參與評(píng)論

評(píng)論

登錄后參與評(píng)論

全部評(píng)論(1條)

• 

  萌貍仔甴 2016-06-22 00:00:00

  一種互聯(lián)網(wǎng)宏觀流量異常檢測(cè)方法(2007-11-7 10:37) 摘要：網(wǎng)絡(luò)流量異常指網(wǎng)絡(luò)中流量不規(guī)則地顯著變化。網(wǎng)絡(luò)短暫擁塞、分布式拒絕服務(wù)攻擊、大范圍掃描等本地事件或者網(wǎng)絡(luò)路由異常等全局事件都能夠引起網(wǎng)絡(luò)的異常。網(wǎng)絡(luò)異常的檢測(cè)和分析對(duì)于網(wǎng)絡(luò)安全應(yīng)急響應(yīng)部門非常重要，但是宏觀流量異常檢測(cè)需要從大量高維的富含噪聲的數(shù)據(jù)中提取和解釋異常模式，因此變得很困難。文章提出一種分析網(wǎng)絡(luò)異常的通用方法，該方法運(yùn)用主成分分析手段將高維空間劃分為對(duì)應(yīng)正常和異常網(wǎng)絡(luò)行為的子空間，并將流量向量影射在正常子空間中，使用基于距離的度量來(lái)檢測(cè)宏觀網(wǎng)絡(luò)流量異常事件。 公共互聯(lián)網(wǎng)正在社會(huì)生活的各個(gè)領(lǐng)域發(fā)揮著越來(lái)越重要的作用，與此同時(shí)，由互聯(lián)網(wǎng)的開放性和應(yīng)用系統(tǒng)的復(fù)雜性所帶來(lái)的安全風(fēng)險(xiǎn)也隨之增多。2006年，國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)ZX(CNCERT/CC)共接收26 476件非掃描類網(wǎng)絡(luò)安全事件報(bào)告，與2005年相比增加2倍，超過(guò)2003—2005年3年的總和。2006年，CNCERT/CC利用部署的863-917網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)，抽樣監(jiān)測(cè)發(fā)現(xiàn)ZG大陸地區(qū)約4.5萬(wàn)個(gè)IP地址的主機(jī)被植入木馬，與2005年同期相比增加1倍；約有1千多萬(wàn)個(gè)IP地址的主機(jī)被植入僵尸程序，被境外約1.6萬(wàn)個(gè)主機(jī)進(jìn)行控制。 黑客利用木馬、僵尸網(wǎng)絡(luò)等技術(shù)操縱數(shù)萬(wàn)甚至上百萬(wàn)臺(tái)被入侵的計(jì)算機(jī)，釋放惡意代碼、發(fā)送垃圾郵件，并實(shí)施分布式拒絕服務(wù)攻擊，這對(duì)包括骨干網(wǎng)在內(nèi)的整個(gè)互聯(lián)網(wǎng)網(wǎng)絡(luò)帶來(lái)嚴(yán)重的威脅。由數(shù)萬(wàn)臺(tái)機(jī)器同時(shí)發(fā)起的分布式拒絕服務(wù)攻擊能夠在短時(shí)間內(nèi)耗盡城域網(wǎng)甚至骨干網(wǎng)的帶寬，從而造成局部的互聯(lián)網(wǎng)崩潰。由于政府、金融、證券、能源、海關(guān)等重要信息系統(tǒng)的諸多業(yè)務(wù)依賴互聯(lián)網(wǎng)開展，互聯(lián)網(wǎng)骨干網(wǎng)絡(luò)的崩潰不僅會(huì)帶來(lái)巨額的商業(yè)損失，還會(huì)嚴(yán)重威脅國(guó)家安全。據(jù)不完全統(tǒng)計(jì)，2001年7月19日爆發(fā)的紅色代碼蠕蟲病毒造成的損失估計(jì)超過(guò)20億美元；2001年9月18日爆發(fā)的Nimda蠕蟲病毒造成的經(jīng)濟(jì)損失超過(guò)26億美元；2003年1月爆發(fā)的SQL Slammer蠕蟲病毒造成經(jīng)濟(jì)損失超過(guò)12億美元。 針對(duì)目前互聯(lián)網(wǎng)宏觀網(wǎng)絡(luò)安全需求，本文研究并提出一種宏觀網(wǎng)絡(luò)流量異常檢測(cè)方法，能夠在骨干網(wǎng)絡(luò)層面對(duì)流量異常進(jìn)行分析，在大規(guī)模安全事件爆發(fā)時(shí)進(jìn)行快速有效的監(jiān)測(cè)，從而為網(wǎng)絡(luò)防御贏得時(shí)間。 1 網(wǎng)絡(luò)流量異常檢測(cè)研究現(xiàn)狀 在骨干網(wǎng)絡(luò)層面進(jìn)行宏觀網(wǎng)絡(luò)流量異常檢測(cè)時(shí)，巨大流量的實(shí)時(shí)處理和未知攻擊的檢測(cè)給傳統(tǒng)入侵檢測(cè)技術(shù)帶來(lái)了很大的挑戰(zhàn)。在流量異常檢測(cè)方面，國(guó)內(nèi)外的學(xué)術(shù)機(jī)構(gòu)和企業(yè)不斷探討并提出了多種檢測(cè)方法[1]。 經(jīng)典的流量監(jiān)測(cè)方法是基于閾值基線的檢測(cè)方法，這種方法通過(guò)對(duì)歷史數(shù)據(jù)的分析建立正常的參考基線范圍，一旦超出此范圍就判斷為異常，它的特點(diǎn)是簡(jiǎn)單、計(jì)算復(fù)雜度小，適用于實(shí)時(shí)檢測(cè)，然而它作為一種實(shí)用的檢測(cè)手段時(shí)，需要結(jié)合網(wǎng)絡(luò)流量的特點(diǎn)進(jìn)行修正和改進(jìn)。另一種常用的方法是基于統(tǒng)計(jì)的檢測(cè)，如一般似然比(GLR)檢測(cè)方法[2]，它考慮兩個(gè)相鄰的時(shí)間窗口以及由這兩個(gè)窗口構(gòu)成的合并窗口，每個(gè)窗口都用自回歸模型擬合，并計(jì)算各窗口序列殘差的聯(lián)合似然比，然后與某個(gè)預(yù)先設(shè)定的閾值T 進(jìn)行比較，當(dāng)超過(guò)閾值T 時(shí)，則窗口邊界被認(rèn)定為異常點(diǎn)。這種檢測(cè)方法對(duì)于流量的突變檢測(cè)比較有效，但是由于它的閾值不是自動(dòng)選取，并且當(dāng)異常持續(xù)長(zhǎng)度超過(guò)窗口長(zhǎng)度時(shí)，該方法將出現(xiàn)部分失效。統(tǒng)計(jì)學(xué)模型在流量異常檢測(cè)中具有廣闊的研究前景，不同的統(tǒng)計(jì)學(xué)建模方式能夠產(chǎn)生不同的檢測(cè)方法。 Z近有許多學(xué)者研究了基于變換域進(jìn)行流量異常檢測(cè)的方法[3]，基于變換域的方法通常將時(shí)域的流量信號(hào)變換到頻域或者小波域，然后依據(jù)變換后的空間特征進(jìn)行異常監(jiān)測(cè)。P. Barford等人[4]將小波分析理論運(yùn)用于流量異常檢測(cè)，并給出了基于其理論的4類異常結(jié)果，但該方法的計(jì)算過(guò)于復(fù)雜，不適于在高速骨干網(wǎng)上進(jìn)行實(shí)時(shí)檢測(cè)。 Lakhina等人[5-6]利用主成分分析方法(PCA)，將源和目標(biāo)之間的數(shù)據(jù)流高維結(jié)構(gòu)空間進(jìn)行PCA分解，歸結(jié)到3個(gè)主成分上，以3個(gè)新的復(fù)合變量來(lái)重構(gòu)網(wǎng)絡(luò)流的特征，并以此發(fā)展出一套檢測(cè)方法。此外還有一些其他的監(jiān)測(cè)方法[7]，例如基于Markov模型的網(wǎng)絡(luò)狀態(tài)轉(zhuǎn)換概率檢測(cè)方法，將每種類型的事件定義為系統(tǒng)狀態(tài)，通過(guò)過(guò)程轉(zhuǎn)換模型來(lái)描述所預(yù)測(cè)的正常的網(wǎng)絡(luò)特征，當(dāng)?shù)絹?lái)的流量特征與期望特征產(chǎn)生偏差時(shí)進(jìn)行報(bào)警。又如LERAD檢測(cè)[8]，它是基于網(wǎng)絡(luò)安全特征的檢測(cè)，這種方法通過(guò)學(xué)習(xí)得到流量屬性之間的正常的關(guān)聯(lián)規(guī)則，然后建立正常的規(guī)則集，在實(shí)際檢測(cè)中對(duì)流量進(jìn)行規(guī)則匹配，對(duì)違反規(guī)則的流量進(jìn)行告警。這種方法能夠?qū)Πl(fā)生異常的地址進(jìn)行定位，并對(duì)異常的程度進(jìn)行量化。但學(xué)習(xí)需要大量正常模式下的純凈數(shù)據(jù)，這在實(shí)際的網(wǎng)絡(luò)中并不容易實(shí)現(xiàn)。 隨著宏觀網(wǎng)絡(luò)異常流量檢測(cè)成為網(wǎng)絡(luò)安全的技術(shù)熱點(diǎn)，一些廠商紛紛推出了電信級(jí)的異常流量檢測(cè)產(chǎn)品，如Arbor公司的Peakflow、GenieNRM公司的GenieNTG 2100、NetScout公司的nGenius等。國(guó)外一些研究機(jī)構(gòu)在政府資助下，開始部署宏觀網(wǎng)絡(luò)異常監(jiān)測(cè)的項(xiàng)目，并取得了較好的成績(jī)，如美國(guó)研究機(jī)構(gòu)CERT建立了SiLK和AirCERT項(xiàng)目，澳大利亞啟動(dòng)了NMAC流量監(jiān)測(cè)系統(tǒng)等項(xiàng)目。 針對(duì)宏觀網(wǎng)絡(luò)異常流量監(jiān)測(cè)的需要，CNCERT/CC部署運(yùn)行863-917網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)，采用分布式的架構(gòu)，能夠通過(guò)多點(diǎn)對(duì)骨干網(wǎng)絡(luò)實(shí)現(xiàn)流量監(jiān)測(cè)，通過(guò)分析協(xié)議、地址、端口、包長(zhǎng)、流量、時(shí)序等信息，達(dá)到對(duì)ZG互聯(lián)網(wǎng)宏觀運(yùn)行狀態(tài)的監(jiān)測(cè)。本文基于863-917網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)獲取流量信息，構(gòu)成監(jiān)測(cè)矩陣，矩陣的行向量由源地址數(shù)量、目的地址數(shù)量、傳輸控制協(xié)議(TCP)字節(jié)數(shù)、TCP報(bào)文數(shù)、數(shù)據(jù)報(bào)協(xié)議(UDP)字節(jié)數(shù)、UDP報(bào)文數(shù)、其他流量字節(jié)數(shù)、其他流量報(bào)文書、WEB流量字節(jié)數(shù)、WEB流量報(bào)文數(shù)、T*P10個(gè)源IP占總字節(jié)比例、T*P10個(gè)源IP占總報(bào)文數(shù)比例、T*P10個(gè)目的IP占總字節(jié)數(shù)比例、T*P10個(gè)目的IP占總報(bào)文數(shù)比例14個(gè)部分組成，系統(tǒng)每5分鐘產(chǎn)生一個(gè)行向量，觀測(cè)窗口為6小時(shí)，從而形成了一個(gè)72×14的數(shù)量矩陣。由于在這14個(gè)觀測(cè)向量之間存在著一定的相關(guān)性，這使得利用較少的變量反映原來(lái)變量的信息成為可能。本項(xiàng)目采用了主成份分析法對(duì)觀測(cè)數(shù)據(jù)進(jìn)行數(shù)據(jù)降維和特征提取，下面對(duì)該算法的工作原理進(jìn)行介紹。 2 主成分分析技術(shù) 主成分分析是一種坐標(biāo)變換的方法，將給定數(shù)據(jù)集的點(diǎn)映射到一個(gè)新軸上面，這些新軸稱為主成分。主成分在代數(shù)學(xué)上是p 個(gè)隨機(jī)變量X 1， X 2……X p 的一系列的線性組合，在幾何學(xué)中這些現(xiàn)線性組合代表選取一個(gè)新的坐標(biāo)系，它是以X 1，X 2……X p 為坐標(biāo)軸的原來(lái)坐標(biāo)系旋轉(zhuǎn)得到。新坐標(biāo)軸代表數(shù)據(jù)變異性Z大的方向，并且提供對(duì)于協(xié)方差結(jié)果的一個(gè)較為簡(jiǎn)單但更精練的刻畫。主成分只是依賴于X 1，X 2……X p 的協(xié)方差矩陣，它是通過(guò)一組變量的幾個(gè)線性組合來(lái)解釋這些變量的協(xié)方差結(jié)構(gòu)，通常用于高維數(shù)據(jù)的解釋和數(shù)據(jù)的壓縮。通常p 個(gè)成分能夠完全地再現(xiàn)全系統(tǒng)的變異性，但是大部分的變異性常常能夠只用少量k 個(gè)主成分就能夠說(shuō)明，在這種情況下，這k 個(gè)主成分中所包含的信息和那p 個(gè)原變量做包含的幾乎一樣多，于是可以使用k 個(gè)主成分來(lái)代替原來(lái)p 個(gè)初始的變量，并且由對(duì)p 個(gè)變量的n 次測(cè)量結(jié)果所組成的原始數(shù)據(jù)集合，能夠被壓縮成為對(duì)于k 個(gè)主成分的n 次測(cè)量結(jié)果進(jìn)行分析。 運(yùn)用主成分分析的方法常常能夠揭示出一些先前不曾預(yù)料的關(guān)系，因而能夠?qū)τ跀?shù)據(jù)給出一些不同尋常的解釋。當(dāng)使用零均值的數(shù)據(jù)進(jìn)行處理時(shí)，每一個(gè)主成分指向了變化Z大的方向。主軸以變化量的大小為序，一個(gè)主成分捕捉到在一個(gè)軸向上Z大變化的方向，另一個(gè)主成分捕捉到在正交方向上的另一個(gè)變化。 設(shè)隨機(jī)向量X '=[X 1，X 1……X p ]有協(xié)方差矩陣∑，其特征值λ1≥λ2……λp≥0?？紤]線性組合： Y1 =a 1 'X =a 11X 1+a 12X 2……a 1pX p Y2 =a 2 'X =a 21X 1+a 22X 2……a 2pX p …… Yp =a p'X =a p 1X 1+a p 2X 2……a p pX p 從而得到： Var (Yi )=a i' ∑a i ，(i =1，2……p ) Cov (Yi ，Yk )=a i '∑a k ，(i ，k =1，2……p ) 主成分就是那些不相關(guān)的Y 的線性組合，它們能夠使得方差盡可能大。diyi主成分是有Z大方差的線性組合，也即它能夠使得Var (Yi )=a i' ∑a i Z大化。我們只是關(guān)注有單位長(zhǎng)度的系數(shù)向量，因此我們定義： 第1主成分＝線性組合a 1'X，在 a1'a 1=1時(shí)，它能夠使得Var (a1 'X )Z大； 第2主成分＝線性組合a 2 'X，在 a2'a 2=1和Cov(a 1 'X，a 2 'X )=0時(shí)，它能夠使得Var (a 2 'X )Z大； 第i 個(gè)主成分＝線性組合a i'X，在 a1'a 1=1和Cov(a i'X，a k'X )=0(k<i )時(shí)，它能夠使得Var (a i'X )Z大。 由此可知主成分都是不相關(guān)的，它們的方差等于協(xié)方差矩陣的特征值?？偡讲钪袑儆诘趉個(gè)主成分(被第k個(gè)主成分所解釋)的比例為： 如果總方差相當(dāng)大的部分歸屬于第1個(gè)、第2個(gè)或者前幾個(gè)成分，而p較大的時(shí)候，那么前幾個(gè)主成分就能夠取代原來(lái)的p個(gè)變量來(lái)對(duì)于原有的數(shù)據(jù)矩陣進(jìn)行解釋，而且信息損失不多。在本項(xiàng)目中，對(duì)于一個(gè)包含14個(gè)特征的矩陣進(jìn)行主成分分析可知，特征的Z大變化基本上能夠被2到3個(gè)主成分捕捉到，這種主成分變化曲線的陡降特性構(gòu)成了劃分正常子空間和異常子空間的基礎(chǔ)。 3 異常檢測(cè)算法 本項(xiàng)目的異常流量檢測(cè)過(guò)程分為3個(gè)階段：建模階段、檢測(cè)階段和評(píng)估階段。下面對(duì)每個(gè)階段的算法進(jìn)行詳細(xì)的介紹。 3.1 建模階段 本項(xiàng)目采用滑動(dòng)時(shí)間窗口建模，將當(dāng)前時(shí)刻前的72個(gè)樣本作為建?？臻g，這72個(gè)樣本的數(shù)據(jù)構(gòu)成了一個(gè)數(shù)據(jù)矩陣X。在試驗(yàn)中，矩陣的行向量由14個(gè)元素構(gòu)成。 主成份分為正常主成分和異常主成份，它們分別代表了網(wǎng)絡(luò)中的正常流量和異常流量，二者的區(qū)別主要體現(xiàn)在變化趨勢(shì)上。正常主成份隨時(shí)間的變化較為平緩，呈現(xiàn)出明顯的周期性；異常主成份隨時(shí)間的變化幅度較大，呈現(xiàn)出較強(qiáng)的突發(fā)性。根據(jù)采樣數(shù)據(jù)，判斷正常主成分的算法是： 依據(jù)主成分和采樣數(shù)據(jù)計(jì)算出diyi主成分變量，求diyi主成分變量這72個(gè)數(shù)值的均值μ1和方差σ1，找出diyi主成分變量中偏離均值Z大的元素，判斷其偏離均值的程度是否超過(guò)了3σ1。如果diyi主成分變量的Z大偏離超過(guò)了閾值，取diyi主成份為正常主成分，其他主成份均為異常主成分，取主成份轉(zhuǎn)換矩陣U =[L 1]；如果Z大偏離未超過(guò)閾值，轉(zhuǎn)入判斷第下一主成分，Z后取得U =[L 1……L i -1]。diyi主成份具有較強(qiáng)的周期性，隨后的主成份的周期性漸弱，突發(fā)性漸強(qiáng)，這也體現(xiàn)了網(wǎng)絡(luò)中正常流量和異常流量的差別。 在得到主成份轉(zhuǎn)換矩陣U后，針對(duì)每一個(gè)采樣數(shù)據(jù)Sk =xk 1，xk 2……xk p )，將其主成份投影到p維空間進(jìn)行重建，重建后的向量為： Tk =UU T (Sk -X )T 計(jì)算該采樣數(shù)據(jù)重建前與重建后向量之間的歐氏距離，稱之為殘差： dk =||Sk -Tk || 根據(jù)采樣數(shù)據(jù)，我們分別計(jì)算72次采樣數(shù)據(jù)的殘差，然后求其均值μd 和標(biāo)準(zhǔn)差σd 。轉(zhuǎn)換矩陣U、殘差均值μd 、殘差標(biāo)準(zhǔn)差σd 是我們構(gòu)造的網(wǎng)絡(luò)流量模型，也是進(jìn)行流量異常檢測(cè)的前提條件。 3.2 檢測(cè)階段 在通過(guò)建模得到網(wǎng)絡(luò)流量模型后，對(duì)于新的觀測(cè)向量N，(n 1，n 2……np )，采用與建模階段類似的分析方法，將其ZX化： Nd =N -X 然后將ZX化后的向量投影到p維空間重建，并計(jì)算殘差： Td =UUTNdT d =||Nd -Td || 如果該觀測(cè)值正常，則重建前與重建后向量應(yīng)該非常相似，計(jì)算出的殘差d 應(yīng)該很??；如果觀測(cè)值代表的流量與建模時(shí)發(fā)生了明顯變化，則計(jì)算出的殘差值會(huì)較大。本項(xiàng)目利用如下算法對(duì)殘差進(jìn)行量化： 3.3 評(píng)估階段 評(píng)估階段的任務(wù)是根據(jù)當(dāng)前觀測(cè)向量的量化值q (d )，判斷網(wǎng)絡(luò)流量是否正常。根據(jù)經(jīng)驗(yàn)，如果|q (d )|<5，網(wǎng)絡(luò)基本正常；如果5≤|q (d )|<10，網(wǎng)絡(luò)輕度異常；如果10≤|q (d )|，網(wǎng)絡(luò)重度異常。 4 實(shí)驗(yàn)結(jié)果分析 利用863-917網(wǎng)絡(luò)安全監(jiān)測(cè)平臺(tái)，對(duì)北京電信骨干網(wǎng)流量進(jìn)行持續(xù)監(jiān)測(cè)，我們提取6小時(shí)的觀測(cè)數(shù)據(jù)，由于篇幅所限，我們給出圖1—4的時(shí)間序列曲線。由圖1—4可知單獨(dú)利用任何一個(gè)曲線都難以判定異常，而利用本算法可以容易定異常發(fā)生的時(shí)間。本算法計(jì)算結(jié)果如圖5所示，異常發(fā)生時(shí)間在圖5中標(biāo)出。我們利用863-917平臺(tái)的回溯功能對(duì)于異常發(fā)生時(shí)間進(jìn)行進(jìn)一步的分析，發(fā)現(xiàn)在標(biāo)出的異常時(shí)刻，一個(gè)大規(guī)模的僵尸網(wǎng)絡(luò)對(duì)網(wǎng)外的3個(gè)IP地址發(fā)起了大規(guī)模的拒絕服務(wù)攻擊。 5 結(jié)束語(yǔ) 本文提出一種基于主成分分析的方法來(lái)劃分子空間，分析和發(fā)現(xiàn)網(wǎng)絡(luò)中的異常事件。本方法能夠準(zhǔn)確快速定異常發(fā)生的時(shí)間點(diǎn)，從而幫助網(wǎng)絡(luò)安全應(yīng)急響應(yīng)部門及時(shí)發(fā)現(xiàn)宏觀網(wǎng)絡(luò)的流量異常狀況，為迅速解決網(wǎng)絡(luò)異常贏得時(shí)間。試驗(yàn)表明，我們采用的14個(gè)特征構(gòu)成的分析矩陣具有較好的識(shí)別準(zhǔn)確率和分析效率，我們接下來(lái)將會(huì)繼續(xù)尋找更具有代表性的特征來(lái)構(gòu)成數(shù)據(jù)矩陣，并研究更好的特征矩陣構(gòu)造方法來(lái)進(jìn)一步提高此方法的識(shí)別率，并將本方法推廣到短時(shí)分析中。 6 參考文獻(xiàn) [1] XU K， ZHANG Z L， BHATTACHARYYA S. Profiling Internet backbone traffic: Behavior models and applications [C]// Proceedings of ACM SIGCOMM， Aug 22- 25， 2005， Philadelphia， PA， USA. New York， NY，USA:ACM，2005:169-180. [2] HAWKINS D M， QQUI P， KANG C W. The change point model for statistical process control [J]. Journal of Quality Technology，2003， 35(4). [3] THOTTAN M， JI C. Anomaly detection in IP networks [J]. IEEE Transactions on Signal Processing， 2003， 51 )8):2191-2204. [4] BARFORD P， KLINE J， PLONKA D， et al. A signal analysis of network traffic anomalies [C]//Proceedings of ACM SIGCOMM Intemet Measurement Workshop (IMW 2002)， Nov 6-8， 2002， Marseilles， France. New York， NY，USA:ACM， 2002:71-82. [5] LAKHINA A， CROVELLA M， DIOT C. Mining anomalies using traffic feature distributions [C]// Proceedings of SIGCOMM， Aug 22-25， 2005， Philadelphia， PA， USA. New York， NY，USA: ACM， 2005: 217-228. [6] LAKHINA A， CROVELLA M， DIOT C. Diagnosing network-wide traffic anomalies [C]// Proceedings of ACM SIGCOMM， Aug 30 - Sep 3， 2004， Portland， OR， USA. New York， NY，USA: ACM， 2004: 219-230. [7] SCHWELLER R， GUPTA A， PARSONS E， et al. Reversible sketches for efficient and accurate change detection over network data streams [C]//Proceedings of ACM SIGCOMM Internet Measurement Conference (IMC’04)， Oct 25-27， 2004， Taormina， Sicily， Italy. New York， NY，USA: ACM， 2004:207-212. [8] MAHONEY M V， CHAN P K. Learning rules for anomaly detection of hostile network traffic [C]// Proceedings of International Conference on Data Mining (ICDM’03)， Nov 19-22， Melbourne， FL， USA . Los Alamitos， CA， USA: IEEE Computer Society， 2003:601-604.

  贊(2)

  回復(fù)(0)

  評(píng)論

  評(píng)論

  登錄后參與評(píng)論