基于动态多维特征的网络行为模型研究

With the development of a large number of the emerging Internet applications, private protocol and encryption technology is widely used, making the identification of variety of applications more difficult, and thus brought great challenges to network management and monitoring. The project aims to propose a adaptive network behavior model which can adapt to different network status. The model can describe and identify the various network applications and network users, then solve the problem of application identification and host tracing in network. This project will: (a)Divide network behavoir into microscopic behavior of conversation and macroscopic behavior of host in different particle size, and divide the network behavior characteristics into dynamic features and static features according to whether change over time. (b)Define and extract the properties of network behavior, then study the method of how to abstract and select these characteristics, constructive a mathematical model to abstract the various properties and unified formal description, choose properties which have large discrimination as network behavior characteristics. (c)Study the abstraction and identification method for these time-varying dynamic characteristics of network behavior. (d) Integrate static and dynamic characteristics in different particle size to propose network behavior identification model based on dynamic multidimensional characteristics. (e)Develop the prototype system to test and validate the model proposed in project.

随着大量新兴互联网应用的发展，私有协议、加密技术被广泛采用，使得各种应用的识别愈加困难，给网络管理和监控带来了极大的挑战。项目旨在提出并建立一个适应于不同网络状态的具有自适应能力的网络行为模型，通过模型描述网络应用、主机所表现的行为特征，从而解决网络应用识别、主机追踪的难题。主要内容包括：(a)根据不同的粒度将网络行为分为微观的会话流属性和宏观的主机属性，根据随时间的变化性将网络行为特征分为动态特征和静态特征；(b)对各种网络行为属性进行定义和提取，研究特征抽象和选择方法，对各个属性进行抽象并统一进行形式化描述，选择区分度较大的属性作为网络行为特征；(c)针对特征随时间不断变化的动态性，对网络行为动态特征的抽象和识别方法展开研究；(d)通过对各种粒度的静态和动态特征进行融合，建立基于动态多维特征的网络行为识别模型；(e)研发原型系统对模型的方法和性能进行验证。

针对越来越多的网络应用采用私有协议、加密技术，导致传统基于端口、基于DPI网络应用识别的方法无法满足网络安全监管中对网络应用识别与主机追踪的需求，本项目在基于网络行为分析的网络应用识别与主机追踪方法上开展了一系列的研究。主要研究内容包括：（a）网络通信流量特征是描述网络应用及主机网络行为的基本元素，为精确描述主机和应用的网络行为，本项目在网络行为特征选择方法、特征稳定性、特征周期性、特征动态性等方面开展了研究，为实现主机及应用的网络行为动态多维描述奠定技术基础。（b）针对网络应用分类问题，本项目研究了基于通信流的应用行为特征提取技术、特征选择技术，通过构建多维网络行为识别模型，实现对网络应用的分类。本项目根据前期研究基础，将网络应用分为12大类，并通过实验证明模型具有较好的对网络应用的分类效果。（c）针对主机追踪的问题，本项目从网络用户行为识别、恶意主机用户识别两个方面开展研究，实现了基于网络用户行为的用户识别与主机追踪。（d）针对研究过程中遇到的原有研究平台难以满足海量数据分析的性能要求问题，本项目研究了多级数据存储架构、大数据分析架构等关键技术，并搭建了高性能数据分析平台。（e）针对研究过程中遇到的高性能网络流量实时采集问题，本项目研究了高性能网络流量采集与流量还原技术，实现了可扩展的高性能海量数据采集，单台服务器可支持6Gbps的网络流量采集。基于本项目的研究成果，搭建了四川大学校园网业务及安全态势大数据分析平台，平台已持续稳定运行1年半左右。平台对校园网安全管理提供了有力的技术支撑。另外，本项目的相关研究成果还进一步拓展到云平台虚拟机网络行为检测及基于大数据的安全分析方面。