基于FRFT的网络流量异常数据快速捕获方法_钟妮.pdf

基金项目:2020 年高校优秀青年人才支持计划项目(gxyq2020267)收稿日期:2021-05-08 修回日期:2021-06-18 第 40 卷 第 4 期计 算 机 仿 真2023 年 4 月 文章编号:1006-9348(2023)04-0413-04基于 FRFT 的网络流量异常数据快速捕获方法钟 妮1,王 剑2(1.四川工业科技学院,四川 绵竹 618200;2.武汉理工大学,湖北 武汉 430070)摘要:为了降低异常数据捕获耗时,准确捕获各类攻击形式,保证网络正常运行,以傅里叶变换为构建基础,提出分数阶傅里叶变换下的网络流量异常数据快速捕获手段。结合经典傅里叶变换与角度参数,得到分数阶傅里叶变换及其相关参数,根据网络流量自相似性与异常数据间的相关性,获取变换域序列,利用能量谱参数估计法联立序列能量谱与赫斯特参数间关系。将赫斯特参数作为自相似阶段,依据离散时间序列与正常自相似范围,明确赫斯特参数的自适应阈值范围,基于此实现网络流量异常数据捕获。仿真阶段,选取企业网 VLAN1、VLAN2,采用开源网络攻击模拟工具,测试所提方法在不同攻击形式下的异常数据捕获效果,结果表明所提方法具有良好的捕获精准度,且能够满足实际应用的实时性需求。关键词:分数阶傅里叶变换;傅里叶变换;网络流量;快速捕获;异常数据;赫斯特参数中图分类号:TP399 文献标识码:BFast Capture Method of Network Traffic AbnormalData Based on FRFTZHONG Ni1,WANG Jian2(1.Sichuan Institute of Industrial Technology,Mianzhu Sichuan 618200,China;2.Wuhan University of Technology,Wuhan Hubei 430070,China)ABSTRACT:In order to reduce the time consumption of abnormal data capture,accurately capture various attackforms,and ensure the normal operation of the network,based on the Fourier transform,a rapid capture method ofnetwork traffic abnormal data under the fractional Fourier transform is proposed.Combine classical Fourier transformand angle parameters to obtain fractional Fourier transform and its related parameters.According to the correlation be-tween network traffic self-similarity and abnormal data,the transform domain sequence is obtained,and the energyspectrum parameter estimation method is used to combine the relationship between the sequence energy spectrum andthe Hurst parameter.Taking the Hurst parameter as the self-similar stage,based on the discrete time series and thenormal self-similar range,the adaptive threshold range of the Hurst parameter is clarified,and the network traffic ab-normal data capture is realized based on this.In the simulation phase,the enterprise network VLAN 1 and VLAN 2are selected,and the open source network attack simulation tool is used to test the abnormal data capture effect of theproposed method under different attack forms.The results show that the proposed method has good capture accuracy,and can meet the real-time requirements of practical application.KEYWORDS:Fractional Fourier transform;Fourier transform;Network traffic;Fast capture;Abnormal data;Hurst parameter1 引言信息技术的迅猛进步,使高新技术与日常活动相互渗透、相互融合。互联网作为生活、工作中的重要基础设施,在给人们生活带来便利的同时承受着网络攻击1。网络流量异常是一种网络流量模式,该模式对正常使用网络产生了巨大的影响,因此,诞生了网络流量异常检测技术2,通过该项技术及时发现网络流量异常的位置与出现时刻。网络中生成的流量数据含有数据包截获数据、网络流与简单网络管理314协议的统计数据,而针对异常检测的不同环境,需采用不同的数据源处理技术。随着网络安全问题关注度的不断提高,网络流量异常检测技术得以广泛研究。黎佳玥等人3利用深度学习算法的长短期记忆网络与卷积神经网络,构建出一种网络流量异常预测模型,通过训练取得数据时空特征,预测出下一时段的特征变化,识别出安全事件类型;连鸿飞等人4利用合成少数类过采样技术与增强型分类算法,过采样处理少数类样本,经归一化数据特征,采用卷积神经网络学习空间特征与时序特征,根据计算得到的特征权重,取得异常流量检测结果;孙旭日等人5划分实际网络流量为数据包与会话流,提取数据特征,经离散小波变换获取高维特征,根据格拉布斯准则平滑处理数据,采用训练过的长短期记忆网络自编码模型,重建训练数据,明确检测阈值,实现异常检测。因传统检测方法均存在高运算复杂度的问题,无法满足实时性需求,因此,本文设计一种基于分数阶傅里叶变换的网络流量异常数据快速捕获方法。自相似参数估计策略有助于提升异常数据的捕获准确度;因本文方法省去数据包的特征匹配过程,故加快了捕获异常数据的速度;结合自适应阈值置信范围,缩减捕获失误概率。因此,本文方法会在一定程度上对网络资源作出合理调整,确保网络服务水平与速度,推动网络发展,提升网络安全程度。2 基于分数阶傅里叶变换的自相似参数估计根据网络流量自相似性与异常数据之间的相关性,提出一种分数阶傅里叶变换下的自相似参数估计,以提升参数估计与数据捕获精度。2.1 分数阶傅里叶变换将角度参数 与经典傅里叶变换6相结合,得到分数阶傅里叶变换,采用下列表达式界定分数阶傅里叶变换Kp(u)=+-Mp(t,u)k(t)dt(1)式中,分数阶傅里叶变换的阶数与核函数分别为 p、Mp(t,u),阶数 p 满足下列条件方程组p=4n,Mp(t,u)=(u-t)p=4n+2,Mp(t,u)=(u+t)(2)核函数的计算公式为Mp(t,u)=Aexpj(u2cot -2tucsc +t2cot)(3)式中,分数阶傅里叶变换幅值是 A,下式为其数学式A=1-jcot(4)其中,角度参数 满足p/2,p2n,n 是任意整数。故推导出不同角度参数取值下的分数阶傅里叶变换核函数条件方程组Mp(t,u)=1-jcot 2exp ju2+t22cot -jutsin()(u-t),=2n(u+t),=(2n+1)|(5)利用下列表达式描述分数阶傅里叶变换的逆函数 k(t)k(t)=+-Kp(u)M-p(t,u)du(6)若分数阶傅里叶变换阶 p=1,则=2,利用式(1)得到下列解值k1(u)=+-e-j2utk(t)dt(7)由此可知,通过物理角度的轴转动模式,即可描述分数阶傅里叶变换。角度=0 对应初始信号,呈现时域特征,k0(u)=k(t);若=2,则 k1(u)=K(r),呈现信号频域特征;如果 分别取值为、32、2,则有 k2(u)=k(-t)、k3(u)=K(-r)、k4(u)=k(t)。假设 v=e-jv2表示傅里叶变换的特征值,用高斯函数 v(t)=Hv(t)e-t22指代其特征函数,则特征函数表达式如下所示Fv(t)=vv(t)=e-jv2v(t),v=0,1,2,(8)若将 v(t)替换成厄米高斯函数7作为上式的特征函数,则需使下列等式成立Fpv(t)=pvv(u)=e-jv2()pv(u)(9)基于傅里叶变换特征值与特征函数,推导分数阶傅里叶变换特征值与特征函数。下式所示为展开后的逆函数 k(t)k(t)=+-Kvv(t)(10)经分数阶傅里叶变换处理上列等式的等号两侧,得到下列表达式,即分数阶傅里叶变换特征值Fpk(t)=+v=0e-jpv2Kvv(u)=+v=0e-jpv2v(u)v(t)k(t)dt(11)结合核函数表达式(3),取得下式所示的分数阶傅里叶变换特征函数Mp(t,u)=+v=0e-jpv2v(u)v(t)(12)2.2 分数阶傅里叶变换下参数估计分数阶傅里叶变换网络流量数据,获取分数阶傅里叶变换域序列 Fa(t),根据序列能量谱 Eg2(j)的对数尺度 G(j)与小波关系,利用下列能量谱参数估计算法,联立 G(j)与赫斯特参数之间的相关性。假设 X(t)是一个与正交小波相互作用的自相似时间序列,当其位于 2-j0时,第 j 个子带存在 nj个小波系数,故该414序列能量谱如下所示SX(2-j0)=1njk|dj,k|2(13)同时,X(t)也属于一种自相似阶段,满足 SX(2-j0)(2-j0)-,因此,下列等式成立log2(SX(2-j0)=log21njk|dj,k|2()=log2(c(2-j0)-)=(2H+1)j+c(14)式中,c、c均是任意常数项。经最小均方差拟合8后,即可获取到 log2(SX(2-j0)与 j 之间的连线,2H+1 表示该直线斜率。综上所述,联立出 G(j)与赫斯特指数之间的相关性,关系表达式如下所示G(j)(2H-1)j+c(15)由此制定出以下基于分数阶傅里叶变换的赫斯特参数估计流程:1)采用式(1)所示的 p 阶分数阶傅里叶变换,计算初始的网络流量数据 Xn;2)求解经过分数阶傅里叶变换的序列能量谱 Eg2(j);3)以能量谱 Eg2(j)与对数尺度 G(j)之间的关系为依据,解得对数尺度 G(j);4)通过设计的能量谱参数估计算法,获取尺度j1,j2范围内的赫斯特参数估值。3 基于 FRFT 的网络流量异常数据快速捕获已知 X=Xk,k1,2,、Y=Yk,k1,2,是两个离散时间序列,X、N 分别表示正常网络流量和异常网络流量,两者之间的交集是空集,Y 是整体网络流量,数学形式为 Y=X+N,若 H 指代自相似阶段,则有异常数据存在时,HY-HX将发生显著变化,也就是说,假设 Hn与 Hp分别为当前与前一时刻的自相似参数,则赫斯特参数变化度可用两参数间的差值 H=Hn-Hp表示,若|H|?H,则认为存在异常数据。若时段1,n的赫斯特指数是 H=Hk,k1,2,p,n,1,p时段中网络流量不存在异常数据,H=Hk,k1,2,p呈正态分布9情况,则采用下列表达式界定H概率密度f(H)=12HeH-?H()222H(16)式中,H的均值与方差各是?H、H,分别如下所示?H=EH=1ppk=1Hk(17)H=1ppk=1H2k-?H2(18)假 定z2表 示 置 信 程 度,则 置 信 范 围 是?H-Hz2,?H+Hz2(),结合不存在异常情况的网络流量自相似范围,推导出下列赫斯特参数的自适应阈值范围U1,U2结果U1,U2=max?H-Hz2,0.5(),min?H+Hz2,1()(19)当下一刻的网络流量赫斯特预估结果 Hp+1满足 Hp+1U1,U2时,认为该参数对应的数据为正常数据;反之,则判定为异常数据,实施捕获。基于分数阶傅里叶变换的网络流量异常数据快速捕获流程具体如下所述:1)针对初始数据 Xn,依据赫斯特参数的估算均值与极值,结合式(19),设定初始阈值范围Uini_min,Uini_max,与阈值计数 Ce;2)将获得的网络流量特征储存至特征库内;3)解析特征库的流量特征,求解赫斯特参数 Hc;4)根据阈值范围判定赫斯特参数 Hc对应数据,当在阈值范围内时,网络流量属于正常数据,存储至更新判定单元,增加计数;反之,则属于异常数据,执行捕获命令。4 网络流量异常数据快速捕获仿真4.1 实验准备阶段基于某企业网络环境,从企业网 VLAN1、VLAN2 中分别选 取103.106.72.246到103.106.72.305地址、103.106.72.1 到 103.106.72.10 地址作为实验对象,其中,VLAN1 包含面向公众网的代理服务器、DNS 服务器、FTP 服务器等,网络流量规模较大;VLAN2 由 10 台主机构成,包含1 台面向外网的交换机与 9 台正常工作站,负责提供 FTP、HTTP 等网络服务,网络流量规模较小。企业网网络流量运行较为平稳,主机类别间存在较大网络流量差异,符合捕获方法检验需求。为验证方法的捕获性能,采用开源的网络攻击模拟工具Infection Monkey,仿真两企业网在表 1 所示的各类形式攻击下,本文方法对异常数据的捕获效果。表 1 网络攻击种类序号攻击名称具体攻击形式1Land 攻击数据包源地址等同目标地址,若数据包发送至目标系统后,系统无法进行准确判定与后续处理,只能对该数据包不断传输、接收,导致资源浪费、系统崩溃2传输层协议使用带外数据攻击由 windows Net 基本输入输出系统协议的其中一个处理程序引发514序号攻击名称具体攻击形式34同步序列编号 floodDdos 攻击三次握手协议遭到破坏,持续提出同步序列编号连接申请,对采集到的同步序列编号与 Ack 应答报文不予响应,通过切断第三次握手,造成对方堆栈溢出,直至崩溃;其中,Ddos 攻击的主要源头为主机部分5弱口令扫描由账号、密码以及目标主机端口实现共享资源连接的迭代架构6操作系统扫描经传输控制协议采集数据样本,取得符合给定系统的初始序列长度7传输控制协议 connect 扫描属于系统调用之一,功能是开启连接8Ack 扫描将 Ack 包传输至指定端口9半开扫描传输控制协议同步包,等待应答10漏洞扫描扫描端口取得目标主机端及其网络服务,匹配漏洞库信息,完成漏洞判定 设定捕获数据参数,解析捕获的数据包为包含攻击时间、攻击发起 IP、攻击目标 IP 等信息的会话记录,对捕获的攻击数据做种类标记,用 0 表示正常数据,表 1 的攻击序号表示对应形式攻击。4.2 在不同攻击种类下网络流量异常数据捕获性能在开展仿真前,对两个企业网分别进行了大量的训练试验,以取得高可靠度的实验结果。通过训练试验发现,网络攻击形式中除 Land 攻击、Ddos 攻击、弱口令扫描以及传输控制协议 connect 扫描等四种攻击种类之外,其余六种均是发生过的攻击类型,故认为四种攻击类型是未知攻击种类,其余的是已知攻击种类。针对已知攻击种类、未知攻击种类以及异常数据捕获耗时等方面展开分析,仿真结果如图 1 所示。其中,图 1(a)所示为企业网 VLAN1 主机利用六种已知攻击类型攻击 VLAN2网络主机的异常数据捕获结果;图 1(b)所示为 VLAN1 主机发起未知攻击过程中的异常数据捕获结果;图 1(c)所示为已知攻击与未知攻击发起阶段的异常数据捕获耗时。从网络流量异常数据捕获示意图 1 可以看出,本文方法在经典傅里叶变换中引入角度参数,得到分数阶傅里叶变换方法,经推导出其相关核函数、逆函数以及特征值、特征函数等参数,通过分数阶傅里叶变换网络流量数据,获取了变换域序列,根据网络流量自相似性与异常数据之间的相关性,采用设计的自相似参数估计策略,为参数估计与数据捕获提供了良好的参考依据,利用两个离散时间序列与赫斯特参数图 1 网络流量异常数据捕获示意图变度,精准地确定了赫斯特阈值的置信范围,因此,能够准确捕获到各类攻击形式,且捕获时长也较为理想,极大程度实现了本文方法的研究目标。虽然在一定程度上受到先验知识影响,但该方法仍然可以满足实际应用的精准度与实时性需求。5 结论互联网时代的来临极大程度壮大了网络规模,使网络中有了更多的参与个体,随着国民经济的增长,逐渐演变为当前社会生产与生活中的主要角色,(下转第 443 页)614Chan-Taylor AlgorithmJ.Sensors,2020,20(11):3223.7 杨俊峰,张丕状.基于 Chan 算法和 Taylor 级数混合算法的到达时差定位J.核电子学与探测技术,2013,33(4):480-482,526.8 王瑞荣,郑书万,陈浩龙,薛楚.一种基于 Taylor 和 Kalman 的室内协同定位方法J.传感技术学报,2014,27(11):1557-1561.9 闫保芳,毛庆洲.一种基于卡尔曼滤波的超宽带室内定位算法J.传感器与微系统,2017,36(10):137-140,143.10Chan Y T,Hang H,Ching P C.Exact and ApproximateMaximum Likelihood Localization AlgorithmsJ.IEEE Transac-tions on Vehicular Technology Vt,2006,55(1):10-16.11 Guo Ming-tao,Li Wen-yuan,Gong Fu-chun,et al.ModifiedTaylor Series Position Algorithm in the Indoor EnvironmentJ.Wireless Communication Technology,2009,1:2656-2660.12 Gao Xiang-jian.UWB Indoor Localization System D.TheGeorge Washington University,2018.13 Nozarian S,Dehghan Y,Janhan M V.Solving TSP on the Basisof Grid and Genetic AlgorithmJ.International Proceedings ofComputer Science&Information Tech,2012,34:61-66.14 魏璇.基于 UWB 的 LOS/NLOS 测距定位方法研究D.杭州电子科技大学,2020.作者简介徐淑萍(1974-),女(汉族),山西省运城市人,西安工业大学教授,硕士生导师。主要研究方向为智能检测控制、信息处理。郭 宇(1996-),男(汉族),陕西省榆林市人,西安工业大学2019 级硕士。主要研究方向为嵌入式、信息处理。王 双(1995-),女(汉族),陕西省西安市人,西安工业大学 2019级硕士。主要研究方向为嵌入式、计算机视觉、人工智能。张玉西(1993-),男(汉族),河南省 周口市人,硕士研究生,研究方向为无线定位技术。(上接第 416 页)尽管网络技术为人们的日常活动带来了前所未有的诸多便利,但与此同时,也隐藏着潜在的信息安全问题。为迅速发现网络异常所在,本文基于傅里叶变换算法,提出一种分数阶傅里叶变换下的网络流量异常数据快速捕获策略。需将本文方法应用于不同类型的网络中来探索方法的实时性,并深入学习流量采样技术相关知识,进一步提升异常数据的捕获速率;在未来的研究工作中,应就此方法建立一种捕获系统,通过硬件流量处理平台,获取更理想的实时性;网络异常数据的成因除网络攻击外,还有异常操作、网络滥用、蠕虫病毒以及错误配置等因素,需分解、协议解析具体的流量数据包,区分异常数据具体诱因,扩展方法实用性;实际应用中通常是多样本数据、少异常数据,极易造成部分异常数据被忽略,故将捕获少量异常数据作为接下来的研究重点。参考文献:1 孙勇.网络安全问题的表象及其实质:边疆学视域的互联网安全问题思考J.湖南师范大学社会科学学报,2020,49(1):32-39.2 孟永伟,秦涛,赵亮,等.利用残差分析的网络异常流量检测方法J.西安交通大学学报,2020,54(1):42-48,84.3 黎佳玥,赵波,李想,等.基于深度学习的网络流量异常预测方法J.计算机工程与应用,2020,56(6):39-50.4 连鸿飞,张浩,郭文忠.一种数据增强与混合神经网络的异常流量检测J.小型微型计算机系统,2020,41(4):786-793.5 孙旭日,刘明峰,程辉,等.结合二次特征提取和 LSTM-Autoen-coder 的网络流量异常检测方法J.北京交通大学学报,2020,44(2):17-26.6 陈良臣,高曙,刘宝旭,等.网络流量异常检测中的维数约简研究J.计算机工程,2020,46(2):11-20.7 陈铁明,金成强,吕明琪,等.基于样本增强的网络恶意流量智能检测方法J.通信学报,2020,41(6):128-138.8 陈胜,朱国胜,祁小云,等.基于深度神经网络的自定义用户异常行为检测J.计算机科学,2019,46(S2):442-445,472.9董书琴,张斌.基于深度特征学习的网络流量异常检测方法J.电子与信息学报,2020,42(3):695-703.作者简介钟 妮(1985-),女(汉族),四川绵竹人,讲师,研究方向:网络工程。王 剑(1982-),男(汉族),湖北武汉人,硕士,讲师,研究方向:网络安全与教育信息化等。344