基于流量行为图的攻击检测方法

摘要

传统基于流的攻击检测无法完全捕获网络通信模式,难以对网络中的攻击事件进行有效检测,而流量行为图中包含的信息可以有效反映主机的真实情况。文章针对多类型网络攻击检测问题,提出了基于流量行为图的攻击检测方法,实现了基于流量行为图的攻击检测。检测方法基于聚类和生成学习模型,包含两个阶段,第一阶段通过聚类算法尽可能地过滤良性节点,第二阶段应用生成学习模型检测多种不同攻击事件。在公开数据集上的实验结果表明,文章提出的攻击检测方法可以有效检测出网络中存在的多种不同攻击事件。此外,系统使用基于Apache Spark的分布式处理框架,可以有效进行大规模数据处理。

关键词： 流量行为图; 聚类; 生成学习; 攻击检测; Spark

0 引言

传统基于流的攻击检测无法完全捕获网络通信模式,难以对网络中存在的攻击事件进行有效检测。基于流的方法无法发现主机级别的异常,不能识别恶意主机,