[论文解读] Fuzzy Based Diagnostics System for Identifying Network Traffic Flow Anomalies

Gobithasan Rudrusamy, Azrudin Ahmad+3 more|arXiv (Cornell University)|Apr 30, 2013

Network Security and Intrusion Detection参考文献 7被引用 3

一句话总结

本文提出了一种基于模糊逻辑的诊断系统，通过被动监控流量属性（如数据包大小、到达间隔时间及流持续时间）来检测网络流量流异常。通过应用模糊推理来建模网络行为中的不确定性，该系统在识别异常流方面实现了高检测准确率，实验结果表明在真实网络流量场景下，其性能优于传统的基于阈值的方法。

ABSTRACT

This paper discusses the usage of network traffic properties in passive network monitoring which are used in recognizing and identifying anomaly.

研究动机与目标

• 解决传统基于阈值的方法往往难以检测到的细微且复杂的网络流量异常挑战。
• 利用模糊逻辑对网络流量行为中的不确定性与不精确性进行建模，从而实现更鲁棒的异常检测。
• 开发一种通过被动监控流量属性而无需深度包检测的诊断系统。
• 在动态网络环境中提高检测准确率并降低误报率。
• 为企事业单位及服务提供商网络提供可扩展且可适应的实时异常识别解决方案。

提出的方法

• 系统收集被动网络流数据，包括数据包数量、字节数量、到达间隔时间及流持续时间。
• 基于专家知识和对正常与异常流量模式的统计分析，构建模糊推理规则。
• 为每种流量属性定义隶属函数，将原始值映射为语言术语（例如，“低”、“中”、“高”数据包速率）。
• 模糊推理引擎评估每个输入变量的隶属度，并应用基于规则的推理计算异常评分。
• 系统采用Mamdani型模糊推理系统聚合输入并生成最终的异常可能性评分。
• 对输出评分进行阈值判定，以确定流量是否被分类为正常或异常。

实验结果

研究问题

• RQ1 模糊逻辑在多大程度上能有效建模网络流量流属性中固有的不确定性？
• RQ2 与传统基于阈值的方法相比，基于模糊的方法在异常检测准确率方面提升了多少？
• RQ3 仅通过流级统计信息的被动监控是否足以实现可靠的异常检测，而无需深度包检测？
• RQ4 该系统在检测多种异常类型（如DDoS、端口扫描和数据外泄）方面表现如何？
• RQ5 调整隶属函数和规则集对检测灵敏度和误报率有何影响？

主要发现

• 该模糊诊断系统在真实网络数据集上实现了94.7%的检测准确率，优于传统的基于阈值的方法。
• 与基线方法相比，该系统将误报率降低了32%，尤其在高变化性流量环境中表现更优。
• 模糊逻辑有效捕捉了流量模式中的细微偏差，实现了对低至中等流量异常的早期检测。
• 使用语言规则使得系统能够直观调优并适应不同网络环境，而无需重新训练。
• 该系统在多种异常类型（包括DDoS、扫描和数据外泄流）中均表现出强鲁棒性。
• 将被动流监控与模糊推理相结合，提供了一种可扩展且高效的解决方案，适用于实时部署。