面向状态的互联网应用心跳流检测算法

本研究围绕互联网应用心跳流展开。从设计者角度将心跳机制分为无状态心跳机制和有状态心跳机制。根据不同心跳机制形成心跳流的特点，提出心跳流检测的统计算法和偏离指标算法。为验证算法的有效性，将算法实现并部署在40G 带宽的中国教育和科研计算机网（CERNET）南京主节点网络边界，并连续7 d进行面向实际流量的测试，实验结果证实了算法的可用性。     

面向事件属性的扫描意图分析

网络扫描是互联网上普遍存在的现象，是由各种不同意图的扫描行为造成的，通过检测和分析互联网上的扫描行为，有助于观测网络安全态势。为了更加系统地描述扫描过程，本文定义了扫描事件的概念，并提出了6个扫描属性：扫描事件容量、全网扫描、扫描事件协议数、扫描事件端口数、扫描事件归属、扫描事件压缩比来刻画扫描事件。出于对扫描行为中扫描意图的进一步关注，本文提出了一种基于扫描属性过滤和聚类的异常扫描事件检测方法，该方法基于扫描事件归属属性过滤分离出正常机构扫描事件，对于剩余的扫描事件根据扫描属性特征设计聚类算法得到潜在的异常扫描事件。本文的实验以在 CERNET 南京主节点网络边界获取的 IBR 流量为数据源，运行算法识别扫描流量，并从扫描意图的角度对其展开分析。实验表明，超过95%的扫描流量可以被归纳为扫描事件流量，其中非恶意的机构扫描事件超过50%。在此基础上，每日可从非机构扫描事件中检测出约60条潜在异常扫描事件，经验证，异常扫描事件的检测准确率超过60%。