基于異常檢測的網絡安全技術分析

龐 凌

（南部戰區海軍，湛江 524000）

1 基于異常檢測下的網絡安全技術研究

1.1 異常檢測

網絡中的異常范圍很廣，包括越權訪問、流量異常、設備失效等，其中流量異常時最常見的異常情況，一般在網絡異常發生時，排出設備硬件故障之后，其他的諸多異常都應該考慮網絡安全技術的可能。除了流量異常之外，相關人員還需要關注主機與設備的突然異常情況，通過及時查閱節點連接圖的參數數據，可以獲得異常檢測的相關信息，方便技術人員識別故障信息。

1.2 主要技術手段

一般在異常檢測中，網絡安全技術主要以相關設備控制系統為基礎，通過對控制系統進行深度分析，并結合系統（設備）以往的網絡業務行為，自動實現網絡業務行為安全建模，這種方法就可以對各項網絡行為及其業務操作過程進行檢測，一旦檢測出異常，則證明存在安全風險。在這個操作過程下會出現兩種結果：結果1：系統沒有發現異常，則會繼續維持系統的正常運行；結果2：系統發現異常，則會對可疑網絡行為進行監控，并將監控過程與結果存儲在數據庫中；系統在監督同時會從多個技術角度，對其網絡行為進行判斷，挖掘影響網絡安全的源頭，并將可疑網絡行為的詳細信息反饋給安全技術人員。

1.3 異常檢測的網絡安全技術手段

在當前網絡安全技術分析中，異常檢測可以提供全面的網絡數據支持，并根據不同的場景連接頻次、上下行流量變化等關鍵數據，動態分析不同時間節點下的網絡運行情況，并在監測到異常之后可以對異常行為進行分析，判斷異常行為下的流量走勢變化，制定異常行為的時間曲線，最終實現了對異常行為的詳細分析。

在上述技術手段的基礎上，在網絡信息安全技術中，常見的安全技術主要分為以下幾方面：（1）基于網絡線路速率的異常檢測。在該技術中，主要以時間為X 軸，根據X 軸上的數據變化，統計一個特定時間區間內的異常數據，通過對這些數據進行分析、查看、預警等方法，計算出正常的網絡安全流量，若出現異常，則需要考慮安全風險的可能。（2）在異常檢測中，還可以通過對地址與端口的識別，在查閱歷史流量基線的基礎上，由系統對地址與端口進行識別，當發現地址與端口存在異常時，也會及時提供安全警報信息[1]。

2 基于異常檢測的網絡安全技術系統研究

2.1 系統結構

本文所介紹的基于數據挖掘的網絡異常安全檢測系統結構如圖1所示。

2.2 關鍵技術

2.2.1 網絡數據捕獲

在基于數據挖掘的網絡異常安全行為檢測中，需要對整個網絡體系中的不同關鍵節點的數據進行識別，并通過基于網絡的入侵檢測方法，先將捕獲得到的異常行為數據進行過濾之后，設置敏感性的屬性字段，這樣當異常行為符合敏感屬性字段的要求時，在接收器對數據包進行預處理，將預處理所得的字段進行信息識別，形成完整的數據包參數，成為數據挖掘過程中可以識別的信息，方便做深入檢測。

從技術手段來看，這種處理方法最顯著的優點，就是可以完成以太網的異常行為信息傳播，并通過不同端口來實現這一功能。

圖1 系統結構

2.2.2 異常行為特征的提取與處理

在網路安全事件發生之后，異常行為對于計算機網絡系統具有攻擊性，并且這種攻擊性也會在很多方面得到表現，因此在該系統中，對異常行為特征的提取與處理不能從表面的結構上實現，而是要從異常行為的本質特征入手，對網絡上的各種行為模式進行詳細的分析之后，提取其中的關鍵要素。

2.2.3 報警機制

在本文系統所介紹的報警機制中，其系統功能可以被封為主動報警與被動褒獎兩方面，其中主動報警是系統在工作人員主動控制的情況下，為了阻止異常行為而采取的一種報警行為，通過這種方法能夠改變異常入侵情況。而被動報警則是在對入侵信息進行識別、攔截之后，由系統直接發送給工作人員，由工作人員自覺采取下一步工作。在系統實現階段，不論是選擇哪一種報警類型，最常見的還是屏幕報警，系統在監測到異常之后，會直接以彈幕的形式將異常行為顯示出來，并且隨著系統對異常行為識別的深入，彈幕中還會顯示更多的安全信息，包括異常行為的來源、攻擊目標、意圖等。

2.2.4 樣本庫的構建

樣本庫在實際上就是將各種異常行為完整的展示出來之后，可以將各種安全信息直接記錄在數據庫中，并將其作為數據挖掘的關鍵對象。在這種技術體系下，技術人員可以在數據庫中記錄各種異常行為事件，確保可以及時采取應對措施。

3 結束語

本文所介紹的異常檢測網絡安全系統具有技術可行性，可以最大程度上保證異常檢測結果的準確性，有助于實現網絡安全，對于安全事件具有很強的識別能力，因此應該在更多地區做進一步推廣。