网络异常行为检测技术及定位方法

With the expansion of Internet and the increase in number of users, network anomaly happens more often. Especially, performance-related anomaly and security-related anomaly have great impact on the network service quality and even pose as series threat to national and societal security. In this project, we focus on the key technologies on network anomaly detection and localization, and take research on network performance-related anomaly detection, network security-related anomaly detection, network anomaly location and the application platform. In performance-related anomaly detection, a packet loss monitoring system based on programmable data plane will be designed, and generalized fast packet loss detection algorithm will be proposed based on it. In security-related anomaly detection, the research focuses on cyberattack detection models for continuous network flows, and game-theoretic adversarial machine learning algorithms. In network anomaly location, we investigate accurate location techniques of network performance-related nanomaly, and source address identification on network attacks. In the application platform, we implement the network anomaly detection and localization techniqes in a campus network. The project aims to promote our country’s research and innovations in network anomaly detection and localization, and also enhance our country’s competitiveness in cyber security area.

随着互联网规模的不断扩大和用户数的不断增长，网络异常行为频发，其中故障异常和攻击异常已经成为阻碍社会发展的重大问题，甚至严重影响网络服务质量和威胁国家和社会安全。本项目针对网络异常行为检测与判定关键技术，分别从网络故障异常在线识别、网络攻击异常在线识别、异常定位及应用示范四个方面展开研究工作。在故障异常在线识别方面，重点研究基于可编程数据平面的包丢失监测系统设计，和基于多元丢包类型的可泛化性快速丢包检测算法。在攻击异常在线识别方面，重点研究针对持续性网络数据流的攻击检测和分类模型，以及基于攻防博弈的对抗式机器学习算法。在网路异常定位方法研究方面，重点研究网络故障异常根源精准定位技术，和网络攻击异常源地址识别技术。在应用示范方面，重点研究基于校园网的网络异常行为检测与判定平台。拟通过本项目的研究，进一步推动我国网络异常行为检测与判定技术方面的研究与创新，增强我国在网络安全领域的核心竞争力。

随着互联网规模不断扩大和用户数量不断增长，网络异常行为的发生频率也越来越高。其中，故障异常和攻击异常已经成为阻碍社会发展的严重问题，这些异常不仅会影响网络服务质量，而且会威胁国家和社会的安全。因此，我们的项目致力于解决网络异常行为检测和判定的关键技术问题，分别从以下几个方面展开研究工作：网络故障异常在线识别和定位，网络攻击识别和定位，以及应用示范。.在网络异常行为识别方面，本项目提出了基于深度学习的高精度、高鲁棒的网络关键性能指标（KPI）异常检测方法；使用深度强化学习技术提升致错输入生成效率和成功率。在网络异常定位方面，本项目开发了一种基于机器学习的高精度异常定位方法和一种基于多路径交叉验证的轻量级异常定位方法，解决了大型网络系统下精准异常定位所需的网络资源、计算资源开销大的问题。在网络攻击识别方面，本项目评估了现有基于深度学习恶意软件检测方法，并提出了一种融合主机级流量行为特征和TLS握手特征的检测方法，可以在加密流量下高精度检测Web漏洞扫描攻击。此外，还提出了基于攻防博弈的高可靠域名检测方案和匿名网络网站指纹攻击防御方法。最后，本项目还开发了天津大学网关流量分析示范平台，并将这些研究成果应用于该平台。这些成果为网络异常行为和网络攻击领域提供了重要的理论和实践指导，有望在网络安全领域产生广泛的应用.通过这个项目的研究，我们将进一步推动我国网络异常行为检测和判定技术的研究和创新，增强我国在网络安全领域的核心竞争力。.