[论文解读] Analysis of Inter-Domain Traffic Correlations: Random Matrix Theory Approach

Viktoria Rojkova, Mehmed Kantardzic|ArXiv.org|Jun 18, 2007

Complex Network Analysis Techniques参考文献 27被引用 3

一句话总结

本文提出一种随机矩阵理论（RMT）方法，用于分析大学骨干网中的域间流量相关性，通过SNMP基流量时间序列的互相关矩阵，区分随机互动与系统特定互动。该方法识别出稳定、非随机的特征值与特征向量，揭示大规模网络范围内的流量模式，同时通过偏离RMT预测的异常检测，实现实时监控网络健康状况与流量动态，且无需事先了解网络结构。

ABSTRACT

The traffic behavior of University of Louisville network with the interconnected backbone routers and the number of Virtual Local Area Network (VLAN) subnets is investigated using the Random Matrix Theory (RMT) approach. We employ the system of equal interval time series of traffic counts at all router to router and router to subnet connections as a representation of the inter-VLAN traffic. The cross-correlation matrix C of the traffic rate changes between different traffic time series is calculated and tested against null-hypothesis of random interactions. The majority of the eigenvalues λ_{i} of matrix C fall within the bounds predicted by the RMT for the eigenvalues of random correlation matrices. The distribution of eigenvalues and eigenvectors outside of the RMT bounds displays prominent and systematic deviations from the RMT predictions. Moreover, these deviations are stable in time. The method we use provides a unique possibility to accomplish three concurrent tasks of traffic analysis. The method verifies the uncongested state of the network, by establishing the profile of random interactions. It recognizes the system-specific large-scale interactions, by establishing the profile of stable in time non-random interactions. Finally, by looking into the eigenstatistics we are able to detect and allocate anomalies of network traffic interactions.

研究动机与目标

• 开发一种无需约束的网络范围流量互动分析方法，仅依赖时间序列数据。
• 通过识别时间稳定、类似随机的互动作为基线，验证网络未拥塞状态。
• 通过偏离RMT预测，检测并定位大规模、系统特定的流量相关性。
• 通过监测特征值与特征向量统计量的变化，实现实时异常早期检测。
• 通过可控注入随机流量并分析相应谱移，验证该方法的鲁棒性。

提出的方法

• 从所有路由器间及路由器至VLAN连接的等间隔流量计数时间序列构建互相关矩阵 $ C $。
• 应用随机矩阵理论（RMT），检验 $ C $ 的特征值是否在零假设下预期的随机相关矩阵范围内。
• 将偏离RMT主干的特征值与特征向量识别为非随机、系统特定互动的指标。
• 使用逆参与比率（IPR）与特征向量重叠矩阵，评估偏离模式的局域化与稳定性。
• 向关键时间序列注入随机流量，模拟异常并观察特征值分布与特征向量结构的变化。
• 分析随机与非随机成分的时间稳定性，以检测网络互动模式的转变。

实验结果

研究问题

• RQ1 随机矩阵理论能否有效区分域间流量中的随机互动与系统特定的大规模相关性？
• RQ2 流量互相关矩阵的特征值与特征向量是否表现出稳定、非随机地偏离RMT预测？
• RQ3 特征值谱与特征向量统计量的变化能否实现实时检测与定位网络异常？
• RQ4 可控注入随机流量如何影响相关矩阵的谱特性与特征向量属性？
• RQ5 基于RMT的方法能否作为通用、结构无关的网络范围流量行为监控方法？

主要发现

• 流量互相关矩阵 $ C $ 的大多数特征值落在RMT预测范围内，证实大多数互动为随机，与网络未拥塞状态一致。
• 少数特征值显著超出RMT上界，表明网络中存在稳定、非随机、系统特定的大规模相关性。
• 偏离的特征向量在空间上局域化且随时间稳定，揭示了可识别的流量组，如VLAN-路由器交换机集群与防火墙连接的子网。
• 在持续三小时的随机流量注入后，最大特征值从10增至12，IPR尾部扩展，表明局域化程度提高并破坏了稳定特征向量模式。
• 偏离特征向量的重叠矩阵显示出显著的稳定性断裂，证实异常注入导致网络互动结构发生可检测的变化。
• 该方法成功检测到随机与非随机互动特征随时间的变化，实现实时异常在时间和空间上的定位。