論析網絡應用流分析與風險評估系統

論析網絡應用流分析與風險評估系統

　　論文關健詞：應用流分析；風險評估；流量分組

　　論文摘要：針對網絡中的各種應用服務的識別檢測，采用應用層協議簽名的流量識別技術和流量分組技術，實現網絡應用流的分析和風險評估系統——RAS，提出基于流量分組技術的應用流風險評估模型。該系統為網絡資源分配和網絡安全的預測提供有價值的依據。實驗結果表明，TARAS系統具有良好的流量分析效率和風險評估準確性。

　　1概述

基于互聯網的新技術、新應用模式及需求，為網絡的管理帶來了挑戰:(1)關鍵應用得不到保障，OA, ERP等關鍵業務與BT,QQ等爭奪有限的廣域網資源;(2)網絡中存在大量不安全因素，據CNCERT/CC獲得的數據表明，2006年上半年約有14萬臺中國大陸主機感染過Beagle和Slammer蠕蟲;(3)傳統流量分析方法已無法有效地應對新的網絡技術、動態端口和多會話等應用，使得傳統的基于端口的流量監控方法失去了作用。

如何有效地掌握網絡運行狀態、合理分配網絡資源，成為網絡管理者們的當務之急。針對以上需求，作者設計并實現了一套網絡應用流分析與風險評估系統(Traffic Analysis and Risk Assessment System, TARAS)。

當前，網絡流量異常監測主要基于TCP/IP協議。文獻[5]提出使用基于協議簽名的方法識別應用層協議。本系統采用了應用層協議簽名的流量分析技術，這是目前應用流分析最新技術。然而，簡單的流量分析并不能確定網絡運行狀態是否安全。因此，在流量分析的基礎上，本文提出了應用流風險評估模型。該模型使用流量分組技術從定量和定性兩方面對應用流進行風險評估，使網絡運行狀態安全與杏這個不確定性問題得到定性評估，這是當前網絡管理領域需要的。

　　2流量分析模型

目前應用流識別技術有很多，本文提出的流量識別方法是對Subhabrata Sen提出的應用協議特征方法的改進。針對種類繁多的應用層協議采用了兩級匹配結構，提高效率。

應用識別模塊在Linux環境下使用Libpcap開發庫，通過旁路監聽的方式實現。在設計的時候考慮到數據報文處理的效率，采用了類似于Linux下的NetFilter框架的設計方法，結構見圖1。

采取上述流量識別框架的優點:(1)在對TCP報文頭的查找中使用了哈希散列算法，提高了效率;(2)借鑒狀態防火墻的技術，使用面向流(flow)的識別技術，對每個TCP連接的只分析識別前10個報文，對于該連接后續的數據報文則直接查找哈希表進行分類，這樣避免了分析每個報文帶來的效率瓶頸;(3)模式匹配模塊的設計使得可擴展性較好。

在匹配模塊設計過程中，筆者發現如果所有的協議都按照基于協議特征的方式匹配，那么隨著協議數量的增大，效率又會成為一個需要解決的問題。

因此，在設計應用流識別模塊時，筆者首先考慮到傳輸層端口與網絡應用流之間的聯系，雖然兩者之間沒有絕對固定的對應關系，但是它們之間存在著制約，比如:QQ協議的服務器端口基本不會出現在80, 8000, 4000以外的端口;HTTP協議基本不會出現在80, 443, 8080以外的端口等，因此，本文在流量分析過程中首先將一部分固定端口的協議使用端口散列判斷進行預分類，提高匹配效率。

對于端口不固定的應用流識別，采用兩級的結構。將最近經常檢測到的業務流量放在常用流量識別子模塊里面，這樣可以提高查找的速度。另外，不同的網絡環境所常用的網絡應用流也不同，因此，也沒有必要在協議特征庫中大范圍查找。兩級查詢匹配保證了模型對網絡環境的自適應性，它能夠隨著網絡環境的改變以及網絡應用的變化而改變自己的查詢策略，但不降低匹配效率。應用流識別子模塊的設計具體結構見圖2。

　　3風險評估模型

本文采用基于流量分組技術的風險評估方法。流量分組的目的是為流量的安全評估提供數據。

　　3.1應用流的分組

網絡應用種類多、變化頻度高，這給應用流的評估帶來了麻煩，如果要綜合考慮每一種應用流對網絡帶來的影響，顯然工作量是難以完成的。因此，本文引入應用流分組的概念。應用流分組的目的是從網絡環境和安全角度的考慮，將識別后的流量進行歸類分組。筆者在長期實驗過程中，根據應用的重要性、對網絡的占用率、對網絡的威脅性等因素得到一個較為合理的分組規則，即將網絡流量分為:關鍵業務，傳統流量，P2P及流媒體，攻擊流，其他5類。應用流分組確定了流量評估的維度，這樣有利于提高評估的效率。表1列舉了部分應用流的分組。

應用流分組模塊有2個功能。首先是將檢測到的各種應用流量按照表1中的分組歸類，并計算各分組應用流量的大小、連接數目、通信主機數目3個方面的信息，并以一定的時間周期向流量安全評估模塊傳送數據。另外一個是在安全事件出現時，向安全響應模塊提供異常應用流名稱和其他相關信息。應用流分組模塊的輸入是各應用流的流量大小，而輸出有2個:

(1)整個網絡的流量分布矩陣。

(2)異常主機流量分組中的成份。

　　筆者引入流量矩陣的概念。流量矩陣A的數學定義為

[1][2][3]下一頁

【論析網絡應用流分析與風險評估系統】相關文章：

《周易》憂患意識論析05-09

簡析統計分析在中小企業中的應用05-13

論析關于消費異化的文化批判05-11

論企業管理培訓生項目實踐的系統學分析05-01

論析新時期勞動價值論的創新和發展04-27

審計風險模型的演進及應用08-26

北京地區供水系統變頻調速應用例分析05-28

城市區域火災風險評估綜述06-09

論煤炭企業風險導向審計06-03

論析技術社會消費的文化批判和重塑05-28