發(fā)布時(shí)間：2022-04-19 07:22:12
序言：寫作是分享個(gè)人見解和探索未知領(lǐng)域的橋梁，我們?yōu)槟x了8篇的網(wǎng)絡(luò)流量監(jiān)測(cè)樣本，期待這些樣本能夠?yàn)槟峁┴S富的參考和啟發(fā)，請(qǐng)盡情閱讀。
本文就網(wǎng)絡(luò)流量監(jiān)測(cè)的作用和移動(dòng)互聯(lián)網(wǎng)的研究現(xiàn)狀進(jìn)行分析，探討CDMA移動(dòng)互聯(lián)網(wǎng)的特征，以便更好的對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)測(cè)。
【關(guān)鍵詞】
網(wǎng)絡(luò)流量；監(jiān)測(cè)；移動(dòng)互聯(lián)網(wǎng)
0 引言
隨著互聯(lián)網(wǎng)規(guī)模的不斷擴(kuò)大，其應(yīng)用領(lǐng)域越來越廣泛，因此，急需要對(duì)網(wǎng)絡(luò)流量進(jìn)行實(shí)時(shí)、在線的監(jiān)控和管理。對(duì)網(wǎng)絡(luò)流量特征進(jìn)行研究，有利于有效的管理、規(guī)劃、發(fā)展網(wǎng)絡(luò)。其中網(wǎng)絡(luò)流量監(jiān)測(cè)是網(wǎng)絡(luò)測(cè)量技術(shù)之一，通過對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)測(cè)和分析研究，能夠較好的掌握網(wǎng)絡(luò)流量的特征，了解網(wǎng)絡(luò)的狀況，并能夠根據(jù)詳細(xì)的流量信息，對(duì)故障進(jìn)行定位和修復(fù)，能夠獲取網(wǎng)絡(luò)所承載的業(yè)務(wù)的大小，及時(shí)了解用戶應(yīng)用強(qiáng)度、頻度等行為模型。
1 網(wǎng)絡(luò)流量監(jiān)測(cè)的作用
其一，有利于網(wǎng)絡(luò)規(guī)劃。在移動(dòng)網(wǎng)絡(luò)中出現(xiàn)擁堵的現(xiàn)象時(shí)，傳統(tǒng)的做法通常為網(wǎng)絡(luò)擴(kuò)容。如果借助網(wǎng)絡(luò)流量監(jiān)測(cè)技術(shù)，能夠及時(shí)的掌握當(dāng)前的移動(dòng)網(wǎng)絡(luò)的流量趨勢(shì)，有效的解決網(wǎng)絡(luò)中出現(xiàn)的問題，并運(yùn)用科學(xué)合理的方式進(jìn)行規(guī)劃。
其二，提高網(wǎng)絡(luò)資源的利用率。由于移動(dòng)網(wǎng)絡(luò)的流量比較復(fù)雜多變，目前還有大多數(shù)網(wǎng)絡(luò)特征未被外界認(rèn)知，通過網(wǎng)絡(luò)流量監(jiān)測(cè)技術(shù)，能夠及時(shí)的了解當(dāng)前網(wǎng)絡(luò)流量的情況和移動(dòng)網(wǎng)絡(luò)業(yè)務(wù)的特征。
其三，便于移動(dòng)網(wǎng)絡(luò)安全維護(hù)。隨著網(wǎng)絡(luò)的普及，越來越多的惡意程序通過網(wǎng)絡(luò)傳播，嚴(yán)重影響到用戶的隱私和財(cái)產(chǎn)安全。充分運(yùn)用網(wǎng)絡(luò)流量監(jiān)測(cè)技術(shù)，能夠?qū)W(wǎng)絡(luò)流量進(jìn)行分析，制定出不同移動(dòng)平臺(tái)的移動(dòng)網(wǎng)絡(luò)安全策略。
2 移動(dòng)互聯(lián)網(wǎng)的現(xiàn)狀
近年來，隨著社交網(wǎng)絡(luò)、微博、微信等新型網(wǎng)絡(luò)應(yīng)用的發(fā)展，使得互聯(lián)網(wǎng)行業(yè)的發(fā)展充滿生機(jī)和活力。移動(dòng)通信技術(shù)和互聯(lián)網(wǎng)技術(shù)的緊密結(jié)合形成了一種新的網(wǎng)絡(luò)，即移動(dòng)互聯(lián)網(wǎng)。移動(dòng)互聯(lián)網(wǎng)指的是通過使用手機(jī)網(wǎng)絡(luò)、平板電腦等移動(dòng)終端，基于移動(dòng)網(wǎng)絡(luò)聯(lián)網(wǎng)獲取圖像、語音、文字等用戶需求的隨時(shí)可接入的網(wǎng)絡(luò)。根據(jù)通訊世界網(wǎng)訊全球技術(shù)研究和咨詢公司的最新研究報(bào)告表明，我國(guó)手機(jī)用戶在2013年突破10億，預(yù)測(cè)在2014年，我國(guó)手機(jī)市場(chǎng)將銷售4.436億部手機(jī)，使用手機(jī)將超過10.76億部。網(wǎng)民人數(shù)達(dá)到6.15億，移動(dòng)互聯(lián)網(wǎng)用戶數(shù)已達(dá)到8.38億。我國(guó)的移動(dòng)互聯(lián)網(wǎng)用戶人數(shù)將會(huì)呈現(xiàn)持續(xù)增長(zhǎng)的趨勢(shì)，同時(shí)，伴隨著平板電腦、智能手機(jī)的發(fā)展，國(guó)內(nèi)移動(dòng)互聯(lián)網(wǎng)絡(luò)用戶群將會(huì)逐漸擴(kuò)大。另外，在移動(dòng)互聯(lián)網(wǎng)迅猛發(fā)展的同時(shí)，也會(huì)帶來一定的風(fēng)險(xiǎn)和挑戰(zhàn)。首先隨著移動(dòng)互聯(lián)網(wǎng)內(nèi)容不斷的豐富，產(chǎn)生了各種寬帶負(fù)荷較大的業(yè)務(wù)，例如基于P2P業(yè)務(wù)。傳統(tǒng)的互聯(lián)網(wǎng)監(jiān)控方式不一定適用于移動(dòng)互聯(lián)網(wǎng)，缺乏有針對(duì)性的移動(dòng)互聯(lián)網(wǎng)監(jiān)控平臺(tái)。目前移動(dòng)互聯(lián)網(wǎng)的監(jiān)控制度還不夠完善，限制了網(wǎng)絡(luò)服務(wù)質(zhì)量的提高，對(duì)未來網(wǎng)絡(luò)的發(fā)展具有嚴(yán)重的影響作用。其次，移動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)商雖然為各種內(nèi)容提供商業(yè)支持，推廣了各種業(yè)務(wù)，但多種業(yè)務(wù)的流量特征研究不夠完善，運(yùn)行質(zhì)量沒有進(jìn)行深入的研究，大多互聯(lián)網(wǎng)基礎(chǔ)指標(biāo)在移動(dòng)互聯(lián)網(wǎng)的場(chǎng)景下分布比較異常。
3 CDMA移動(dòng)互聯(lián)網(wǎng)特征研究
3.1網(wǎng)絡(luò)流量原始流量采集
本文使用的網(wǎng)絡(luò)數(shù)據(jù)是由本研究團(tuán)隊(duì)自行研發(fā)的檢測(cè)設(shè)備TMS進(jìn)行采集的。原始網(wǎng)絡(luò)流量均采用我國(guó)某大城市的骨干網(wǎng)節(jié)點(diǎn)。在采集CDMA實(shí)驗(yàn)數(shù)據(jù)時(shí)，部署了4個(gè)采集探針在同一個(gè)城市的鏈路上，位于分組數(shù)據(jù)服務(wù)節(jié)點(diǎn)和城市核心節(jié)點(diǎn)之間并行的鏈路上。詳情如圖1所示。
另外，網(wǎng)絡(luò)流量分類技術(shù)主要包括深度包檢測(cè)和深度流檢測(cè)技術(shù)。分類時(shí)，首先使用深度包檢測(cè)技術(shù)，通常能夠達(dá)到較高的分類效果。針對(duì)不同的網(wǎng)絡(luò)應(yīng)用，比較適合使用深度流檢測(cè)技術(shù)。本文的算法中就引入了深度流檢測(cè)的技術(shù)。
3.2網(wǎng)絡(luò)流量建模
由于采集的網(wǎng)絡(luò)寬帶較大，運(yùn)算和存貯資源比較有限，需要選取一個(gè)適合的時(shí)間段，采集數(shù)據(jù)子集后為后續(xù)分析充當(dāng)樣本。網(wǎng)絡(luò)流量建模的原理指的是充分利用統(tǒng)計(jì)獲取的網(wǎng)絡(luò)流量特征，對(duì)其進(jìn)行數(shù)學(xué)推導(dǎo)后得出的符合統(tǒng)計(jì)規(guī)律的模型來模擬實(shí)際網(wǎng)絡(luò)流量趨勢(shì)。網(wǎng)絡(luò)流量建模通常采用ARIMA模型[3]。其指的是分差整合移動(dòng)平均自回歸模型，通常用于進(jìn)行平穩(wěn)序列和分差后平穩(wěn)序列的建模分析。ARIMA模型分析的一般步驟為：（1）根據(jù)序列的自相關(guān)函數(shù)分布圖和偏相關(guān)函數(shù)分布圖，分析序列的平穩(wěn)性。（2）對(duì)非平穩(wěn)性序列進(jìn)行平穩(wěn)化處理；根據(jù)時(shí)間序列的識(shí)別規(guī)定，對(duì)ARIMA模型的相關(guān)參數(shù)進(jìn)行識(shí)別，建立相應(yīng)模型。建立分析后，需要對(duì)參數(shù)進(jìn)行評(píng)估，并對(duì)參數(shù)進(jìn)行檢驗(yàn)，其中參數(shù)檢驗(yàn)通常會(huì)采用AIC準(zhǔn)則。AIC的計(jì)算公式為：
其中T為可使用的觀測(cè)值，RSS指的是參差平方根和，n為待估參數(shù)個(gè)數(shù)。比較不同參數(shù)時(shí)，需要采用AIC值更小的模型。
3.3網(wǎng)絡(luò)流量基本特征
其一，網(wǎng)絡(luò)協(xié)議。在互聯(lián)網(wǎng)中使用的TCP/IP協(xié)議族為傳輸層明確了兩個(gè)主要的協(xié)議，分別為TCP協(xié)議和UDP協(xié)議。TCP協(xié)議需要在兩個(gè)TCP之間建立一個(gè)虛連接，在運(yùn)輸層中使用流量控制和差錯(cuò)控制機(jī)制，即為面向連接的、可靠的傳輸協(xié)議。UDP協(xié)議為無連接、不可靠傳輸協(xié)議。本文對(duì)兩種網(wǎng)絡(luò)協(xié)議進(jìn)行研究，如表1所示。
其二，網(wǎng)絡(luò)流長(zhǎng)（字節(jié)）分布。網(wǎng)絡(luò)中的流量實(shí)際時(shí)由IP流來承擔(dān)的，IP流的長(zhǎng)度在一定程度上反映了網(wǎng)絡(luò)負(fù)載的情況。圖2為CDMA網(wǎng)絡(luò)中的流長(zhǎng)分布情況。
其三，網(wǎng)絡(luò)流持續(xù)時(shí)間分布。IP流持續(xù)的時(shí)間為IP流第一個(gè)報(bào)文達(dá)到的時(shí)間和最后一個(gè)報(bào)文達(dá)到的時(shí)間差值。對(duì)IP流持續(xù)的時(shí)間分布進(jìn)行研究，可以從宏觀的角度反映出IP流在網(wǎng)絡(luò)中分布的時(shí)間，根據(jù)其他網(wǎng)絡(luò)特征，可以綜合對(duì)網(wǎng)絡(luò)流的各種行為特點(diǎn)進(jìn)行研究。根據(jù)統(tǒng)計(jì)可知，CDMA網(wǎng)絡(luò)中平均UDP流持續(xù)的時(shí)間為62.15秒，在TCP流中持續(xù)的時(shí)間為17.85秒。
4 總結(jié)
隨著移動(dòng)互聯(lián)網(wǎng)絡(luò)的飛速發(fā)展，多種移動(dòng)互聯(lián)網(wǎng)絡(luò)的應(yīng)用成為人們生活中不可或缺的一部分。由于移動(dòng)互聯(lián)網(wǎng)場(chǎng)景復(fù)雜，使得流量的多種特征還沒被發(fā)現(xiàn)。網(wǎng)絡(luò)流量監(jiān)測(cè)技術(shù)和移動(dòng)互聯(lián)網(wǎng)特征的研究，能夠?qū)σ苿?dòng)網(wǎng)絡(luò)流量進(jìn)行保存，可以有效的規(guī)劃網(wǎng)絡(luò)，充分利用網(wǎng)絡(luò)資源，維護(hù)移動(dòng)互聯(lián)網(wǎng)的安全。
【參考文獻(xiàn)】
[1]王華奎.移動(dòng)通信原理與技術(shù)[M].清華大學(xué)出版社，2010.
>> 基于支持向量機(jī)的網(wǎng)絡(luò)流量分類方法 一種基于多維支持向量機(jī)的P2P網(wǎng)絡(luò)流量識(shí)別模型 基于支持向量機(jī)的地鐵客流量預(yù)測(cè) 支持向量機(jī)的半監(jiān)督網(wǎng)絡(luò)流量分類方法 基于組合優(yōu)化理論的無線網(wǎng)絡(luò)流量建模與預(yù)測(cè) 基于支持向量機(jī)的Freegate軟件流量檢測(cè)研究 基于小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測(cè) 基于徑向基神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測(cè) 基于小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測(cè)研究 基于改進(jìn)Elman神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測(cè) 基于改進(jìn)小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測(cè)研究 基于BP神經(jīng)網(wǎng)絡(luò)的非線性網(wǎng)絡(luò)流量預(yù)測(cè) 一種基于神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量組合預(yù)測(cè)模型 基于支持向量機(jī)的股指期貨合約價(jià)格預(yù)測(cè) 基于支持向量機(jī)的債券時(shí)間序列預(yù)測(cè) 基于支持向量機(jī)回歸的中國(guó)CPI預(yù)測(cè)研究 基于免疫支持向量機(jī)預(yù)測(cè)模型的研究 基于支持向量機(jī)的短期負(fù)荷預(yù)測(cè) 基于支持向量機(jī)的短期電力負(fù)荷預(yù)測(cè) 基于長(zhǎng)相關(guān)網(wǎng)絡(luò)流量預(yù)測(cè)分析 常見問題解答 當(dāng)前所在位置：l上獲得)，按5分鐘的時(shí)間尺度對(duì)該流量序列做聚集操作，獲得了用于建模的流量序列，記為TSb，長(zhǎng)度為250。
核函數(shù)選擇徑向基函數(shù)，動(dòng)態(tài)調(diào)整法選取參數(shù)后，流量預(yù)測(cè)結(jié)果如圖1所示,預(yù)測(cè)RMSE為2.5136，RRMSE為0.021。各項(xiàng)誤差指標(biāo)對(duì)比如表1所列,在參數(shù)優(yōu)化后, RMSE和RRMSE都少了，表明參數(shù)優(yōu)化后的效果優(yōu)于優(yōu)化前。
5 結(jié)論
網(wǎng)絡(luò)流量工程對(duì)于大規(guī)模網(wǎng)絡(luò)的規(guī)劃設(shè)計(jì)、網(wǎng)絡(luò)資源管理以及實(shí)現(xiàn)網(wǎng)絡(luò)入侵檢測(cè)等方面都具有積極的意義，而流量建模與預(yù)測(cè)是網(wǎng)絡(luò)流量工程的重要組成部分。傳統(tǒng)的流量時(shí)間序列模型只適合于分析平穩(wěn)過程及特殊的非平穩(wěn)過程，難以刻畫大規(guī)模網(wǎng)絡(luò)的復(fù)雜流量行為。文中采用支持向量機(jī)回歸方法進(jìn)行網(wǎng)絡(luò)流量預(yù)測(cè)，首先對(duì)觀測(cè)序列進(jìn)行歸一化預(yù)處理,根據(jù)訓(xùn)練樣本動(dòng)態(tài)調(diào)整參數(shù)后，再進(jìn)行預(yù)測(cè)。從實(shí)際預(yù)測(cè)結(jié)果來看,該方法具有較好的預(yù)測(cè)效果。
參考文獻(xiàn)：
[1] Kantz H.非線性時(shí)間序列分析[M].北京:清華大學(xué)出版社,2000.
[2] Chen Bor-Sen ,Peng Sen-Chueh,Wang Ku-Chen. Traffic Modeling,Prediction,and Congestion Control for High-Speed Networks:A Fuzzy AR Approach[J].IEEE Transaction on Fuzzy Systems,2000 ,8(5)
[3] Vapnik V N. Statistical Learning Theory [M].New York Wiley,1998.
[4] 劉勝,李妍妍.自適應(yīng)GA-SVM 參數(shù)選擇算法研究[J]. 哈爾濱工程大學(xué)學(xué)報(bào),2007,28(4).
[5] 魏海坤.神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)的理論與方法[M].北京：國(guó)防工業(yè)出版社,2005.
【論文摘要】:網(wǎng)絡(luò)流量性能測(cè)量是網(wǎng)絡(luò)管理和系統(tǒng)管理的一個(gè)重要組成部分,為網(wǎng)絡(luò)的運(yùn)行和維護(hù)提供了重要信息,問時(shí)也是網(wǎng)絡(luò)流量具體建模、分析的必要前提和手段。網(wǎng)絡(luò)流量的測(cè)量方法分為主動(dòng)測(cè)量和被動(dòng)測(cè)量。兩種測(cè)量方法各有優(yōu)缺點(diǎn),分別用于不同的場(chǎng)合。針對(duì)網(wǎng)絡(luò)流量的測(cè)量展開系統(tǒng)性的研究將對(duì)Internet行為學(xué)方面的研究取得理論突破具有重要意。
網(wǎng)絡(luò)流量性能測(cè)量與分析涉及許多關(guān)鍵技術(shù),如單向測(cè)量中的時(shí)鐘同步問題,主動(dòng)測(cè)量與被動(dòng)測(cè)量的抽樣算法研究,多種測(cè)量工具之間的協(xié)同工作,網(wǎng)絡(luò)測(cè)量體系結(jié)構(gòu)的搭建,性能指標(biāo)的量化,性能指標(biāo)的模型化分析,對(duì)網(wǎng)絡(luò)未來狀態(tài)進(jìn)行趨勢(shì)預(yù)測(cè),對(duì)海量測(cè)量數(shù)據(jù)進(jìn)行數(shù)據(jù)挖掘或者利用已有的模型(petri網(wǎng)、自相似性、排隊(duì)論)研究其自相似特征,測(cè)量與分析結(jié)果的可視化,以及由測(cè)量所引起的安全性問題等等。
1.在IP網(wǎng)絡(luò)中采用網(wǎng)絡(luò)性能監(jiān)測(cè)技術(shù),可以實(shí)現(xiàn)
1.1 合理規(guī)劃和優(yōu)化網(wǎng)絡(luò)性能
為更好的管理和改善網(wǎng)絡(luò)的運(yùn)行,網(wǎng)絡(luò)管理者需要知道其網(wǎng)絡(luò)的流量情況和盡量多的流量信息。通過對(duì)網(wǎng)絡(luò)流量的監(jiān)測(cè)、數(shù)據(jù)采集和分析,給出詳細(xì)的鏈路和節(jié)點(diǎn)流量分析報(bào)告,獲得流量分布和流向分布、報(bào)文特性和協(xié)議分布特性,為網(wǎng)絡(luò)規(guī)劃、路由策略、資源和容量升級(jí)提供依據(jù)。
1.2 基于流量的計(jì)費(fèi)
現(xiàn)在lSP對(duì)網(wǎng)絡(luò)用戶提供服務(wù)絕大多數(shù)還是采用固定租費(fèi)的形式,這對(duì)一般用戶和ISP來說,都不是一個(gè)好的選擇。采用這一形式的很大原因就是網(wǎng)絡(luò)提供者不能夠統(tǒng)計(jì)全部用戶的準(zhǔn)確流量情況。這就需要有方便的手段對(duì)用戶的流量進(jìn)行檢測(cè)。通過對(duì)用戶上網(wǎng)時(shí)長(zhǎng)、上網(wǎng)流量、網(wǎng)絡(luò)業(yè)務(wù)以及目的網(wǎng)站數(shù)據(jù)分析,擺脫目前單一的包月制,實(shí)現(xiàn)基于時(shí)間段、帶寬、應(yīng)用、服務(wù)質(zhì)量等更加靈活的交費(fèi)標(biāo)準(zhǔn)。
1.3 網(wǎng)絡(luò)應(yīng)用狀況監(jiān)測(cè)與分析
了解網(wǎng)絡(luò)的應(yīng)用狀況,對(duì)研究者和網(wǎng)絡(luò)提供者都很重要。通過網(wǎng)絡(luò)應(yīng)用監(jiān)測(cè),可以了解網(wǎng)絡(luò)上各種協(xié)議的使用情況(如www,pop3,ftp,rtp等協(xié)議),以及網(wǎng)絡(luò)應(yīng)用的使用情況,研究者可以據(jù)此研究新的協(xié)議與應(yīng)用,網(wǎng)絡(luò)提供者也可以據(jù)此更好的規(guī)劃網(wǎng)絡(luò)。
1.4 實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)狀況
針對(duì)網(wǎng)絡(luò)流量變化的突發(fā)性特性,通過實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)狀況,能實(shí)時(shí)獲得網(wǎng)絡(luò)的當(dāng)前運(yùn)行狀況,減輕維護(hù)人員的工作負(fù)擔(dān)。能在網(wǎng)絡(luò)出現(xiàn)故障或擁塞時(shí)發(fā)出自動(dòng)告警,在網(wǎng)絡(luò)即將出現(xiàn)瓶頸前給出分析和預(yù)測(cè)?，F(xiàn)在隨著Internet網(wǎng)絡(luò)不斷擴(kuò)大,網(wǎng)絡(luò)中也經(jīng)常會(huì)出現(xiàn)黑客攻擊、病毒泛濫的情況。而這些網(wǎng)絡(luò)突發(fā)事件從設(shè)備和網(wǎng)管的角度看卻很難發(fā)現(xiàn),經(jīng)常讓網(wǎng)絡(luò)管理員感到棘手。因此,針對(duì)網(wǎng)絡(luò)中突發(fā)性的異常流量分析將有助于網(wǎng)絡(luò)管理員發(fā)現(xiàn)和解決問題。
1.5 網(wǎng)絡(luò)用戶行為監(jiān)測(cè)與分析
這對(duì)于網(wǎng)絡(luò)提供者來說非常重要,通過監(jiān)測(cè)訪問網(wǎng)絡(luò)的用戶的行為,可以了解到:
1)某一段時(shí)間有多少用戶在訪問我的網(wǎng)絡(luò)。
2)訪問我的網(wǎng)絡(luò)最多的用戶是哪些。
3)這些用戶停留了多長(zhǎng)時(shí)間。
4)他們來自什么地方。
5)他們到過我的網(wǎng)絡(luò)的哪些部分。
通過這些信息,網(wǎng)絡(luò)提供者可以更好的為用戶提供服務(wù),從而也獲得更大的收益。
2.網(wǎng)絡(luò)流量測(cè)量有5個(gè)要素:
測(cè)量時(shí)間、測(cè)量對(duì)象、測(cè)量目的、測(cè)量位置和測(cè)量方法。網(wǎng)絡(luò)流量的測(cè)量實(shí)體,即性能指標(biāo)主要包括以下幾項(xiàng)。 2.1 連接性
連接性也稱可用性、連通性或可達(dá)性,嚴(yán)格說應(yīng)該是網(wǎng)絡(luò)的基本能力或?qū)傩?不能稱為性能,但I(xiàn)TU-T建議可以用一些方法進(jìn)行定量的測(cè)量。
2.2 延遲
對(duì)于單向延遲測(cè)量要求時(shí)鐘嚴(yán)格同步,這在實(shí)際的測(cè)量中很難做到,許多測(cè)量方案都采用往返延遲,以避開時(shí)鐘同步問題。
2.3 丟包率
為了評(píng)估網(wǎng)絡(luò)的丟包率,一般采用直接發(fā)送測(cè)量包來進(jìn)行測(cè)量。目前評(píng)估網(wǎng)絡(luò)丟包率的模型主要有貝努利模型、馬爾可夫模型和隱馬爾可夫模型等等。
2.4 帶寬
帶寬一股分為瓶頸帶寬和可用帶寬。瓶頸帶寬是指當(dāng)一條路徑(通路)中沒有其他背景流量時(shí),網(wǎng)絡(luò)能夠提供的最大的吞吐量。
2.5 流量參數(shù)
ITU-T提出兩種流量參數(shù)作為參考:一種是以一段時(shí)間間隔內(nèi)在測(cè)量點(diǎn)上觀測(cè)到的所有傳輸成功的IP包數(shù)量除以時(shí)間間隔,即包吞吐量;另一種是基于字節(jié)吞吐量:用傳輸成功的IP包中總字節(jié)數(shù)除以時(shí)間間隔。
3.測(cè)量方法
Internet流量數(shù)據(jù)有三種形式:被動(dòng)數(shù)據(jù)(指定鏈路數(shù)據(jù))、主動(dòng)數(shù)據(jù)(端至端數(shù)據(jù))和BGP路由數(shù)據(jù),由此涉及兩種測(cè)量方法:被動(dòng)測(cè)量方法和主動(dòng)測(cè)量方法然而,近幾年來,主動(dòng)測(cè)量技術(shù)被網(wǎng)絡(luò)用戶或網(wǎng)絡(luò)研究人員用來分析指定網(wǎng)絡(luò)路徑的流量行為。
3.1 主動(dòng)測(cè)量
主動(dòng)測(cè)量的方法是指主動(dòng)發(fā)送數(shù)據(jù)包去探測(cè)被測(cè)量的對(duì)象。以被測(cè)對(duì)象的響應(yīng)作為性能評(píng)分的結(jié)果來分析。測(cè)量者一般采用模擬現(xiàn)實(shí)的流量(如Web Server的請(qǐng)求、FTP下載、DNS反應(yīng)時(shí)間等)來測(cè)量一個(gè)應(yīng)用的性能或者網(wǎng)絡(luò)的性能。由于測(cè)量點(diǎn)一般都靠近終究端,所以這種方法能夠代表從監(jiān)測(cè)者的角度反映的性能。
3.2 被動(dòng)測(cè)量
被動(dòng)測(cè)量是在網(wǎng)絡(luò)中的一點(diǎn)收集流量信息,如使用路由器或交換機(jī)收渠數(shù)據(jù)或者一個(gè)獨(dú)立的設(shè)備被動(dòng)地監(jiān)測(cè)網(wǎng)絡(luò)鏈路的流量。被動(dòng)測(cè)量可以完全取消附加流量和Heisenberg效應(yīng),這些優(yōu)點(diǎn)使人們更愿意使用被動(dòng)測(cè)量技術(shù)。有些測(cè)度使用被動(dòng)測(cè)量獲得相當(dāng)困難:如決定分縮手縮腳一所經(jīng)過的路由。但被動(dòng)測(cè)量的優(yōu)點(diǎn)使得決定測(cè)量之前應(yīng)該首先考慮被動(dòng)測(cè)量。被動(dòng)測(cè)量技術(shù)遇到的另一個(gè)重要問題是目前提出的要求確保隱私和安全問題。
3.3 網(wǎng)絡(luò)流量抽樣測(cè)量技術(shù)
選擇部分報(bào)文,當(dāng)采樣時(shí)間間隔較大時(shí),細(xì)微的網(wǎng)絡(luò)行為變化就無法精確探測(cè)到。反之,抽樣間隔過小時(shí),又會(huì)占用過多的帶寬及需要更大的存儲(chǔ)能力。采樣方法隨采樣策略的不同而不同,如系統(tǒng)采樣或隨機(jī)采樣;也隨觸發(fā)采樣事件的不同而不同。如由報(bào)文到達(dá)時(shí)間觸發(fā)(基于時(shí)間采樣),由報(bào)文在流中所處的位置觸發(fā)(基于數(shù)目采樣)或由報(bào)文的內(nèi)容觸發(fā)(基于內(nèi)容采樣)。為了在減少采樣樣本和獲取更精確的流量數(shù)據(jù)之間達(dá)到平衡。
4.結(jié)語
【關(guān)鍵詞】網(wǎng)絡(luò)監(jiān)控 流量測(cè)量 采集技術(shù) 技術(shù)構(gòu)架 局域管理
伴隨著計(jì)算機(jī)技術(shù)的飛速發(fā)展，以網(wǎng)絡(luò)連接為主導(dǎo)的科技力量逐漸增強(qiáng)，并形成了多點(diǎn)傳輸、兼容運(yùn)行的管理機(jī)制，視頻、下載、多播等技術(shù)手段日益豐富。然而在網(wǎng)絡(luò)應(yīng)用不斷擴(kuò)大，線路錯(cuò)綜、流量范圍不斷復(fù)雜的今天，網(wǎng)絡(luò)連接不流暢、流量堵塞、鏈接速度緩慢、網(wǎng)絡(luò)病毒傳播等現(xiàn)象凸顯出來，影響到我們的正常使用。因此，加強(qiáng)網(wǎng)絡(luò)流量監(jiān)控，合理規(guī)劃流量布置，調(diào)整網(wǎng)絡(luò)運(yùn)用時(shí)差，有效控制網(wǎng)絡(luò)病毒傳播，研發(fā)新型網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)勢(shì)在必行。
1 分析計(jì)算機(jī)網(wǎng)絡(luò)流量監(jiān)控技術(shù)現(xiàn)狀
傳統(tǒng)的網(wǎng)絡(luò)流量監(jiān)控技術(shù)，是建立在某一區(qū)域內(nèi)，點(diǎn)對(duì)點(diǎn)的直線傳輸和管理的，它的監(jiān)控原理是：通過控制數(shù)據(jù)端口和輸出端口的IP流量，來檢測(cè)系統(tǒng)內(nèi)的流量，分析網(wǎng)絡(luò)資源。基于人們對(duì)現(xiàn)代網(wǎng)絡(luò)技術(shù)的發(fā)展需求，開發(fā)設(shè)計(jì)新型網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，可高效、快捷的進(jìn)行局域網(wǎng)絡(luò)管理，調(diào)節(jié)網(wǎng)絡(luò)流量資源，達(dá)到快速上網(wǎng)和減少病毒傳播的目的，同時(shí)可借鑒傳統(tǒng)流量監(jiān)控技術(shù)，合理設(shè)計(jì)局域網(wǎng)絡(luò)監(jiān)控系統(tǒng)。這類設(shè)計(jì)應(yīng)用的特點(diǎn)是：通訊流量大、種類繁多、無固定服務(wù)端口、特征變化迅速和可控制管理等。其監(jiān)控系統(tǒng)應(yīng)具有的技術(shù)功能：TCP/IP協(xié)議，建設(shè)網(wǎng)絡(luò)的基礎(chǔ)單元；數(shù)據(jù)采集和流量測(cè)量技術(shù)，網(wǎng)絡(luò)監(jiān)控管理的必備條件等。
2 計(jì)算機(jī)網(wǎng)絡(luò)流量監(jiān)控的設(shè)計(jì)與實(shí)現(xiàn)
2.1 計(jì)算機(jī)網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)設(shè)計(jì)的技術(shù)構(gòu)架
為滿足人們?nèi)找嬖鲩L(zhǎng)的網(wǎng)絡(luò)需求，實(shí)現(xiàn)快速、高效的網(wǎng)絡(luò)鏈接，合理調(diào)節(jié)資源配置，有效防范病毒傳播，進(jìn)行可控的網(wǎng)絡(luò)管理，對(duì)局域網(wǎng)絡(luò)流量監(jiān)控進(jìn)行設(shè)計(jì)（如圖1）。由圖可知，局域網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)是由系統(tǒng)管理、流量采集、實(shí)時(shí)性能監(jiān)控、站點(diǎn)流量管理、P2P流量及分析統(tǒng)計(jì)模塊組成，它們相互促進(jìn)，協(xié)調(diào)管理，共同完成網(wǎng)絡(luò)流量監(jiān)控。
2.2 網(wǎng)絡(luò)流量的測(cè)量與采集主要模塊技術(shù)
在網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)中，最為重要的功能模塊：網(wǎng)絡(luò)流量測(cè)量與采集技術(shù)，這也是基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控設(shè)計(jì)的核心組成部件。網(wǎng)絡(luò)流量測(cè)量在其形式上分為主動(dòng)測(cè)量和被動(dòng)測(cè)量?jī)煞N方式。所謂的主動(dòng)測(cè)量方式，是指通過向網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)中，放入可探測(cè)流量的軟件或數(shù)據(jù)包，通過數(shù)據(jù)反饋或數(shù)據(jù)入庫跟蹤等，得到有效測(cè)量流量的一種方式。例如，網(wǎng)絡(luò)中綜合對(duì)寬帶信號(hào)進(jìn)行定位和流程測(cè)量，具體措施就是通過植入探測(cè)流量器，來實(shí)現(xiàn)寬帶網(wǎng)絡(luò)的流量配置，它的鏈接方式就是通過主動(dòng)測(cè)量方式進(jìn)行的。被動(dòng)測(cè)量，就是根據(jù)各個(gè)有效站點(diǎn)反饋的數(shù)據(jù)和記錄，進(jìn)行數(shù)據(jù)分析和統(tǒng)計(jì)，從而通過計(jì)算等方式得到的間接的流量獲得方式。例如，P2P網(wǎng)絡(luò)流量系統(tǒng)中經(jīng)常通過交換機(jī)、路由器或其它監(jiān)測(cè)設(shè)備，通過之路數(shù)據(jù)采集，從而得到網(wǎng)絡(luò)流量。被動(dòng)測(cè)量憑借不單獨(dú)依附特殊設(shè)備運(yùn)行、可避免系統(tǒng)的不兼容等特點(diǎn)，略優(yōu)于主動(dòng)測(cè)量方式。
網(wǎng)絡(luò)流量采集技術(shù)，是按照系統(tǒng)所反饋的信息內(nèi)容進(jìn)行劃分、重組的。一般分為四個(gè)類型：第一種實(shí)現(xiàn)了直接從一個(gè)端口到另一個(gè)端口的直線連接，即傳統(tǒng)意義上的IP流量，其中包含了大量的數(shù)據(jù)信息；第二種用戶鏈接網(wǎng)絡(luò)所產(chǎn)生的流量信息，它的采集意義重大，可控制網(wǎng)絡(luò)主要病毒的獲取；第三種各個(gè)節(jié)點(diǎn)的網(wǎng)絡(luò)流量，其信息量包括字節(jié)、數(shù)量、容積等，主要采用MRTG技術(shù)進(jìn)行采集；第四種則是企業(yè)專用的業(yè)務(wù)層流量采集，主要應(yīng)用Sniffer技術(shù)采集整理。
2.3 新型計(jì)算機(jī)網(wǎng)絡(luò)流量監(jiān)控的實(shí)現(xiàn)
基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，主要解決了傳統(tǒng)P2P網(wǎng)絡(luò)流量的端口、IP和通信限制，實(shí)現(xiàn)了點(diǎn)到面的綜合流量監(jiān)控，有效防范了外網(wǎng)的技術(shù)漏洞和安全隱患，是目前網(wǎng)絡(luò)系統(tǒng)中應(yīng)用較為廣泛的流量監(jiān)測(cè)技術(shù)。無論通過路由器還是交換機(jī)連接進(jìn)入網(wǎng)絡(luò)，最終都是通過流量采集模塊和嚴(yán)格的監(jiān)控管理，進(jìn)行數(shù)據(jù)劃分和測(cè)量，其中間環(huán)節(jié)加大了對(duì)信息流量的監(jiān)控力度，有效的減少了網(wǎng)絡(luò)病毒傳播，促進(jìn)了局域網(wǎng)的良性循環(huán)。
首先可通過系統(tǒng)結(jié)構(gòu)運(yùn)行原理，具體分析數(shù)據(jù)流量的來龍去脈，高效的掌握網(wǎng)絡(luò)鏈接情況，并實(shí)時(shí)通過數(shù)據(jù)采集，快捷的確定數(shù)據(jù)包內(nèi)容，包括源IP地址、端口信息、終點(diǎn)地址、協(xié)議類型等服務(wù)，來實(shí)現(xiàn)具體業(yè)務(wù)類型及傳送方向等。其次，通過Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，可實(shí)施監(jiān)控網(wǎng)絡(luò)資源，如寬帶高峰、低谷時(shí)間段，流量占用量，具體下載速度等，通過流量采集和網(wǎng)絡(luò)測(cè)量模塊，調(diào)節(jié)網(wǎng)絡(luò)流量運(yùn)行趨勢(shì)，使之更高效、更快捷的提供數(shù)據(jù)反饋信息，強(qiáng)有力的控制網(wǎng)絡(luò)病毒，為合理的使用網(wǎng)絡(luò)資源提供有力的保證。
3 結(jié)束語
綜上所述，基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)設(shè)計(jì)，實(shí)現(xiàn)了局域網(wǎng)的流量鏈接管理，有效防范了外部網(wǎng)絡(luò)的惡意攻擊，對(duì)局域網(wǎng)絡(luò)連接帶來了新的突破和發(fā)展。同時(shí)網(wǎng)絡(luò)運(yùn)營(yíng)商為全面擴(kuò)寬網(wǎng)絡(luò)業(yè)務(wù)，充分發(fā)揮網(wǎng)絡(luò)流量監(jiān)控方面的資源優(yōu)勢(shì)，必須整合網(wǎng)絡(luò)科學(xué)技術(shù)，依靠先進(jìn)的計(jì)算機(jī)理論，設(shè)計(jì)更為專業(yè)、高效的網(wǎng)絡(luò)流量可控系統(tǒng)，綜合提高網(wǎng)絡(luò)運(yùn)行速度和安全管理能力。
參考文獻(xiàn)
[1]王繼梅，金連普.基于JDBC的網(wǎng)絡(luò)管理系統(tǒng)流量統(tǒng)計(jì)研究[J].計(jì)算機(jī)工程與設(shè)計(jì)，2009（8）.
[2]梁鴻，劉芳.基于TCP/IP的網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)模型的研究[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2007（6）.
[3]柯棟梁，萬燕.基于SNMP協(xié)議的流量監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].微計(jì)算機(jī)信息廣西教育，2009（4）.
作者簡(jiǎn)介
趙韜（1982-），男，湖北省鄖縣人。大學(xué)本科學(xué)歷?，F(xiàn)為湖北省鄖陽師范高等專科學(xué)校講師。研究方向?yàn)橛?jì)算機(jī)網(wǎng)絡(luò)。
結(jié)合校園網(wǎng)絡(luò)實(shí)際面臨到的問題,我們應(yīng)借助網(wǎng)絡(luò)應(yīng)用層監(jiān)測(cè)技術(shù),使用相關(guān)流控設(shè)備,做好流量管控,既可讓教育公眾雙網(wǎng)運(yùn)作順暢、有限帶寬資源得到有效應(yīng)用,又可提高網(wǎng)絡(luò)性能。
關(guān)鍵詞:DPI;智能流量管理系統(tǒng);管理策略
Campus Network Application Layer Traffic Monitoring and Flow Control Equipment to Study
TAO Wei-tian
(Network Management Center of Traditional Chinese Medicine in Gansu, Lanzhou 730000, China)
Abstract: With exports of campus network bandwidth increases and new applications development, the traditional port and IP-based traffic management difficult to meet the requirements, and has brought various problems. With quantitative analysis based on network planning and optimization is particularly important and urgent.
With the actual faces to the campus network, we should draw the network application-level monitoring technology, use-related flow control equipment, good flow control, only to allow the smooth operation of the dual network to educate the public, limited bandwidth, the effective application of resources, but also improve the network performance.
Key words: DPI; intelligent traffic management system; management strategy
隨著大學(xué)校園上網(wǎng)規(guī)模的增加,BT、P2P、視頻下載等應(yīng)用風(fēng)行,盡管已經(jīng)多次升級(jí)線路帶寬,卻發(fā)現(xiàn)上網(wǎng)還是卡,帶寬還是不夠用。各式病毒攻擊也伴隨而來,更是惱人的問題。使得校園網(wǎng)流量管理變得異常困難,大量帶寬被非核心業(yè)務(wù)占用,而傳統(tǒng)的基于端口和IP的流量管理難以滿足要求;面對(duì)眾多的用戶及復(fù)雜多元的網(wǎng)絡(luò)應(yīng)用,給校園網(wǎng)絡(luò)管理帶來很大的威脅,網(wǎng)絡(luò)管理人員經(jīng)常遭遇下列問題:網(wǎng)絡(luò)占用率較高不能查明原因、帶寬不足需優(yōu)化而缺乏統(tǒng)計(jì)數(shù)據(jù)、網(wǎng)絡(luò)突然中斷不能查明原因等、希望獲得詳細(xì)的網(wǎng)絡(luò)管理報(bào)表用來網(wǎng)絡(luò)優(yōu)化或升級(jí)需要而沒有現(xiàn)成資料。
針對(duì)上述校園網(wǎng)絡(luò)實(shí)際面臨到的問題,我認(rèn)為追根究底是要做好流量管控,使用應(yīng)用層流量分析管理技術(shù)和產(chǎn)品,即可實(shí)現(xiàn)這方面的管理效果,這就需要做到:1) 了解網(wǎng)絡(luò)應(yīng)用流量監(jiān)測(cè)技術(shù);2) 合理的使用流量管理產(chǎn)品。下面,分別就這兩方面做以闡述:
1 網(wǎng)絡(luò)應(yīng)用流量監(jiān)測(cè)原理及辦法
我們知道,傳統(tǒng)的流量和帶寬管理是基于OSI L2～L4層,通過IP包頭的五元組(源地址、目的地址、源端口、目的端口以及協(xié)議類型)信息進(jìn)行分析,通常我們稱此為“普通報(bào)文檢測(cè)”?！捌胀▓?bào)文檢測(cè)”僅分析IP包的4層以下的內(nèi)容,通過端口號(hào)來識(shí)別應(yīng)用類型。而當(dāng)前網(wǎng)絡(luò)上的一些應(yīng)用會(huì)采用隱藏或假冒端口號(hào)的方式躲避檢測(cè)和監(jiān)管,造成仿冒合法報(bào)文的數(shù)據(jù)流侵蝕著網(wǎng)絡(luò)(例如P2P下載軟件大多采用動(dòng)態(tài)協(xié)商端口機(jī)制),此時(shí)采用L2～L4層的傳統(tǒng)檢測(cè)方法就無能為力了。
為了識(shí)別諸如基于開放端口、隨機(jī)端口甚至采用加密方式等進(jìn)行傳輸?shù)膽?yīng)用類型,網(wǎng)絡(luò)流量應(yīng)用識(shí)別基本技術(shù)DPI、DFI技術(shù)應(yīng)運(yùn)而生。也有文獻(xiàn)稱之為業(yè)務(wù)識(shí)別技術(shù)。
1.1網(wǎng)絡(luò)流量應(yīng)用識(shí)別基本技術(shù)
1.1.1 DPI
DPI全稱為“Deep Packet Inspection”,稱為“深度包檢測(cè)”。DPI技術(shù)在分析包頭的基礎(chǔ)上,增加了對(duì)應(yīng)用層的分析,是一種基于應(yīng)用層的流量檢測(cè)和控制技術(shù)。當(dāng)IP數(shù)據(jù)包、TCP或UDP數(shù)據(jù)流經(jīng)過基于DPI技術(shù)的流量管理系統(tǒng)時(shí),該系統(tǒng)通過深入讀取IP包載荷的內(nèi)容,來對(duì)OSI 7層協(xié)議中的應(yīng)用層信息進(jìn)行重組,從而得到整個(gè)應(yīng)用程序的內(nèi)容,然后按照系統(tǒng)定義的管理策略對(duì)流量進(jìn)行整形操作。
DPI技術(shù)通常采用如下的數(shù)據(jù)包分析方法:
傳輸層端口分析。許多應(yīng)用使用默認(rèn)的傳輸層端口號(hào),例如HTTP協(xié)議使用80端口。
特征字匹配分析。一些應(yīng)用在應(yīng)用層協(xié)議頭,或者應(yīng)用層負(fù)荷中的特定位置中包含特征字段,通過特征字段的識(shí)別實(shí)現(xiàn)數(shù)據(jù)包檢查、監(jiān)控和分析。
通信交互過程分析。對(duì)多個(gè)會(huì)話的事務(wù)交互過程進(jìn)行監(jiān)控分析,包括包長(zhǎng)度、發(fā)送的包數(shù)目等,實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)業(yè)務(wù)的檢查、監(jiān)控和分析。
DPI技術(shù)是達(dá)到應(yīng)用層流控目標(biāo)的基本方法,通過DPI技術(shù),把流細(xì)分為對(duì)應(yīng)具體的應(yīng)用流,在分離流量的基礎(chǔ)上,定義帶寬通道,從而使網(wǎng)絡(luò)中的流量根據(jù)應(yīng)用各行其道,優(yōu)化寬帶服務(wù),提高網(wǎng)絡(luò)運(yùn)行效率和服務(wù)品質(zhì),保障關(guān)鍵應(yīng)用,獲得更好的用戶體驗(yàn)。
DPI實(shí)現(xiàn)應(yīng)用粒度控制的流程是:識(shí)別分析控制報(bào)告,其中識(shí)別準(zhǔn)確度是關(guān)鍵,是評(píng)估流控產(chǎn)品的重要指標(biāo)。
1.1.2 DFI
DFI(Deep/Dynamic Flow Inspection,深度/動(dòng)態(tài)流檢測(cè))與DPI進(jìn)行應(yīng)用層的載荷匹配不同,采用的是一種基于流量行為的應(yīng)用識(shí)別技術(shù),即不同的應(yīng)用類型體現(xiàn)在會(huì)話連接或數(shù)據(jù)流上的狀態(tài)各有不同。DFI更關(guān)注于網(wǎng)絡(luò)流量特征的通用性,因此,DFI技術(shù)并不對(duì)網(wǎng)絡(luò)流量進(jìn)行深度的報(bào)文檢測(cè),而僅通過對(duì)網(wǎng)絡(luò)流量的狀態(tài)、網(wǎng)絡(luò)層和傳輸層信息、業(yè)務(wù)流持續(xù)時(shí)間、平均流速率、字節(jié)長(zhǎng)度分布等參數(shù)的統(tǒng)計(jì)分析,來獲取業(yè)務(wù)類型、業(yè)務(wù)狀態(tài)。
2 網(wǎng)絡(luò)流量管理產(chǎn)品
2.1 智能管理
早期的網(wǎng)絡(luò)流量管理方式是在路由器、防火墻或局域網(wǎng)交換機(jī)上使用簡(jiǎn)單的帶寬管理或QOS來實(shí)現(xiàn)(至今一些單位的簡(jiǎn)易流控需求仍沿用這種方式),但這種控制方式需要人為干涉,操作復(fù)雜,無法做到智能管理,所以不能滿足網(wǎng)絡(luò)管理中復(fù)雜策略的精細(xì)程度和靈活程度需要。
智能流量管理系統(tǒng)是一款專業(yè)的L7應(yīng)用層流量管理產(chǎn)品,適用于大中型企業(yè)、校園網(wǎng)、城域網(wǎng)等流量大、應(yīng)用復(fù)雜的網(wǎng)絡(luò)化境;通過監(jiān)控網(wǎng)絡(luò)流量,分析流量行為,設(shè)置流控策略,分時(shí)段、按用戶、按應(yīng)用實(shí)現(xiàn)流量控制和帶寬保障,全面提升帶寬利用價(jià)值。智能流量管理系統(tǒng)融合了DPI和DFI兩種技術(shù),具有四個(gè)顯著特征。
1) 精確而廣泛的應(yīng)用識(shí)別能力:對(duì)應(yīng)用的識(shí)別是進(jìn)行流量控制的基礎(chǔ)。智能流量管理系統(tǒng)應(yīng)用識(shí)別庫能覆蓋各種主流應(yīng)用,特別是結(jié)合國(guó)內(nèi)網(wǎng)絡(luò)應(yīng)用的實(shí)際情況,提供對(duì)迅雷、QQ等本土應(yīng)用的識(shí)別。另外,智能流量管理系統(tǒng)能夠?qū)χT如QQ這種具有即時(shí)消息、文件傳輸、音頻視頻、游戲等多種子協(xié)議的網(wǎng)絡(luò)應(yīng)用,提供精細(xì)化的子應(yīng)用識(shí)別。
2) 優(yōu)異的產(chǎn)品性能及安全性保障:智能流量管理系統(tǒng)對(duì)用戶網(wǎng)絡(luò)中的所有流量進(jìn)行處理,能夠承受巨大的流量壓力,特別是在配置復(fù)雜策略情況下,不會(huì)造成設(shè)備性能的下降。另外,設(shè)備是以串接方式接入用戶網(wǎng)絡(luò),具有良好的安全性,在設(shè)備出現(xiàn)運(yùn)行斷電或異常情況時(shí),能夠保障用戶業(yè)務(wù)的暢通。
3) 強(qiáng)大的控制能力:智能流量管理系統(tǒng)能夠根據(jù)用戶的實(shí)際需求,提供強(qiáng)大而完善的控制手段。通過不同時(shí)間段、不同用戶、不同網(wǎng)絡(luò)應(yīng)用、不同控制動(dòng)作等條件,實(shí)現(xiàn)不同情景下的策略配置。我們知道任何網(wǎng)絡(luò)流量的使用都和人的因素密不可分,智能流量管理系統(tǒng)能夠?qū)τ脩暨M(jìn)行靈活的分類管理,從而使控制策略更加符合實(shí)際需要。
4) 清晰而全面的信息查詢:智能流量管理系統(tǒng)不僅能實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)流量的控制,而且能幫助網(wǎng)絡(luò)管理者對(duì)異常問題進(jìn)行定位,以及通過網(wǎng)絡(luò)應(yīng)用現(xiàn)狀的分析實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的優(yōu)化。智能流量管理系統(tǒng)通過柱狀圖、餅狀圖、走勢(shì)圖等圖表,以及從不同的分析角度,可向用戶提供清晰而全面的實(shí)時(shí)信息查詢、歷史日志查詢、以及自動(dòng)生成報(bào)表等功能。
2.2 國(guó)內(nèi)外產(chǎn)品介紹
國(guó)外廠商,以Cisco SCE、Allot、Packteer、Sendvine、 ACENET、Maxnet。產(chǎn)品特性能好,解決方案和產(chǎn)品成熟,均有用戶管理系統(tǒng)(可能為動(dòng)態(tài)IP環(huán)境中使用,將用戶帳號(hào)和流量策略結(jié)合來控制流量),除ACENET外,其主流產(chǎn)品功能相對(duì)單一,但非常專業(yè)。
國(guó)內(nèi)廠商中,比較優(yōu)秀的有暢訊信通的QQSG、南京信風(fēng)、寬廣、華為SIG、金御等,國(guó)內(nèi)產(chǎn)品適合國(guó)情,國(guó)內(nèi)應(yīng)用的識(shí)別率相對(duì)國(guó)外產(chǎn)品高,存在問題是產(chǎn)品性能宣傳強(qiáng),但實(shí)際使用,尤其是在策略較多情況下性能差,個(gè)別產(chǎn)品有POS接口(適合部分國(guó)內(nèi)運(yùn)營(yíng)商),價(jià)格較國(guó)外廠商有較大優(yōu)勢(shì),功能較多,但在流量管理領(lǐng)域,屬于發(fā)展期,不夠成熟。
2.3 設(shè)備的選擇
2.3.1 硬件技術(shù)
流量管理設(shè)備硬件技術(shù)主要有三種:Intel X86架構(gòu)、ASIC技術(shù)和NP技術(shù),由于X86架構(gòu)處理速度相對(duì)較慢,單個(gè)芯片的可擴(kuò)展性較差,所以大部分廠家的低端產(chǎn)品采用X86架構(gòu),高端產(chǎn)品采用ASIC或NP技術(shù),以適用于不同的網(wǎng)絡(luò)環(huán)境需求。
2.3.2 工作模式
1) 路由模式:通過網(wǎng)關(guān)模式串接在用戶網(wǎng)絡(luò)鏈路中,所有流量都通過網(wǎng)關(guān)處理,對(duì)內(nèi)網(wǎng)用戶上網(wǎng)行為和數(shù)據(jù)包實(shí)施控制、攔截、流量管理等功能。若將設(shè)備作為Internet 出口網(wǎng)關(guān),設(shè)備的防火墻功能保障組織網(wǎng)絡(luò)安全,NAT功能內(nèi)網(wǎng)用戶上網(wǎng),實(shí)現(xiàn)基本的路由功能等。
2) 網(wǎng)橋模式:同樣串接在用戶網(wǎng)絡(luò)鏈路中,如同連接在出口網(wǎng)關(guān)和內(nèi)網(wǎng)交換機(jī)之間的“智能網(wǎng)線”,對(duì)流經(jīng)流控設(shè)備的所有數(shù)據(jù)流進(jìn)行控制、攔截、流量管理等操作。網(wǎng)橋模式主要適用于不希望更改網(wǎng)絡(luò)結(jié)構(gòu)、路由配置、IP 配置的用戶。
3) 旁路模式:即在出換機(jī)中配置鏡像端口,將流控設(shè)備的廣域網(wǎng)口同鏡像端口相連,實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)數(shù)據(jù)包的監(jiān)聽。
采用旁路模式部署的流控設(shè)備,將與交換機(jī)的鏡像端口相連,部署實(shí)施簡(jiǎn)單,完全不影響原有的網(wǎng)絡(luò)結(jié)構(gòu),降低了網(wǎng)絡(luò)單點(diǎn)故障的發(fā)生概率。
2.3.3 性能要求
1) 應(yīng)用協(xié)議的識(shí)別與分類(種類和準(zhǔn)確性),流控策略的普適性及長(zhǎng)效性;
有些通過應(yīng)用層特征碼來控制P2P的流控策略,如果不能及時(shí)更新特征碼或特征碼變得不可知,就可能導(dǎo)致流控失敗,一個(gè)近期的例子:BT通訊協(xié)議加密及迅雷通訊協(xié)議發(fā)生變化導(dǎo)致專門的P2P流控設(shè)備失效。好的流控設(shè)備不依賴于應(yīng)用的特征碼,因此可以經(jīng)得起時(shí)間及應(yīng)用軟件協(xié)議變化的考驗(yàn)。
2) 流控策略的全面性
普通設(shè)備的只對(duì)P2P應(yīng)用做控制,好的設(shè)備對(duì)所有流量的帶寬、會(huì)話數(shù)、總流量和應(yīng)用做控制。由于流量的多樣性,單靠一兩種策略是不能管理好的,必須實(shí)行全面的流控策略才能達(dá)到流量管理的目的。
3) 看監(jiān)控對(duì)象及流控策略的精細(xì)度
好的設(shè)備既可以監(jiān)控出口網(wǎng)關(guān)處的流量又可以監(jiān)控來源網(wǎng)絡(luò)的流量分布;
普通設(shè)備的控制精度只能達(dá)到IP一級(jí)或網(wǎng)關(guān)一級(jí),好的設(shè)備可以對(duì)每一源IP的不同應(yīng)用分別做帶寬及會(huì)話數(shù)的控制,而且只有這樣才能保障關(guān)鍵應(yīng)用及其它應(yīng)用的服務(wù)質(zhì)量以及相同等級(jí)用戶上網(wǎng)體驗(yàn)的一致性。
4) 看流量數(shù)據(jù)存儲(chǔ)及處理方式
好的設(shè)備可以將流量數(shù)據(jù)輸出到專門的流量分析工作站,將流量存儲(chǔ)、分析、統(tǒng)計(jì)、查詢功能和流量捕捉功能分開,保證了流量分析設(shè)備的運(yùn)行效率和流量數(shù)據(jù)存儲(chǔ)的可持續(xù)性。
5) 應(yīng)盡可能使用性能可靠、管理方便、特別是在有故障時(shí)能夠自動(dòng)旁路的設(shè)備,避免故障點(diǎn)的出現(xiàn)。
2.4 設(shè)備優(yōu)缺點(diǎn)
流控設(shè)備不是萬能的,還要了解其缺點(diǎn)。
首先,因?yàn)樗墓ぷ髟砗头啦《疽粯訉儆谑潞笃鹱饔?所以其優(yōu)點(diǎn)是精準(zhǔn),其缺點(diǎn)是:1) 總有部分(10～30%)流量不可識(shí)別,例如IP碎片、加密流量等;2) 性能會(huì)持續(xù)下降,當(dāng)特征碼越來越多時(shí),性能就會(huì)越來越低,這種趨勢(shì)發(fā)展到一定程度就會(huì)使流控設(shè)備成為網(wǎng)絡(luò)中新的性能瓶頸;3) 由于要頻繁更新特征碼,因此一、設(shè)備后期維護(hù)難度大,總體擁有成本高;二、對(duì)廠家的依賴程度高,廠家停產(chǎn)、倒閉等不可抗力因素使得購買其產(chǎn)品成為一種賭博行為。其次,要區(qū)別對(duì)待基于應(yīng)用層的帶寬分析技術(shù)和控制技術(shù),確定有未知流量的存在對(duì)于7層帶寬分析技術(shù)來說是一種間接的成果,但是對(duì)于基于其上的帶寬控制技術(shù)來說就是現(xiàn)實(shí)的噩夢(mèng),因?yàn)樗茸R(shí)別再做控制,所以這部分流量永遠(yuǎn)無法得到有效的控制,當(dāng)某種未知流量短期內(nèi)突然增大時(shí),流控措施就會(huì)馬上失效,例如,08年新版迅雷的快速普及就導(dǎo)致了不少流控設(shè)備失效,特別是一些國(guó)外的設(shè)備。
3 總結(jié)
綜上所述,只有做到網(wǎng)絡(luò)應(yīng)用流量監(jiān)測(cè)技術(shù)和網(wǎng)絡(luò)流量管理設(shè)備的深入了解,才能針對(duì)校園網(wǎng)所面臨的問題,選擇好適合自己需要的網(wǎng)絡(luò)流量管理設(shè)備,做到“心中有數(shù)、有的放矢”。
參考文獻(xiàn):
[1] 聶瑞華.基于DPI技術(shù)的校園網(wǎng)絡(luò)帶寬管理[J].計(jì)算機(jī)技術(shù)與發(fā)展,2009(4).
[2] 馬科.業(yè)務(wù)識(shí)別與管理系統(tǒng)和網(wǎng)絡(luò)流量的管理[J].現(xiàn)代電信科技,2008(4).
關(guān)鍵詞 網(wǎng)絡(luò)監(jiān)測(cè) Cacti 系統(tǒng)研究
中圖分類號(hào)TP393 文獻(xiàn)標(biāo)識(shí)碼：A
1 課題背景
近年來，隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，信息網(wǎng)絡(luò)越來越多地融入到人們的工作、學(xué)習(xí)和生活中，網(wǎng)絡(luò)管理也變得越來越重要。作為網(wǎng)絡(luò)管理人員使用傳統(tǒng)的網(wǎng)絡(luò)管理，由于缺少有效的網(wǎng)絡(luò)監(jiān)測(cè)手段，工作程序較為被動(dòng)。為解決這一問題，我們應(yīng)開發(fā)一套實(shí)時(shí)、動(dòng)態(tài)監(jiān)測(cè)并詳細(xì)記錄全網(wǎng)設(shè)備運(yùn)行狀況、鏈路狀況、流量狀況等信息，以直觀的、圖形化方式實(shí)時(shí)反映網(wǎng)絡(luò)運(yùn)行的監(jiān)測(cè)系統(tǒng)。此系統(tǒng)應(yīng)及時(shí)發(fā)現(xiàn)問題，對(duì)潛在隱患實(shí)時(shí)向管理員進(jìn)行報(bào)警，使網(wǎng)絡(luò)管理由人工轉(zhuǎn)為智能、由被動(dòng)轉(zhuǎn)為主動(dòng)，幫助網(wǎng)絡(luò)管理員提高網(wǎng)絡(luò)管理和運(yùn)行的服務(wù)質(zhì)量。
2 網(wǎng)絡(luò)監(jiān)測(cè)概述
網(wǎng)絡(luò)監(jiān)測(cè)軟件可以提供給管理員當(dāng)前的網(wǎng)絡(luò)狀態(tài)、網(wǎng)絡(luò)負(fù)載和網(wǎng)絡(luò)設(shè)備的工作狀態(tài)等信息。這些監(jiān)測(cè)軟件大多來自于軟件開發(fā)公司、個(gè)人和非盈利機(jī)構(gòu)。價(jià)格從免費(fèi)的開源軟件到收取高額費(fèi)用的商業(yè)軟件不等，一個(gè)高效的網(wǎng)絡(luò)監(jiān)測(cè)軟件也包括網(wǎng)絡(luò)故障的報(bào)警機(jī)制，一旦監(jiān)測(cè)到網(wǎng)絡(luò)故障，監(jiān)測(cè)軟件會(huì)利用多種途徑來通知網(wǎng)絡(luò)管理員。另外，高效的監(jiān)測(cè)軟件應(yīng)該有獨(dú)立運(yùn)行機(jī)制，不需要在每個(gè)被監(jiān)測(cè)設(shè)備上都安裝客戶端。
3 Cacti 概述
Cacti 是一個(gè)基于 PHP，SNMP，MySQL 和 RRDTool 開發(fā)的開源網(wǎng)絡(luò)流量監(jiān)測(cè)圖形分析軟件，它可以實(shí)現(xiàn)對(duì)當(dāng)前網(wǎng)絡(luò)狀態(tài)的圖形化顯示、故障診斷、指定每個(gè)用戶查看所對(duì)應(yīng)的樹狀結(jié)構(gòu)。Cacti 的開放式系統(tǒng)框架 PIA 提供了監(jiān)測(cè)系統(tǒng)的所有基礎(chǔ)部件和函數(shù)組，自身不但具有豐富的插件，第三方的插件如Weathtermap 都可以十分方便地嵌入到Cacti 平臺(tái)中，使用者可以根據(jù)自身需求定制和安裝相應(yīng)的插件。Cacti 通過使用NET-SNMP 程序中的 snmpget 和 snmpgetnext 命令來進(jìn)行數(shù)據(jù)的獲取，通過使用 RRDTool來進(jìn)行數(shù)據(jù)存取、更新、繪制圖形，所采集的數(shù)據(jù)可以重復(fù)利用，并且可以定義任意時(shí)間段制圖。
Cacti 通過 snmpget 命令采集數(shù)據(jù)，利用RRDTool 來制圖，MySQL 數(shù)據(jù)庫中存放了RRDTool 繪圖時(shí)所需要的所有信息，Cacti 的操作界面簡(jiǎn)潔直觀，用戶不需要掌握RRDTool 的復(fù)雜數(shù)據(jù)和命令的情況下就可以輕易繪制出所需要的圖形。
4 Nagios 概述
隨著計(jì)算機(jī)網(wǎng)絡(luò)規(guī)模的不斷發(fā)展，網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)主機(jī)和網(wǎng)絡(luò)設(shè)備也不斷增加，因此發(fā)生網(wǎng)絡(luò)故障的概率也不斷增加，這時(shí)就需要一款良好的監(jiān)測(cè)和管理措施，當(dāng)網(wǎng)絡(luò)設(shè)備發(fā)生故障時(shí)可以在第一時(shí)間通知給網(wǎng)絡(luò)管理者，做到故障的及時(shí)發(fā)現(xiàn)和排除。Nagios是一款免費(fèi)開源的網(wǎng)絡(luò)監(jiān)測(cè)軟件，其能夠有效監(jiān)測(cè) Windows 和 Linux 主機(jī)的狀態(tài)，可以根據(jù)當(dāng)前的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)將所有的網(wǎng)絡(luò)設(shè)備如交換機(jī)、路由器和打印機(jī)等納入到其監(jiān)測(cè)范圍之內(nèi)。當(dāng)系統(tǒng)或服務(wù)的狀態(tài)發(fā)生異常時(shí)會(huì)及時(shí)通過郵件或短信的形式通知給網(wǎng)絡(luò)管理員，在所有狀態(tài)都恢復(fù)后會(huì)再一次發(fā)出通知，為故障的排除贏時(shí)間，也因此提高了網(wǎng)絡(luò)的管理效率。
5 Cacti 與 Nagios 整合
Nagios 的監(jiān)測(cè)服務(wù)器的運(yùn)行狀態(tài)和報(bào)警功能十分強(qiáng)大，但對(duì)像流量等這種持續(xù)數(shù)據(jù)的呈現(xiàn)能力較弱；而 Cacti 比較側(cè)重于對(duì)直觀數(shù)據(jù)的監(jiān)控并成生圖形，用來監(jiān)測(cè)網(wǎng)絡(luò)流量、CPU 和內(nèi)存利用率等最為合適。比較兩個(gè)軟件，Cacti 側(cè)重于監(jiān)測(cè)持續(xù)的數(shù)據(jù)信息如網(wǎng)絡(luò)設(shè)備的流量負(fù)載并成生圖形，但在故障分析和報(bào)機(jī)制方面有待完善，而 Nagios 側(cè)重于監(jiān)測(cè)網(wǎng)絡(luò)服務(wù)和報(bào)警，而在繪制圖形方面遜色于 Cacti，通過兩者的結(jié)合可以更有效的管理網(wǎng)絡(luò)。Cacti 和 Nagios 的整合是通過NDOUtils 插件來中轉(zhuǎn)數(shù)據(jù)的，NDOUtils 負(fù)責(zé)將Nagios 所采集的數(shù)據(jù)存放在 MySQL 數(shù)據(jù)庫中，而 Cacti 的 NPC 插件負(fù)責(zé)從 MySQL 數(shù)據(jù)庫中讀取此數(shù)據(jù)，并顯示 Nagios 的監(jiān)控信息。
6系統(tǒng)體系結(jié)構(gòu)設(shè)計(jì)
本系統(tǒng)是采用 B/S 模式，系統(tǒng)由要由 Cacti 模塊、Nagios 模塊、整合模塊組成；其中 Cacti 模塊負(fù)責(zé)網(wǎng)絡(luò)設(shè)備如交換機(jī)/路由器的運(yùn)行狀態(tài)和流量監(jiān)測(cè)、網(wǎng)絡(luò)氣象圖、網(wǎng)絡(luò)設(shè)備的溫度檢測(cè)等；Nagios 負(fù)責(zé)對(duì)服務(wù)、協(xié)議的運(yùn)行狀態(tài)進(jìn)行檢測(cè)和異常報(bào)警等；整合模塊是通過安裝 NPC 和 ndoutils 插件將Nagios 的數(shù)據(jù)導(dǎo)入 Cacti 數(shù)據(jù)庫中，并由Cacti 以圖形的方式顯示給用戶。
參考文獻(xiàn)
[1] 馬安龍，趙勁松.基于 MRTG、RRDTOOL 的校園網(wǎng)絡(luò)流量監(jiān)測(cè)系統(tǒng)[J].連云港職業(yè)技術(shù)學(xué)院學(xué)報(bào)，2007.
［關(guān)鍵詞］僵尸網(wǎng)絡(luò) P2P 檢測(cè)
一、緒論
1.課題背景和目的
僵尸網(wǎng)絡(luò)(botnet)是攻擊者出于惡意目的傳播的僵尸程序（bot）來控制大量主機(jī)，并通過一對(duì)多的命令與控制信道所組成的網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)系統(tǒng)應(yīng)用及復(fù)雜性的增加，僵尸網(wǎng)絡(luò)成為網(wǎng)絡(luò)系統(tǒng)安全的重要威脅。Symantec公司2006年監(jiān)測(cè)數(shù)據(jù)表明，中國(guó)大陸被Botnet控制的主機(jī)數(shù)占全世界總數(shù)的比例從上半年的20％增長(zhǎng)到下半年的26％，已超過美國(guó)，成為最大的僵尸網(wǎng)絡(luò)受害國(guó)，但國(guó)內(nèi)對(duì)Botnet的關(guān)注和研究工作還不夠全面。作為一種日趨嚴(yán)重的因特網(wǎng)安全威脅，Botnet己成為計(jì)算機(jī)安全領(lǐng)域研究者所的關(guān)注熱點(diǎn)。Botnet成為計(jì)算機(jī)網(wǎng)絡(luò)對(duì)抗研究的首要課題，預(yù)示著計(jì)算機(jī)網(wǎng)絡(luò)威脅新的發(fā)展趨勢(shì)。
2.國(guó)內(nèi)研究現(xiàn)狀
盡管僵尸網(wǎng)絡(luò)在很早之前就已經(jīng)出現(xiàn)了，但直到近幾年，隨著僵尸網(wǎng)絡(luò)的危害越來越大，對(duì)僵尸網(wǎng)絡(luò)檢測(cè)技術(shù)的研究才被各方面所關(guān)注。國(guó)際上的一些蜜網(wǎng)組織，如法國(guó)蜜網(wǎng)項(xiàng)目組織Richard Clarke等，最早對(duì)僵尸網(wǎng)絡(luò)進(jìn)行了研究，他們利用蜜網(wǎng)分析技術(shù)對(duì)僵尸網(wǎng)絡(luò)的活動(dòng)進(jìn)行了深入的跟蹤和分析。
早期由于IRC僵尸網(wǎng)絡(luò)占據(jù)著主導(dǎo)地位，所以對(duì)僵尸網(wǎng)絡(luò)的大多數(shù)研究都是在基于IRC僵尸網(wǎng)絡(luò)上的。而IRC僵尸網(wǎng)絡(luò)的檢測(cè)基本上無一例外都致力于研究其C&C（Command & Control）信道。2003年P(guān)uri在“Bobs $ Botnet:An Overview”一文中主要針對(duì)當(dāng)時(shí)的IRC僵尸網(wǎng)絡(luò)進(jìn)行了比較全面系統(tǒng)的概述。
近年來隨著計(jì)算機(jī)網(wǎng)絡(luò)的高速發(fā)展，出現(xiàn)了許多新型的僵尸網(wǎng)絡(luò)，如基于IM、HTTP等不同協(xié)議的僵尸網(wǎng)絡(luò)，并出現(xiàn)了采用樹型結(jié)構(gòu)、隨機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)以及具有部分P2P特征的僵尸網(wǎng)絡(luò)。從傳統(tǒng)的基于IRC網(wǎng)絡(luò)的僵尸網(wǎng)絡(luò)，逐步演變成基于P2P網(wǎng)絡(luò)的僵尸網(wǎng)絡(luò)，大大增加了其生存性和隱蔽性，同時(shí)也使得檢測(cè)此類僵尸網(wǎng)絡(luò)變得更加困難。P2P僵尸網(wǎng)絡(luò)是利用P2P技術(shù)來傳播或控制僵尸程序的網(wǎng)絡(luò)。因?yàn)镻2P僵尸網(wǎng)絡(luò)最近幾年才出現(xiàn)，所以對(duì)于P2P僵尸網(wǎng)絡(luò)的研究就相對(duì)來說比較少。Helsinki科技大學(xué)的Antti Nummipuro提出了基于主機(jī)的P2P僵尸網(wǎng)絡(luò)檢測(cè)方法，但是該方法與其他惡意代碼檢測(cè)技術(shù)類似，并沒有新穎或創(chuàng)新之處。阿姆斯特丹大學(xué)的Reinier Schoof和Ralph Koning等人提出P2P僵尸網(wǎng)絡(luò)的檢測(cè)主要方法是對(duì)P2P對(duì)等端上的檢測(cè)。
從2005年開始，國(guó)內(nèi)才逐步對(duì)僵尸網(wǎng)絡(luò)進(jìn)行研究。北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所在2005年1月開始實(shí)施用蜜網(wǎng)跟蹤僵尸網(wǎng)絡(luò)的項(xiàng)目。CNCERT惡意代碼研究項(xiàng)目組在2005年7月開始對(duì)僵尸網(wǎng)絡(luò)進(jìn)行研究。
二、基于P2P僵尸網(wǎng)絡(luò)的原理與分析
1.基于P2P僵尸網(wǎng)絡(luò)的結(jié)構(gòu)
僵尸控制者（Botmaster）、僵尸主機(jī)（Bot）、命令與控制（Command and Control，C&C）網(wǎng)絡(luò)共同組成了僵尸網(wǎng)絡(luò)（Botnet）。僵尸控制者是控制整個(gè)僵尸網(wǎng)絡(luò)的攻擊者；命令與控制網(wǎng)絡(luò)一般有一個(gè)或多個(gè)命令與控制(C&C)服務(wù)器，僵尸控制者通過控制這些服務(wù)器來管理和控制僵尸主機(jī)；僵尸主機(jī)是攻擊者通過C&C服務(wù)器控制的主機(jī)；僵尸主機(jī)從命令與控制網(wǎng)絡(luò)獲得命令，對(duì)網(wǎng)絡(luò)上的主機(jī)進(jìn)行攻擊和欺騙活動(dòng)。基于P2P僵尸網(wǎng)絡(luò)的結(jié)構(gòu)如圖1所示。
2.基于P2P僵尸網(wǎng)絡(luò)的傳播與控制
隨著P2P應(yīng)用的日漸普及，僵尸控制者將僵尸程序偽裝成正常的文件或隱藏于正常的文件中，通過用戶下載安裝這些文件來實(shí)現(xiàn)Bot感染、傳播。P2P技術(shù)主要被用來控制僵尸主機(jī)傳播僵尸程序。
P2P網(wǎng)絡(luò)中所有節(jié)點(diǎn)是對(duì)等的，每一個(gè)節(jié)點(diǎn)既是客戶端又是服務(wù)器，因此，基于P2P的Botnet控制與IRC Botnet有很大的不同。在后者中，攻擊者利用IRC服務(wù)器作為C&C務(wù)器控制僵尸計(jì)算機(jī)，我們可以通過在IRC服務(wù)器上監(jiān)測(cè)Botnet的行為特征檢測(cè)到并進(jìn)一步將其清除；而在前者中，攻擊者只需加入P2P網(wǎng)絡(luò)向其他對(duì)等節(jié)點(diǎn)發(fā)出控制命令即可。因此，基于P2P控制的Botnet通信系統(tǒng)很難被徹底毀壞，即使有一些Bot被查殺掉，也不會(huì)影響到Botnet的生存，故其具有不存在單點(diǎn)失效的特點(diǎn)。
三、僵尸網(wǎng)絡(luò)的檢測(cè)
早期對(duì)Botnet檢測(cè)的研究主要集中在如何檢測(cè)和跟蹤到單個(gè)的僵尸主機(jī)，但是隨著Botnet采用協(xié)議和結(jié)構(gòu)的復(fù)雜性，特別是P2P協(xié)議廣泛應(yīng)用之后，大大增加了Botnet的隱藏性和破壞性，需要綜合研究Botnet的傳播、行為、拓?fù)浣Y(jié)構(gòu)……，對(duì)Botnet的檢測(cè)技術(shù)也在逐步的完善。下面對(duì)基于主機(jī)特征的檢測(cè)和基于網(wǎng)絡(luò)流量的檢測(cè)為例，敘述Botnet的檢測(cè)方法。
1.基于主機(jī)特征的檢測(cè)
基于主機(jī)特征的檢測(cè)主要是指在一個(gè)負(fù)責(zé)監(jiān)控的主機(jī)內(nèi)部部署傳感器用來監(jiān)控和記錄相關(guān)的系統(tǒng)事件，用來對(duì)監(jiān)測(cè)僵尸程序的可疑活動(dòng)行為。當(dāng)存在僵尸網(wǎng)絡(luò)時(shí)攻擊時(shí)，監(jiān)控主機(jī)就會(huì)產(chǎn)生一些典型的異常行為，主要表現(xiàn)為添加注冊(cè)表自啟動(dòng)項(xiàng)、竊取敏感信息、篡改重要文件、遠(yuǎn)程訪問等，這種檢測(cè)方法類似于惡意代碼的檢測(cè)方法。目前基于主機(jī)特征的僵尸網(wǎng)絡(luò)監(jiān)測(cè)技術(shù)主要采用是“蜜罐”技術(shù)和虛擬機(jī)技術(shù)。
2.基于網(wǎng)絡(luò)流量檢測(cè)的
基于流量檢測(cè)方法就是通過分析P2P僵尸網(wǎng)絡(luò)通信行為表現(xiàn)出來的特征及變化規(guī)律并利用這些流特征來判斷網(wǎng)絡(luò)流量中是否存在P2P僵尸網(wǎng)絡(luò)流量，為檢測(cè)P2P僵尸網(wǎng)絡(luò)提供參考依據(jù)。
（1）基于連接成功率的檢查方法
在P2P僵尸網(wǎng)絡(luò)中，每個(gè)Peer從開始就試圖和一些感染的主機(jī)建立連接，但由于P2P網(wǎng)絡(luò)的不穩(wěn)定性、連接的目的IP的不定性，Peer鏈接的成功率并不高。對(duì)于這種網(wǎng)絡(luò)行為，我們可以用TCP連接成功率來描述。據(jù)試驗(yàn)研究表明：絕大部分P2P協(xié)議，都使用TCP傳輸協(xié)議來實(shí)施第一步建立聯(lián)系的行為?；赥CP連接成功率的P2P僵尸網(wǎng)絡(luò)節(jié)點(diǎn)識(shí)別算法的形式化描述如下：
RC = b / a
其中，RC 為TCP連接成功率，a為節(jié)點(diǎn)發(fā)送的SYN數(shù)據(jù)包中不同目的IP地址數(shù)；b為收到的SYN/ACK數(shù)據(jù)包中不同源IP地址數(shù)。
通過試驗(yàn)表明：低于正常P2P節(jié)點(diǎn)的RC值[0.2,0.4]，就是僵尸網(wǎng)絡(luò)。
（2）基于流量變化率檢測(cè)方法
在網(wǎng)絡(luò)流量中，正常P2P網(wǎng)絡(luò)與僵尸P2P網(wǎng)絡(luò)的最大區(qū)別在于：后者有大量數(shù)據(jù)傳輸。如果一個(gè)Peer在相對(duì)較長(zhǎng)的時(shí)間內(nèi)出現(xiàn)大量數(shù)據(jù)傳輸，也就是網(wǎng)絡(luò)流量異常的現(xiàn)象，則可判斷該P(yáng)eer是疑似僵尸網(wǎng)絡(luò)節(jié)點(diǎn)。
參考文獻(xiàn)：
[1]國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心.CNCERT/CC2006年網(wǎng)絡(luò)安全工作報(bào)告[DB/OL].省略.cn/UserFiles/ File/2006CNCERTCCAnnual Report_Chinese.pdf,2007,2,15.
[2]Enterprise firewall[EB/OL]. /.2009,10,02.
[3] A.Nummipuro.Delecting P2P-Controlled Bots on the Host.In Seminar on Network Security,2007,10.
[4]R.Schoof.R.Koning.Detectingpeer-to-peer Botnets.staff.science.uva.nl/delaat/sne-2006-2007
[5]張琛 王亮 熊文柱：P2P僵尸網(wǎng)絡(luò)的檢測(cè)技術(shù).[J]計(jì)算機(jī)應(yīng)用.2010
根據(jù)Android的特性及安全現(xiàn)狀，可從功能性需求和非功能性需求對(duì)安全軟件進(jìn)行分析。就軟件功能需求來看，主要包括查看網(wǎng)絡(luò)流量信息，其需求時(shí)序?yàn)椋河脩酎c(diǎn)擊進(jìn)入檢測(cè)界面獲取系統(tǒng)應(yīng)用信息調(diào)用數(shù)據(jù)庫查詢流量信息并返回處理數(shù)據(jù)并將其展現(xiàn)在界面上反饋給用戶；檢測(cè)和處理惡意軟件，其需求時(shí)序?yàn)椋狐c(diǎn)擊進(jìn)入檢測(cè)界面將檢測(cè)結(jié)果傳送給處理模塊存入數(shù)據(jù)庫并返回給用戶；控制軟件權(quán)限細(xì)粒度，其需求時(shí)序?yàn)椋涸谟脩暨M(jìn)入管理界面前初始化配置用戶進(jìn)入管理界面后獲取配置信息對(duì)數(shù)據(jù)信息進(jìn)行處理并顯示給用戶重新配置權(quán)限并將信息存儲(chǔ)到數(shù)據(jù)庫將更新后的數(shù)據(jù)顯示給用戶界面；短信和來電過濾設(shè)置，其需求時(shí)序?yàn)椋焊鶕?jù)短信或來電數(shù)據(jù)初始化數(shù)據(jù)庫過濾短信和來電號(hào)碼將攔截下來的信息存入日志數(shù)據(jù)庫并將過濾結(jié)果反饋給用戶。就軟件非功能需求來看，主要包括性能需求、數(shù)據(jù)庫需求和外部接口需求等內(nèi)容，在此不作過多列述。
2安全軟件設(shè)計(jì)及實(shí)現(xiàn)
2.1惡意軟件檢測(cè)模塊設(shè)計(jì)及功能實(shí)現(xiàn)
惡意軟件檢測(cè)和處理功能需要網(wǎng)絡(luò)流量信息監(jiān)測(cè)、異常識(shí)別、響應(yīng)處理以及關(guān)鍵信息存儲(chǔ)等模塊的相互配合來實(shí)現(xiàn)。其一，網(wǎng)絡(luò)流量信息監(jiān)測(cè)模塊的設(shè)計(jì)，為提高流量信息捕獲效率，將該模塊放置于Linux內(nèi)核中，采用LKM開發(fā)模式，開發(fā)流程如下：模塊初始化（鉤子函數(shù)注冊(cè)和初始化）關(guān)閉模塊（鉤子函數(shù)注銷及模塊卸載）編譯內(nèi)核模塊；其二，異常識(shí)別模塊的設(shè)計(jì)，根據(jù)Android移動(dòng)終端的特點(diǎn)以及惡意軟件對(duì)該系統(tǒng)流量信息的影響情況，采用SVM分類算法，通過構(gòu)造特征向量，提取進(jìn)程ID、數(shù)據(jù)包發(fā)送/接收時(shí)間、上/下行流量、源/目的IP地址等特征來反映系統(tǒng)網(wǎng)絡(luò)流量的特征，再通過Netlink方式從監(jiān)測(cè)模塊中獲取待識(shí)別數(shù)據(jù)，改進(jìn)交叉編譯后移植給Android平臺(tái)；其三是響應(yīng)處理模塊設(shè)計(jì)，根據(jù)安全策略對(duì)被檢測(cè)軟件進(jìn)行相應(yīng)處理，主要包括對(duì)訪問通信錄、惡意軟件聯(lián)網(wǎng)、發(fā)送和讀取短信等權(quán)限進(jìn)行控制，將可疑信息上傳云儲(chǔ)存服務(wù)器供監(jiān)測(cè)系統(tǒng)分析使用。
2.2深度短信和來電攔截模塊設(shè)計(jì)及功能實(shí)現(xiàn)
深度短信和來電攔截功能需要短信和來電過濾與關(guān)鍵信息存儲(chǔ)模塊的相互配合來實(shí)現(xiàn)。其一，短信和來電過濾模塊的設(shè)計(jì)，該模塊在Android的Framework層進(jìn)行開發(fā)，通過修改系統(tǒng)源碼來添加短信和來電攔截功能，短信和來電過濾模塊的函數(shù)調(diào)用流程如下：初始化時(shí)序通知函數(shù)調(diào)用時(shí)序監(jiān)聽注冊(cè)函數(shù)時(shí)序過濾處理函數(shù)調(diào)用時(shí)序；其二，關(guān)鍵信息存儲(chǔ)模塊的設(shè)計(jì)，按照設(shè)計(jì)的數(shù)據(jù)庫表來創(chuàng)建數(shù)據(jù)庫，主要包括模型數(shù)據(jù)表、訓(xùn)練數(shù)據(jù)表、關(guān)鍵信息表、權(quán)限管理表、操作日志表、過濾表、信任名單表、模塊設(shè)置表和安全策略表，對(duì)外提供數(shù)據(jù)庫表的操作接口，接口定義在DBsql。
3結(jié)論
