课题研究背景和意义：

随着互联网规模的日益扩大,其承载的业务和应用也相应快速增长,人们在享受Internet带来种种便利的同时,网络安全问题日渐突出,给网络监管提出了重大的挑战。作为判别网络运行是否正常的关键,网络流量的数据分析技术是通过及时发现网络中的异常流量以采取相应措施来保持网络正常运行的一种手段。因此,异常流量分析技术的研究在网络管理中显得尤为重要,对提高网络的可用性和可靠性,保证网络的服务质量具有重大的意义。

互联网的开发特点，任何符合技术标准的设备或软件都可以不受限制地接入互联网，这样就给服务质量（QoS）和网络安全管理带来了巨大的挑战，各类网络安全事件屡屡发生。网络测量、分析和建模是当前我们理解和认识网络行为规律，优化和重新规划网络结构以及改善服务质量的重要手段。

网络异常流量分析方法研究现状（国内外）：

网络流量异常分析技术的发展史实际上代表了网络技术的发展史，早在ARPANET网络中，管理员通过在网络运行不正常时使用应用程序-PING，向可能产生问题的网络设备发送控制报文（ICMP，Internet control message protocol）来确定网络异常的性质和方位。但随着ARPANET规模不断扩大，上述方法的准确率大大降低，显得力不从心；为了满足网络管理的进一步需求，1988年简单网络管理协议（SNMP，simple networkmanagement protocol）发展起来，它是一个被广泛使用和接受的网络管理协议，已经成为一个事实上的标准；20世纪90年代以来随着TCP//IP(Transfer Control Protocol/InternetProtocol)为核心的计算机网络取得了飞速的发展，网络规模不断扩大，最终形成覆盖全球的互联网-Internet。在目前网络规模庞大、软硬件设施复杂多样的条件下，要想获取表示网络性能特征的数据，网络流量分析技术就是准确而有效的唯一手段，因此对网络流量进行合理、有效的测量、分析、监控与管理成为迫切需要解决的一项课题。

目前，有关网络流量的研究主要涉及两个方面：网络流量特性分析和流量建模预测。国内、对外业务流量特性分析的研究还在进行中，其中对网络流量特征的分析也取得了一些成果。比如，有许多学者研究基于变换域进行流量异常检测的方法。将时域的流量信号变换到频域或者小波域，然后依据变换后的空间特征进行异常检测，P.Barford等人将小波分析理论运用于流量异常检测，并给出了基于其理论的4类异常结果，但该方法的计算复杂度过高，不适合在大规模网络环境下的应用。

此外还有一些其他的检测方法，例如基于Markow模型的网络状态装换概率检测方法，通过过程转换模型来描述所预测的正常的网络特征，当流量特征与期望特征产生偏差时进行报警。Lakhinaa等人利用主成分分析方法，将源和目标之间的数据流高维结构空间进行PCA分解，归结到3个主成分，以3个新的复合变量来重构网络流的特征。又如LERAD检测，它是基于网络安全特征的检测，这种方法通过学习得到流量属性之间的正常的关联规则，然后建立正常的规则集，在实际检测中对流量分析规则匹配，对违反规则的流量进行报警。这种方法能够对发生异常的地址进行定位，并对异常的程度进行量化。当学习需要大量正常模式下的纯净数据，这在实际的网络中并不容易实现。

美国的PMA(Passive Measurement and Analysis)项目和AMP(Active Measurement and Analsis)项目是美国应用网络研究国家实验室的测量项目旨在刻画高性能连接网络的网络行为特征，为高级网络提供协作性的服务支持。加拿大国家研究机构使用Perl Script 工具跟踪感兴趣的节点，检测丢包率的同时收集网络流量数据并生成网络的可视化图来分析流量特性。除此之外，国外的一些厂商也纷纷推出了电信级的异常流量检测产品，如Arbor公司的Peakflow、GenieNRM公司的GenieNTG 2100、NetScout公司的nGenius等。一些研究机构在其政府资助下，开始部署宏观网络异监测的项目，并取得了较好的成绩，如美国研究机构CERT建立了SiLK和AirCERT项目，澳大利亚启动了NMAC流量监测系统等项目。