常檢測(cè)方法，無需建立異常特征庫，因而既可以檢測(cè)已知異常也可以檢測(cè)未知異常，應(yīng)用范圍廣?；诹髁拷y(tǒng)計(jì)量的全網(wǎng)絡(luò)異常檢測(cè)方法通過引入范圍更廣、維度更多的網(wǎng)絡(luò)信息改善檢測(cè)性能，但該方法部署在大規(guī)模高速骨干網(wǎng)上時(shí)也面臨一些現(xiàn)實(shí)問題：一是采集范圍的擴(kuò)大、采集設(shè)備的增多、網(wǎng)絡(luò)速度的加快，使得必須考慮由于部分設(shè)備故障造成的采集數(shù)據(jù)缺失的情況，或者流量數(shù)據(jù)在傳輸?shù)倪^程中出現(xiàn)缺失的情況[21]，會(huì)使上述的異常檢測(cè)方法因?yàn)閿?shù)據(jù)不完整而變得不可用；二是實(shí)際的骨干網(wǎng)流量不但數(shù)據(jù)量巨大，而且非常復(fù)雜，使模型參數(shù)難以選擇，異常檢測(cè)方法的穩(wěn)定性極難保證[22]。

本文提出了一種基于健壯的多元概率校準(zhǔn)模型(RMPCM, robust multivariate probabilistic calibration model)的異常檢測(cè)方法，該方法將多元t分布取代正態(tài)分布引入隱變量概率模型，進(jìn)而建立流量矩陣的常態(tài)模型，通過比較樣本與常態(tài)模型之間的馬氏距離(Mahalanobis distance)進(jìn)行流量異常檢測(cè)。該方法的健壯性較好，應(yīng)用場(chǎng)景廣泛，既可以處理完整數(shù)據(jù)也可以處理數(shù)據(jù)缺失的情況，對(duì)異常噪聲干擾的抵抗力較強(qiáng)，并且對(duì)模型參數(shù)的敏感性較低，性能穩(wěn)定。本文主要貢獻(xiàn)包括以下3個(gè)方面。

1) 通過建立隱變量概率模型的方法解決了待檢數(shù)據(jù)不完整情況下的異常檢測(cè)問題。

2) 通過將多元t分布引入概率建模過程中解決了噪聲干擾問題，提高了檢測(cè)精度。

3) 本文提出RMPCM方法具有很強(qiáng)的穩(wěn)健性，對(duì)模型參數(shù)的敏感性較低，減少了實(shí)際部署中復(fù)雜的參數(shù)調(diào)試工作。

2 數(shù)據(jù)源模型和問題描述

2.1 數(shù)據(jù)源模型

早期的因特網(wǎng)流量研究主要集中在一個(gè)互聯(lián)網(wǎng)服務(wù)提供商(ISP, internet service provider)中的單鏈路數(shù)據(jù)分組的時(shí)間特征，由此得到了在自相似、長相關(guān)等流量特性。但是一個(gè)ISP中常包含數(shù)百上千條鏈路，而因特網(wǎng)由幾萬個(gè)這樣的ISP組成，當(dāng)在這樣大的背景中觀察，流量的空間特性就凸顯出來了。但是同時(shí)分析整個(gè)網(wǎng)絡(luò)所有鏈路的流量數(shù)據(jù)是難以完成的任務(wù)，而流量矩陣作為一種給定網(wǎng)絡(luò)結(jié)構(gòu)下節(jié)點(diǎn)間流量的緊縮和簡潔的描述，可以反映整體網(wǎng)絡(luò)的時(shí)空特性，是全網(wǎng)絡(luò)流量研究中一種常用的模型結(jié)構(gòu)。流量矩陣是全網(wǎng)流量的概覽，使用流量矩陣進(jìn)行整個(gè)網(wǎng)絡(luò)的流量分析更加直接和清晰[8]，本文采用了PoP(point of presence)級(jí)流量矩陣作為研究的數(shù)據(jù)源。

定義1 (PoP級(jí)流量矩陣) 假設(shè)某自治系統(tǒng)(AS,autonomous system)有n個(gè)PoP節(jié)點(diǎn)，以一定的周期連續(xù)地被動(dòng)測(cè)量任意一對(duì)PoP節(jié)點(diǎn)之間的流量，流量的流入節(jié)點(diǎn)為源節(jié)點(diǎn)，流出節(jié)點(diǎn)為目的節(jié)點(diǎn)，這樣就可記為源—目的(OD)流流量，然后將該測(cè)量值排列成一個(gè)N×D的矩陣X，稱為該AS的PoP級(jí)流量矩陣，其中，N表示測(cè)量的周期數(shù)，通常將每個(gè)周期的測(cè)量值作為一個(gè)樣本，因此N為樣本數(shù)，D表示OD流量測(cè)量值的個(gè)數(shù) (D=n×n)，即樣本的維度。流量矩陣第i行表示第i個(gè)周期由各OD流量測(cè)量值組成的向量；第j列表示第j個(gè)OD由各時(shí)間測(cè)量值序列組成的向量。流量矩陣的任一元素xij表示第i個(gè)周期第j個(gè)OD上的某種流量測(cè)度大小。本文采用的流量測(cè)度為流量大小(字節(jié)數(shù)、分組數(shù)或流數(shù))。

2.2 問題描述

在數(shù)據(jù)采集的過程中，由于高速骨干網(wǎng)數(shù)據(jù)量龐大、傳輸快速，可能造成采集設(shè)備的負(fù)擔(dān)加大、穩(wěn)定性下降，從而出現(xiàn)數(shù)據(jù)缺失；在數(shù)據(jù)傳輸過程中由于網(wǎng)絡(luò)擁塞、設(shè)備或鏈路故障也會(huì)造成數(shù)據(jù)缺失。

網(wǎng)絡(luò)測(cè)量中流量數(shù)據(jù)的缺失并非都是完全隨機(jī)化的，許多情況下缺失是高度結(jié)構(gòu)化的，這里提出了4種缺失的機(jī)制用來描述網(wǎng)絡(luò)數(shù)據(jù)采集和傳輸過程可能遇到的數(shù)據(jù)缺失的情況。

1) 完全隨機(jī)缺失

完全隨機(jī)缺失是指流量矩陣X中的任意元素xij以隨機(jī)概率q丟失，這種丟失情況可能出現(xiàn)在流量測(cè)量設(shè)備偶然出現(xiàn)的擁塞，或測(cè)量數(shù)據(jù)采用了不可靠的傳輸機(jī)制而出現(xiàn)的隨機(jī)數(shù)據(jù)缺失。

2) 時(shí)間段隨機(jī)缺失

流量矩陣的行對(duì)應(yīng)于流量的采集周期，時(shí)間段隨機(jī)缺失是指流量矩陣X中任意一行元素以概率q丟失，這種情況可能發(fā)生在測(cè)量數(shù)據(jù)集中處理時(shí)由于數(shù)據(jù)量過大導(dǎo)致存儲(chǔ)設(shè)備過載或程序故障等原因造成該時(shí)段的采集數(shù)據(jù)丟失。

3) OD隨機(jī)缺失

流量矩陣的列對(duì)應(yīng)于OD流，OD隨機(jī)缺失對(duì)應(yīng)于流量矩陣X中任意一列元素以概率q丟失。這種情況的出現(xiàn)可能由于流過濾或采集程序錯(cuò)誤造成的OD源或目的識(shí)別錯(cuò)誤，鏈路或路由器故障也會(huì)造成相關(guān)OD上數(shù)據(jù)的缺失。

4) 塊隨機(jī)缺失

塊隨機(jī)缺失是指流量矩陣X的某一子矩陣以概率q丟失，這種結(jié)構(gòu)化的缺失可能出現(xiàn)在采集設(shè)備故障或存儲(chǔ)器滿并持續(xù)若干采集周期的情況下，對(duì)應(yīng)于流量矩陣多個(gè)相鄰行列的數(shù)據(jù)缺失。如果把缺失的子塊設(shè)為流量矩陣的某一行則轉(zhuǎn)變?yōu)闀r(shí)間段隨機(jī)缺失，設(shè)為某一列則轉(zhuǎn)變?yōu)镺D隨機(jī)缺失。

3 RMPCM方法

RMPCM異常檢測(cè)方法首先使用采集到的流量數(shù)據(jù)建立常態(tài)模型，再利用樣本與常態(tài)模型的馬氏距離衡量該樣本是否異常。RMPCM方法可分為正常流量建模、流量異常檢測(cè)2個(gè)步驟。

3.1 模型引入

在流量數(shù)據(jù)不完整的情況下，以往傳統(tǒng)的網(wǎng)絡(luò)異常檢測(cè)方法都無法應(yīng)用，本文考慮采用Bayes統(tǒng)計(jì)方法，但由于網(wǎng)絡(luò)流量數(shù)據(jù)的復(fù)雜性并不能直接應(yīng)用Bayes方法得到后驗(yàn)均值估計(jì)及其漸進(jìn)方差，而是引入隱變量概率模型，即在已知測(cè)量數(shù)據(jù)的基礎(chǔ)上添加一些“潛在數(shù)據(jù)”，從而簡化計(jì)算完成參數(shù)估計(jì)，在這過程中可以將“數(shù)據(jù)缺失部分”連同未知參數(shù)一起作為“潛在數(shù)據(jù)”，采用EM(expectation-maximization)算法求取模型參數(shù)的極大似然估計(jì)(MLE)。

在進(jìn)行極大似然估計(jì)時(shí)需要已知數(shù)據(jù)的概率分布，通常假設(shè)其滿足正態(tài)分布，但由于實(shí)際網(wǎng)絡(luò)流量中含有一些噪聲流量干擾，采用正態(tài)分布假設(shè)會(huì)造成參數(shù)估計(jì)的偏差過大，故本文引入多元t分布取代多元正態(tài)分布。相對(duì)于正態(tài)分布，t分布具有重尾特性，引入t分布后在極大似然估計(jì)過程中根據(jù)不同樣本的馬氏距離為樣本分配不同的權(quán)重，而異常樣本具有較低的權(quán)重，故可減少對(duì)參數(shù)估計(jì)的影響。

RMPCM方法通過引入基于t分布的隱變量概率模型，解決了上述問題，建立了正常流量模型。

3.2 正常流量建模

假設(shè)每個(gè)d維的隱向量ti都來自于一個(gè)D(D≥d)維特征向量xi的線性概率投影，以此建立隱變量概率模型，并選擇單位方差t分布作為隱向量的先驗(yàn)分布，概率模型如下

其中，W為投影矩陣(projection matrix)，μ為位置向量，I為單位矩陣。

對(duì)該概率模型無法直接使用極大似然估計(jì)進(jìn)行求解，但由文獻(xiàn)[23]可知，t分布模型可以擴(kuò)展為均值相同的無限高斯混合模型，其先驗(yàn)分布為伽瑪分布，且參數(shù)只與t分布的自由度v有關(guān)

可以采用EM算法求取模型參數(shù)的極大似然估計(jì)，為了簡化計(jì)算，本文采用了一種快速算法REM(rapid expectation-maximization)，REM可顯著提高算法收斂速度，該算法可分為2個(gè)階段，每個(gè)階段都采用EM算法對(duì)不同參數(shù)進(jìn)行估計(jì)，然后迭代進(jìn)行2個(gè)階段的循環(huán)直至滿足收斂條件。

第1階段。該階段不考慮ti，只對(duì)參數(shù)μ進(jìn)行估計(jì)[26]，表示計(jì)算期望。

圖1 缺失數(shù)據(jù)下正常建模步驟

3.3 流量異常檢測(cè)

對(duì)于復(fù)雜的流量數(shù)據(jù)需要選擇度量標(biāo)準(zhǔn)從而判定其中的異常流量樣本。判斷數(shù)據(jù)中哪些是異常樣本常用2種策略，即通過判斷Hotelling's T2是否超過閾值確定樣本點(diǎn)是否為高杠桿異常點(diǎn)(leverage outlier)，通過判斷平方預(yù)測(cè)誤差(SPE, squared prediction error)是否超過閾值確定樣本點(diǎn)的正交異常點(diǎn)(orthogonal outlier)[27]。但本文由于建立了概率模型可以簡單地采用樣本的馬氏距離來衡量，無需采用2種異常判定方法[28]。

對(duì)于完整數(shù)據(jù)樣本，其馬氏距離平方為

其中，Φ(·)為標(biāo)準(zhǔn)正態(tài)分布的概率分布函數(shù)。

采用“3σ”控制圖來判讀異常即當(dāng)取值偏離均值超過3倍標(biāo)準(zhǔn)差時(shí)，可以判斷異常事件的發(fā)生，其置信度為99.74%。

3.4 算法復(fù)雜度分析

在RMPCM算法中，主要的計(jì)算開銷是流量矩陣的尺度矩陣Ψ求逆和REM算法的迭代次數(shù)。Ψ為D×D的矩陣，D為X的維數(shù)，對(duì)應(yīng)于流量矩陣的列數(shù)，即OD的個(gè)數(shù)(n×n)。在計(jì)算過程中，直接計(jì)算對(duì)算法復(fù)雜度影響很大，本文利用Woodbury矩陣恒等式，可得的矩陣，使用PCA降維方法確定固有維度數(shù)d，可知d?D，這樣就將求D×D的矩陣Ψ的逆轉(zhuǎn)化為求d×d的矩陣M的逆，極大地簡化了計(jì)算復(fù)雜度，其時(shí)間復(fù)雜度為O(Nd2)。算法的時(shí)間復(fù)雜度還與EM算法的迭代次數(shù)有關(guān)，本文采用快速EM算法計(jì)算中迭代次數(shù)一般小于15次。采用Matlab對(duì)選用數(shù)據(jù)集執(zhí)行 RMPCM檢測(cè)算法，執(zhí)行時(shí)間如表1所示，計(jì)算機(jī)配置為Win7系統(tǒng)、酷睿i7 3.5 GHz的CPU、4 GB內(nèi)存。

表1 RMPCM檢測(cè)算法執(zhí)行時(shí)間

4 實(shí)驗(yàn)評(píng)價(jià)

通常評(píng)價(jià)網(wǎng)絡(luò)異常檢測(cè)算法的性能主要有2種實(shí)驗(yàn)方法：仿真平臺(tái)實(shí)驗(yàn)方法[19]和網(wǎng)絡(luò)實(shí)測(cè)數(shù)據(jù)分析[9,10,20,27,29]的方法。仿真平臺(tái)的實(shí)驗(yàn)方法易于掌控，但缺點(diǎn)是不夠真實(shí)；實(shí)測(cè)數(shù)據(jù)分析法場(chǎng)景真實(shí)但較難獲取標(biāo)準(zhǔn)答案(benchmark)。為了更加客觀地評(píng)價(jià)RMPCM方法的性能表現(xiàn)，本文采用2種方法相結(jié)合的網(wǎng)絡(luò)異常檢測(cè)評(píng)價(jià)辦法。

在性能比較評(píng)價(jià)方面，本文選擇基于 PCA的子空間構(gòu)建的異常檢測(cè)方法[9]與本文的RMPCM方法進(jìn)行比較。基于 PCA子空間構(gòu)建的異常檢測(cè)方法已經(jīng)得到了廣泛的認(rèn)可，著名的商用異常檢測(cè)系統(tǒng)NetReflex就是基于該方法的[29]。

4.1 仿真平臺(tái)實(shí)驗(yàn)

本文選擇采用南加州大學(xué)提出的 DETERLab(cyber-defense technology experimental research laboratory testbed)[30]安全實(shí)驗(yàn)平臺(tái)。它可將原型系統(tǒng)中的節(jié)點(diǎn)用任何拓?fù)浣Y(jié)構(gòu)互聯(lián)拓展，并可對(duì)實(shí)驗(yàn)條件靈活配置，為研究者提供網(wǎng)絡(luò)攻防實(shí)驗(yàn)所需的背景流量和攻擊流量的注入方法，并研究部署和評(píng)價(jià)可能的解決方案。它可充分整合本地的硬件資源，比NS2等仿真軟件具有更真實(shí)的仿真效果。

本文將基于Metasploit框架的攻擊工具集成到Deterlab的SEER(security experimentation environment)軟件套裝中，生成該仿真平臺(tái)上的多種異常流量。實(shí)驗(yàn)設(shè)置了10個(gè)PoP節(jié)點(diǎn)，并選擇與各PoP節(jié)點(diǎn)相鄰的一個(gè)節(jié)點(diǎn)配置為采集設(shè)備，拓?fù)渑渲萌鐖D2所示。實(shí)驗(yàn)時(shí)間持續(xù)1個(gè)星期，每5 min采集一次數(shù)據(jù)，記為一個(gè)采集周期，共2 016個(gè)周期，采集的數(shù)據(jù)按字節(jié)計(jì)數(shù)。

4.1.1 噪聲環(huán)境中的異常檢測(cè)

實(shí)驗(yàn)設(shè)置3種情形并與基于PCA子空間的檢測(cè)方法進(jìn)行比較，分別驗(yàn)證了2種方法的檢測(cè)精度、性能影響因素、突發(fā)大流的毒害性。

500時(shí)刻和1 000時(shí)刻開始從PoP1向PoP2進(jìn)行TCP SYN泛洪DoS攻擊，1 800時(shí)刻開始從PoP3向PoP4進(jìn)行DoS攻擊，持續(xù)時(shí)間皆為4個(gè)周期；800時(shí)刻開始采用Nmat從PoP1對(duì)PoP2、PoP5、PoP6進(jìn)行掃描，持續(xù)時(shí)間5周期；1 200時(shí)刻開始將PoP1至PoP2的流量減少50%，并將這部分轉(zhuǎn)移到PoP7至PoP8的流量上，持續(xù)時(shí)間40周期后恢復(fù)；1 500時(shí)刻開始同時(shí)從PoP2、PoP4、PoP5、PoP8向PoP10發(fā)動(dòng)UDP洪水DDoS攻擊，持續(xù)時(shí)間6周期。使用 RMPCM 的檢測(cè)結(jié)果和使用基于 PCA子空間方法的檢測(cè)結(jié)果如圖3(a)所示，產(chǎn)生的6次異常2種方法都檢測(cè)到了，但PCA方法并未在每次異常持續(xù)的周期中都檢出異常，尤其是對(duì)1 200～1 239的出口/入口流量轉(zhuǎn)移異常，PCA檢出的異常周期遠(yuǎn)小于異常設(shè)定，而RMPCM方法檢出的異常周期與異常設(shè)定非常接近。

為了進(jìn)一步比較2種方法的差異及影響因素，本文對(duì)異常進(jìn)行調(diào)整：500時(shí)刻和1 800時(shí)開始的DoS攻擊強(qiáng)度減小50%；800時(shí)刻開始的掃描范圍減少到從PoP1至Pop2，掃描頻率減少50%；1 200時(shí)刻開始的出口/入口轉(zhuǎn)移持續(xù)時(shí)間減小 20個(gè)周期；1 500時(shí)刻開始DDoS攻擊范圍縮小到PoP2、PoP4至PoP10，攻擊強(qiáng)度不變；1 000時(shí)刻開始的DoS保持不變。從圖3(b)中可以看出異常大小和異常影響范圍的變化對(duì) 2種檢測(cè)方法的性能都有影響，800時(shí)刻開始的異常均未被檢出；而異常持續(xù)時(shí)間的縮短對(duì)檢測(cè)效果影響不大。2種方法相比，PCA方法在時(shí)刻1 272、1 407、1 451等10個(gè)時(shí)刻出現(xiàn)了誤報(bào)，虛警率高于RMPCM方法。

圖2 Deterlab平臺(tái)拓?fù)渑渲?/p>

圖3 Deterlab平臺(tái)上RMPCM與PCA檢測(cè)結(jié)果對(duì)比

在第一種實(shí)驗(yàn)設(shè)定的基礎(chǔ)上將500時(shí)刻開始的DoS的攻擊強(qiáng)度提升為原來的 220%，產(chǎn)生突發(fā)大流，其他保持不變。突發(fā)大流可提高所在路徑上的方差水平，造成小方差的異常被誤認(rèn)為正常事件。如圖3(c)所示，大流造成PCA方法檢測(cè)精度下降，凡是包含大流所在OD(PoP1至PoP2)的異常其檢出率都受到影響：1 000時(shí)刻開始的DoS與大流處于同一路徑上，因而影響最大，在圖中已不可見；出口/入口轉(zhuǎn)移涉及的 2條 OD其中一條為大流所在OD，其殘余向量也衰減嚴(yán)重未達(dá)到檢出閾值；端口掃描和DDoS也包含大流所在OD，其殘余向量不同程度受到影響；1 800時(shí)刻開始的DoS不包含大流所在OD則未受影響。而RMPCM方法對(duì)大流毒害的健壯性較強(qiáng)，檢測(cè)精度未受到影響。

由上述實(shí)驗(yàn)可知本文提出的RMPCM方法在異常噪聲環(huán)境中精度高、抗干擾能力強(qiáng)，優(yōu)于經(jīng)典的基于PCA子空間的方法。

4.1.2 數(shù)據(jù)缺失條件下異常檢測(cè)

如果網(wǎng)絡(luò)故障等原因造成數(shù)據(jù)缺失，那么傳統(tǒng)的基于非概率模型的方法會(huì)因?yàn)閿?shù)據(jù)的不完整而變得不可用，而本文提出的基于t分布隱變量概率模型的RMPCM方法在處理缺失數(shù)據(jù)的問題時(shí)具有優(yōu)勢(shì)。在Deterlab仿真平臺(tái)上驗(yàn)證數(shù)據(jù)缺失條件下RMPCM方法的檢測(cè)性能時(shí)，數(shù)據(jù)缺失場(chǎng)景的設(shè)置分別按照鏈路故障、采集設(shè)備故障、PoP節(jié)點(diǎn)故障3種進(jìn)行，鏈路故障會(huì)造成通過的OD流數(shù)據(jù)缺失，采集設(shè)備故障會(huì)造成以其相連PoP節(jié)點(diǎn)為源節(jié)點(diǎn)的 OD流數(shù)據(jù)丟失，PoP節(jié)點(diǎn)故障造成的數(shù)據(jù)缺失與故障類型、網(wǎng)絡(luò)拓?fù)湟约奥酚刹呗杂嘘P(guān)。實(shí)驗(yàn)的拓?fù)渑渲萌鐖D 2所示，實(shí)驗(yàn)按照4.1.1節(jié)產(chǎn)生異常的方法選擇100個(gè)周期注入異常。為了盡量消除實(shí)驗(yàn)中的偶然情況，本文對(duì)每種故障情況都進(jìn)行了10次實(shí)驗(yàn)，每次實(shí)驗(yàn)隨機(jī)選擇403個(gè)周期和1 008個(gè)周期（占1個(gè)星期2 016個(gè)周期中的20%和50%)，并在選中的周期中隨機(jī)選擇某一鏈路（采集設(shè)備、PoP節(jié)點(diǎn)）發(fā)生故障，每次故障持續(xù)時(shí)間為20個(gè)周期，最后取10次實(shí)驗(yàn)均值繪出ROC曲線。圖4分別為完整數(shù)據(jù)、403個(gè)周期故障和1 008個(gè)周期故障的檢測(cè)結(jié)果的ROC曲線。從實(shí)驗(yàn)結(jié)果中可以看出鏈路故障、采集設(shè)備故障、PoP節(jié)點(diǎn)故障所造成的數(shù)據(jù)缺失對(duì)檢測(cè)精度的影響逐漸加深，而且在每種場(chǎng)景下發(fā)生數(shù)據(jù)缺失的周期越多檢測(cè)精度越低，但總體而言RMPCM方法在數(shù)據(jù)不完整的條件下健壯性較好，20%的周期中發(fā)生數(shù)據(jù)缺失時(shí)檢測(cè)精度較高，即便是在最嚴(yán)重的情況下（50%的周期中發(fā)生PoP節(jié)點(diǎn)故障）仍以20%的虛警率得到接近70%的檢測(cè)率（如圖4(c)所示）。

圖4 Deterlab平臺(tái)數(shù)據(jù)缺失條件下RMPCM檢測(cè)結(jié)果

4.2 網(wǎng)絡(luò)實(shí)測(cè)數(shù)據(jù)分析

4.2.1 數(shù)據(jù)集

實(shí)測(cè)數(shù)據(jù)集選擇了網(wǎng)絡(luò)流量研究中常用的骨干網(wǎng)Abilene的數(shù)據(jù)集[2,9,10,16,18,20]，Abilene網(wǎng)絡(luò)主要用戶為美國的大學(xué)和科研機(jī)構(gòu)等。由于其 2003年的數(shù)據(jù)較為完整也有較多方法采用便于參考，本文選擇了2003年12月15日～12月21日11個(gè)PoP節(jié)點(diǎn)的NetFlow數(shù)據(jù)，并根據(jù)BGP和ISIS選路表得到每條流的入口點(diǎn)和出口點(diǎn)，求得OD流量大小及流量矩陣，如表2所示。本文使用該數(shù)據(jù)集進(jìn)行缺失數(shù)據(jù)條件下的檢測(cè)性能評(píng)價(jià)以及敏感性分析。

表2 Abilene流量矩陣數(shù)據(jù)集

4.2.2 數(shù)據(jù)缺失條件下異常檢測(cè)

在進(jìn)行實(shí)測(cè)數(shù)據(jù)集缺失條件下的異常檢測(cè)實(shí)驗(yàn)時(shí)，選擇分組數(shù)(P)數(shù)據(jù)集按照2.2節(jié)提出的4種缺失機(jī)制依次進(jìn)行測(cè)試。為了比較各種缺失機(jī)制下RMPCM 方法的異同從而分析影響檢測(cè)性能的因素，在完全隨機(jī)缺失、時(shí)間段隨機(jī)缺失、OD隨機(jī)缺失3種機(jī)制下設(shè)置相同的丟失率比較不同機(jī)制對(duì)檢測(cè)性能的影響，在第4種塊隨機(jī)缺失的機(jī)制下比較相同丟失率不同塊大小對(duì)檢測(cè)性能的影響。為了消除丟失數(shù)據(jù)實(shí)驗(yàn)的偶然性，進(jìn)行了 10次實(shí)驗(yàn)，取實(shí)驗(yàn)均值并以完整數(shù)據(jù)下RMPCM的檢測(cè)結(jié)果為基準(zhǔn)繪出ROC曲線。

圖5 實(shí)測(cè)數(shù)據(jù)在4種缺失機(jī)制下的檢測(cè)結(jié)果

完全隨機(jī)缺失實(shí)驗(yàn)選擇了3種丟失率，丟失數(shù)據(jù)占流量矩陣總數(shù)據(jù)量的 10%、20%、50%，如圖5(a)所示；時(shí)間段隨機(jī)缺失實(shí)驗(yàn)設(shè)置隨機(jī)缺失的周期數(shù)分別為200、400、1 000，由于總的時(shí)間周期為 2 010，故時(shí)間段隨機(jī)缺失的數(shù)據(jù)丟失率接近10%、20%、50%，分別與完全隨機(jī)缺失一一對(duì)應(yīng)，結(jié)果如圖 5(b)所示；OD隨機(jī)缺失實(shí)驗(yàn)時(shí)由于算法限制矩陣的整列數(shù)據(jù)不能全部丟失，故選擇某列一半相鄰數(shù)據(jù)設(shè)為空，設(shè)置缺失的OD數(shù)分別為24、48、121，每個(gè)OD的數(shù)據(jù)丟失率為50%，OD總數(shù)為121，所以O(shè)D隨機(jī)缺失實(shí)驗(yàn)的數(shù)據(jù)丟失率仍為10%、20%、50%，結(jié)果如圖5(c)所示。3種機(jī)制的實(shí)驗(yàn)都表明在數(shù)據(jù)缺失的條件下RMPCM方法仍保持了較高的檢測(cè)精度，在數(shù)據(jù)缺失10%時(shí)，檢測(cè)器性能損失較小，隨著數(shù)據(jù)缺失率的增大，檢測(cè)器性能也逐漸變差，但即便是數(shù)據(jù)缺失率達(dá)到50%的嚴(yán)苛條件下，檢測(cè)結(jié)果仍然可用。3種機(jī)制相比較也可發(fā)現(xiàn)檢測(cè)性能受完全隨機(jī)缺失影響最小，時(shí)間段隨機(jī)缺失次之，OD隨機(jī)缺失影響最大。3種缺失機(jī)制下數(shù)據(jù)缺失總量保持一致，但檢測(cè)器性能卻逐漸惡化，分析原因應(yīng)與每次結(jié)構(gòu)化缺失的數(shù)據(jù)量增加有關(guān)，完全隨機(jī)缺失實(shí)驗(yàn)丟失的數(shù)據(jù)塊最小，OD隨機(jī)缺失實(shí)驗(yàn)丟失的數(shù)據(jù)塊最大。

為了進(jìn)一步驗(yàn)證結(jié)構(gòu)化缺失對(duì)檢測(cè)性能的影響，在進(jìn)行第4種塊隨機(jī)缺失實(shí)驗(yàn)時(shí)，設(shè)定不同塊大小但保持相同丟失總量：分別設(shè)定3種塊大小5×5、16×16、40×40，缺失的塊數(shù)量分別為2 000、200、30，保持丟失量占總數(shù)據(jù)量約20%。實(shí)驗(yàn)結(jié)果如圖 5(d)所示，通過 ROC曲線可知：在相同數(shù)據(jù)丟失率下，結(jié)構(gòu)化缺失的數(shù)據(jù)量越大，檢測(cè)性能下降得越多。但總體而言，RMPCM方法在塊隨機(jī)缺失機(jī)制下以20%的虛警率得到了70%以上的檢測(cè)率，檢測(cè)性能可以滿足需求。

4.2.3 敏感性分析

文獻(xiàn)[22]指出了基于PCA的子空間方法對(duì)于固有維度和流量測(cè)度的敏感性問題，本文通過實(shí)驗(yàn)驗(yàn)證RMPCM方法是否也存在這樣的問題。實(shí)驗(yàn)分為2種情況：一是對(duì)固有維度d的敏感性分析，二是對(duì)流量測(cè)度的敏感性分析。實(shí)驗(yàn)選用基于 PCA的子空間方法進(jìn)行對(duì)比。

選擇實(shí)測(cè)數(shù)據(jù)集流數(shù)(F)進(jìn)行固有維度的敏感性分析實(shí)驗(yàn)。固有維度d因?qū)嶒?yàn)設(shè)定的主元累計(jì)方差貢獻(xiàn)率的不同而不同，實(shí)驗(yàn)結(jié)果如圖6所示。圖6(a)和圖6(b)分別為PCA固有維度d為4和5時(shí)的檢測(cè)曲線，可見曲線輪廓完全不同，檢測(cè)結(jié)果差別很大；圖6(c)和圖6(d)分別為RMPCM對(duì)應(yīng)的檢測(cè)曲線，曲線輪廓及檢測(cè)結(jié)果均保持一致。實(shí)驗(yàn)中進(jìn)一步驗(yàn)證了RMPCM方法d取2～10的檢測(cè)情況，檢測(cè)結(jié)果基本一致，保持了很高的頑健性。

圖6 PCA(圖左側(cè))與RMPCM(圖右側(cè))對(duì)固有維度的敏感性

本文分別選擇實(shí)測(cè)數(shù)據(jù)集B、P、F進(jìn)行流量測(cè)度的敏感性分析，實(shí)驗(yàn)設(shè)定主元的累計(jì)方差貢獻(xiàn)率閾值為0.85，結(jié)果如圖7所示，PCA方法在3種測(cè)度下得到的曲線輪廓完全不同，檢測(cè)結(jié)果也差別很大；而RMPCM方法的檢測(cè)曲線輪廓近似，檢測(cè)結(jié)果雖有不同但有較大聯(lián)系。由于無法獲得該實(shí)測(cè)數(shù)據(jù)集的異常標(biāo)注，故不知異常發(fā)生的實(shí)際情況。但實(shí)際上以流數(shù)、字節(jié)數(shù)、分組數(shù)為測(cè)度得到的統(tǒng)計(jì)量是有關(guān)聯(lián)的，相應(yīng)的異常檢測(cè)結(jié)果也應(yīng)該有所重合，而 PCA方法得到的結(jié)果有多處相互沖突，說明對(duì)流量測(cè)度過于敏感，相比之下RMPCM方法穩(wěn)健性很強(qiáng)，得到的結(jié)果更加合理。

綜上可知，RMPCM方法對(duì)固有維度和流量測(cè)度等模型參數(shù)的敏感性較低，性能穩(wěn)定，便于實(shí)際部署。

圖7 PCA(圖左側(cè))與RMPCM(圖右側(cè))對(duì)流量測(cè)度的敏感性

5 結(jié)束語

本文針對(duì)現(xiàn)有全網(wǎng)方法在數(shù)據(jù)不完整時(shí)噪聲干擾時(shí)存在的問題，通過建立基于多元t分布的隱變量概率模型，提出一種基于RMPCM的全網(wǎng)絡(luò)異常檢測(cè)方法。仿真實(shí)驗(yàn)和因特網(wǎng)實(shí)測(cè)數(shù)據(jù)分析表明：RMPCM方法的檢測(cè)性能優(yōu)于經(jīng)典PCA方法，并且健壯性很好，無論待檢數(shù)據(jù)完整與否、檢測(cè)環(huán)境是否有干擾，該方法都表現(xiàn)出較為穩(wěn)定的檢測(cè)性能，對(duì)模型參數(shù)的敏感性也較低。下一步，將對(duì)更細(xì)粒度的異常定位和RMPCM的在線算法進(jìn)行研究。

致謝：

感謝英國薩里大學(xué)陳濤教授在本文算法研究過程中給予的無私幫助。

[1] DANIEL T, KIRILL L, STEFAN S,et al. A comparison of syslog and IS-IS for network failure analysis[A]. Proc of the ACM Internet Measurement Conf[C]. Barcelona: ACM Press, 2013.

[2] RISTO V, MAUNO P. Using security logs for collecting and reporting technical security metrics[A]. Proc of the IEEE Military Communications Conf[C]. Baltimore: IEEE Press, 2014.

[3] NAIDU K V M, PANIGRAHI D, RASTOGI R. Detecting anomalies using end-to-end path measurements[A]. INFOCOM[C]. 2008.

[4] BARFORD P, DUFFIELD N, RON A,et al. Network performance anomaly detection and localization[A]. INFOCOM[C]. 2009.

[5] 程國振, 程?hào)|年, 俞定玖. 基于多尺度低秩模型的網(wǎng)絡(luò)異常流量檢測(cè)方法[J]. 通信學(xué)報(bào), 2012, 33(1): 182-190.CHENG G Z, CHENG D N, YU D J. Network traffic detection based on multi resolution low rank model[J]. Journal on Communications,2012, 33(1): 182-190.

[6] JIANG D, XU Z, ZHANG P,et al.A transform domain-based anomaly detection approach to network-wide traffic [J]. Journal of Network &Computer Applications, 2013, 40(2):292-306.

[7] YEGNESWARAN V, BARFORD P, ULLRICH J. Internet intrusions:global characteristics and prevalence[J]. ACM Sigmetrics Performance Evaluation Review, 2003, 31(1): 138-147.

[8] LAKHINA A, PAPAGIANNAKI K, CROVELLA M. Structural analysis of network traffic flows[A]. SIGMETRICS[C]. New York, 2004.

[9] LAKHINA A, CROVELLA M, DIOT C. Diagnosing network-wide traffic anomalies[A]. Proc of the ACM SIGCOMM[C]. New York:ACM Press, 2004. 65-76.

[10] SOULE A, SALAMATIAN K E, TAFT N. Combining filtering and statistical methods for anomaly detection[A]. Proc of the ACM IMC[C]. Boston,USA,2005.311-312.

[11] JIANG D, YAO C, XU Z,et al. Multi-scale anomaly detection for high-speed network traffic[J]. Transactions on Emerging Telecommunications Technologies, 2015,26:308-317.

[12] 錢葉魁, 陳鳴, 葉立新. 基于多尺度主成分分析的全網(wǎng)絡(luò)異常檢測(cè)方法[J]. 軟件學(xué)報(bào), 2012, 23(2): 361-377.QIAN Y K, CHEN M, YE L X. Network-wide anomaly detection method based on multiscale principal component analysis[J]. Journal of Software, 2012, 23(2): 361-377.

[13] BRAUCKHOFF D, SALAMATIAN K, MAY M. Applying PCA for traffic anomaly detection: problems and solutions[A]. Proc of the INFOCOM[C]. New York: IEEE Press, 2009,46-53.

[14] RUBINSTEIN B I P, NELSON B, HUANG L,et al. Stealthy poisoning attacks on PCA-based anomaly detectors[A]. Proc of the ACM SIGMETRICS[C]. New York: ACM Press, 2009.

[15] RUBINSTEIN B I P, NELSON B, HUANG L,et al. ANTIDOTE:understanding and defending against poisoning of anomaly detectors[A]. Proc of the ACM Internet Measurement Conf[C]. Chicago,2009.

[16] 錢葉魁, 陳鳴. 面向 PCA異常檢測(cè)器的毒害攻擊和防御機(jī)制[J].電子學(xué)報(bào), 2011,39(3):543-548.QIAN Y K, CHEN M. Poison attack and defense strategies on PCA-based anomaly detector[J]. Acta Electronica Sinica, 2011,39(3):543-548.

[17] AHMED T, COATES M, LAKHINA A. Multivariate online anomaly detection using kernel recursive least squares[A]. INFOCOM[C]. 2007.

[18] 錢葉魁, 陳鳴. MOADA-SVR: 一種基于支持向量回歸的多元在線異常檢測(cè)方法[J]. 通信學(xué)報(bào), 2011, 32(2): 106-113.QIAN Y K, CHEN M. MOADA-SVR：a multivariate online anomaly detection algorithm based on SVR[J]. Journal on Communications,2011, 32(2): 106-113.

[19] WENJI C, YANG L, YONG G. Cardinality change-based early detection of large-scale cyber-attacks[A]. Proc of the INFOCOM[C]. 2013.1788-1796.

[20] 錢葉魁, 陳鳴, 郝強(qiáng). ODC: 在線檢測(cè)和分類全網(wǎng)絡(luò)流量異常的方法[J]. 通信學(xué)報(bào), 2011, 32(1): 111-120.QIAN Y K, CHEN M, HAO Q. ODC: a method for online detecting＆classifying network-wide traffic anomalles[J]. Journal on Communications, 2011, 32(1): 111-120.

[21] YIN Z, MATTHEW R, WALTER W,et al. Spatio-temporal compressive sensing and internet traffic matrices[A]. Proc of the ACM SIGCOMM[C]. Barcelona: ACM Press, 2009.65-76.

[22] RINGBERG H, SOULE A, REXFORD J,et al. Sensitivity of PCA for traffic anomaly detection[A]. Proc of the ACM SIGMETRICS[C].New York: ACM Press, 2007.78- 89.

[23] LIU C, RUBIN D B. ML estimation of the t distribution using EM and its extensions[J]. ECM and ECME Statistica Sinica, 1995, 5: 19-39.

[24] PEEL D, Mclachlan G J. Robust mixture modelling using thetdistribution[J]. Statistics and Computing , 2000,10: 339-348.

[25] LITTLE R J A, RUBIN D B. Statistical Analysis with Missing Data[M]. Chichester: Wiley, 1987.

[26] TIPPING M E, BISHOP C M. Mixtures of probabilistic principal component analyzers[J]. Neural Computation, 1999, 11(2): 443-482.

[27] LAKHINA A, CROVELLA M, DIOT C. Characterization of network-wide anomalies in traffic flows[A]. Proc of the ACM Internet Measurement Conf[C]. New York: ACM Press, 2004. 34-55.

[28] CHEN T, MORRIS J, MARTIN E. Probability density estimation via an infinite Gaussian mixture model: application to statistical process monitoring[J]. Journal of the Royal Statistical Society: Series C (Applied Statistics), 2006, 55(5): 699-715.

[29] PAREDES-OLIVA I, DIMITROPOULOS X, MOLINA M,et al.Automating root-cause analysis of network anomalies using frequent itemset mining[J]. ACM SIGCOMM Computer Communication Review, 2011, 41(4): 467-468.

[30] BENZEL T, BRADEN R, KIM D,et al. Experiences with DETER: a testbed for security research[A]. Proc of the TRIDENTCOM[C]. IEEE Press, 2006.388-397.