基于NetFlwo数据流的安全分析及安全可视化

• 作 者: 张晓篱
• 机 构: 中国科学院大学
• 出 处: 中国科学院研究生院 中国科学院大学
• 发表日期: 2011年期
• 关键词: 数据流 可视化 网络安全 自适应阀值 异常检测

随着网络的发展，对网络安全提出了更高的要求。基于NetFlow网络流的安全分析不同于传统的安全产品杀毒软件，防火墙，入侵检测等，它利用丰富的流信息发现网络异常，具有多粒度可分析的流信息和较低的CPU处理负荷。本论文基于实验室中国科技网(CSTNET)采集的NetFlow数据流进行安全分析及其可视化，旨在发现引起网络异常的攻击事件。主要研究内容如下：　　
第一，介绍了三种常用网络流的采集方法，详细介绍了NetFlow的原理，数据包格式及应用，并对三种方法进行了分析比较，说明了选择NetFlow的原因。　　
第二，介绍了常见的网络攻击行为和典型的网络流量异常检测算法。在对异常检测算法分析比较的基础上，提出了适用于大型网络实时应用的异常检测算法自适应阀值和信息熵相结合的算法。实验结果表明，自适应阀值和信息熵相结合的算法可以有效的发现特定的网络攻击行为。但是还具有一定的局限性。　　
第三，在对网络流进行安全分析的基础上，提出了安全可视化网络流NetFlow。介绍了安全可视化相关的基本知识，分析了已有基于NetFlow安全可视化工具的优缺点。按照安全可视化步骤，阐述了本论文基于NetFlow安全可视化的数据源选取，数据处理过程，可视化结构设计，提出了基于圆形布局的网络连接图和IP流量变化图两个可视化模型，和交互功能的设计。　　
第四，本文设计并实现了基于NetFlow数据流的安全分析及可视化系统模型。系统由数据处理模块，异常检测模块，数据可视化建模模块和可视化展示模块组成。　　
最后，介绍了安全分析及可视化系统的界面组成和功能。并对安全可视化部分进行了实验结果分析，可视化模型可以有效的发现端口扫描，IP流量剧增的网络事件，但是还存在显示数据量有限的局限性和无法展示历史数据的交互性问题。