[论文解读] Analysis of Internet Measurement Systems for Optimized Anomaly Detection System Design

Sean McPherson, Antonio Ortega|ArXiv.org|Jul 29, 2009

Network Traffic and Congestion Control参考文献 17被引用 3

一句话总结

本文提出一种针对受中断合并影响的软件化互联网测量系统定制的信号表示与检测方法PDMM，显著优于通用检测方法（如PAD），尤其在测量时间被扭曲时。通过建模混合中断合并机制，并利用到达时间间隔与分组计数的信号特性，PDMM在现实软件测量约束下提升了周期性异常检测性能，证明了系统感知设计可提升检测精度，且无需昂贵硬件支持。

ABSTRACT

Although there exist very accurate hardware systems for measuring traffic on the internet, their widespread use for analysis tasks is limited by their high cost. On the other hand, less expensive, software-based systems exist that are widely available and can be used to perform a number of simple analysis tasks. The caveat with using such software systems is that application of standard analysis methods cannot proceed blindly because inherent distortions exist in the measurements obtained from software systems. The goal of this paper is to analyze common Internet measurement systems to discover the effect of these distortions on common analysis tasks. Then by selecting one specific task, periodic signal detection, a more in-depth analysis is conducted which derives a signal representation to capture the salient features of the measurement and develops a periodic detection mechanism designed for the measurement system which outperforms an existing detection method not optimized for the measurement system. Finally, through experiments the importance of understanding the relationship between the input traffic, measurement system configuration and detection method performance is emphasized.

研究动机与目标

• 分析基于软件的互联网测量系统（尤其是使用中断合并的系统）如何扭曲信号时间并影响下游分析。
• 识别标准数字信号处理方法在应用于此类系统产生的非均匀采样测量时的局限性。
• 设计一种专门针对软件测量系统中混合中断合并所产生的信号表示而优化的检测方法。
• 通过实验表明，在现实测量条件下，系统感知检测策略相比通用方法显著提升性能。

提出的方法

• 建模软件测量系统中的混合中断合并机制，其中中断由分组到达或绝对时间间隔触发。
• 推导一种信号表示，捕捉测量输出的关键特征，重点强调时间间隔与每段时间内的分组计数。
• 设计PDMM（基于测量模型的周期性检测），一种利用非均匀采样信号统计特性以检测周期性流量的检测算法。
• 通过合成泊松流量和真实世界配置，制定检测性能评估方法，与通用的PAD（基于检测的周期性分析）方法进行对比。
• 通过实验验证，在不同输入流量速率和测量系统参数下，比较PDMM与PAD的性能。
• 分析时间间隔信息与每段时间内分组数之间的信息分配权衡，并根据流量负载确定最优检测策略。

实验结果

研究问题

• RQ1 在基于软件的测量系统中，中断合并如何扭曲网络流量测量的时间并影响信号表示？
• RQ2 当将标准周期性信号检测方法（如PAD）应用于此类系统产生的非均匀采样信号时，其性能会下降到何种程度？
• RQ3 能否设计一种检测方法，明确考虑测量系统的行为以提升检测精度？
• RQ4 在何种输入流量和系统配置条件下，PDMM优于PAD，而PAD在何时可能更优？
• RQ5 时间间隔与每段时间内分组数之间的信息分布如何影响检测性能？

主要发现

• 当测量受中断合并扭曲时，PDMM在检测周期性信号方面显著优于通用的PAD方法，尤其在中等至高负载流量下表现更优。
• 当输入流量速率高到足以使大多数中断由绝对时间间隔（T_abs）触发时，测量信号变得更为均匀采样，时间间隔波动减小，每段时间内的分组计数更具信息量。
• 在此高流量条件下，PAD的性能优于PDMM，表明最优检测方法取决于流量速率与测量系统配置。
• 实验结果证实，检测方法的选择必须基于对输入流量特性与测量系统时间行为的充分了解。
• 从混合中断合并模型导出的信号表示有效捕捉了检测所需的关键特征，使PDMM能够利用通用方法忽略的时间波动。
• 图10表明，随着输入流量速率增加，相关信息从时间间隔（有利于PDMM）转向每段时间内的分组计数（有利于PAD），验证了检测策略之间的动态权衡。