基于网络流量数据的以太网异常状态监测研究

吴韵怡

(广州华立科技职业学院，计算机信息工程学院， 广东，广州 511325)

0 引言

随着网络技术的不断发展，出现许多类型的网络，如无线网络、城域网，局域网，其中以太网就是一种比较典型的局域网。相对于其它局域网，以太网更加容易拓展，鲁棒性理强，容错能力强，在许多领域得到了广泛应用[1-3]。在以太网的实际应用过程中，由于外界的非法入侵，以太网有时难免会出现一些异常状态，影响以太网数据的传输成功率，无法保证以太网的安全工作，因此对以太网异常状态进行监测研究具有十分重要的意义[4-5]。

以太网异常状态监测实际就是一种二分类问题，通过引入一定的技术将以太网状态划分为异常和正常2种类型[6]。当前主要以太网异常状态监测方法可以划分为2类，一类是传统的以太网异常状态监测方法，另一类是现代的以太网异常状态监测方法。传统方法主要有基于决策树的以太网异常状态监测方法，对于小规模、简单的以太网，该方法的异常状态监测精度高，而且速度快，但是当以太网的规模比较大、结构十分复杂时，该方法的缺陷就十分明显，如存在以太网异常状态监测误差大，监测速度慢等不足，目前基本上处于淘汰状态[7-9]。现代方法主要有人工神经网络的以太网异常状态监测方法，如BP神经网络、RBF神经网络等，它们具有一定的自学习能力，当以太网的拓扑结构发现变化时，神经网络的结构也可以进行相应调整，但是神经网络自身存在一定的不足，如出现过拟合和欠学习的概率相当高，使得以太网异常状态监测结果不稳定，监测效率低[10-12]。

为了提高以太网异常状态监测精度，满足以太网异常状态监测的实时性，提出了基于网络流量数据的以太网异常状态监测方法。首先采集以太网流量数据，并采用小波变换对以太网数据进行预处理，然后引入最小二乘支持向量机对以太网流量数据进行建模和分析，实现以太网异常状态监测，最后通过以太网异常状态监测仿真测试验证了本文方法的优越性。

1 基于网络流量数据的以太网异常状态监测方法

1.1 网络流量数据的预处理

以太网在工作过程由于受到许多因素的综合影响，采集的网络流量不一定纯净，经常会包含一定的噪声，这些噪声使得以太网流量数据的存储空间增大，影响以太网流量数据传输的速度，最重要的不足是会影响以太网异常状态监测结果，因此需要对以太网的原始流量数据进行预处理。

本文采用小波变换对以太网流量数据进行去噪操作。基于小波变换的以太网流量数据预处理的原理如下：首先设置一定的分解尺度，对以太网流量数据进行分解和细化，得到精细的以太网流量数据，由于噪声和有用以太网流量数据的小波系数不同，这样得到不同大小值的小波系数，通常情况上，噪声的小波系数要小，然后设置一个阈值，每一个小波系数与阈值进行比较，将噪声对应的小波系数设置为0，而有用以太网流量数据的小波系数的值不变，最后通过小波逆变换对所有小波系数进行重新构造，这样得到以太网流量数据不包含噪声，具体原理描述如图1所示[13]。

图1 基于小波变换的以太网流量数据预处理原理

当前阈值算法可以划分为2类：硬阈值和软阈值法，它们具体描述如式(1)、式(2)：

(1)

(2)

结合以太网流量数据的特点，本文采用硬阈值算法对以太网流量数据进行处理，减少噪声对后续以太网异常状态监测的影响。

1.2 网络流量数据挖掘技术

f(x)=sgnωTφ(x)+b

(3)

建立目标函数如式(4)：

(4)

采用拉格朗日乘子αi构建相应的优化函数如式(5)：

(5)

根据最小二乘支持向量机的学习原理[15]，可以建立式(6)：

(6)

根据K(xk,xi)=φ(xk)Tφ(xi)，得到以太网异常状态监测决策函数为式(7)：

(7)

1.3 基于网络流量数据的以太网异常状态监测原理

基于网络流量数据的以太网异常状态监测原理：首先采用以太网的流量数据，该数据包含了正常状态和异常状态，因此是一种二分类问题的求解，然后通过基于硬阈值的小波变换对以太网网络流量进行预处理，将噪声的小波系数设置为0，去除噪声的干扰，最后采用最小二乘支持向量机根据网络流量建立以太网异常状态监测分类函数，通过分类函数实现以太网异常状态监测。

2 仿真实验

2.1 数据来源及实验平台

为了分析基于网络流量数据的以太网异常状态监测方法的有效性，选择5个以太网作为研究对象，分别采集它们的网络流量数据，得到的样本数量如表1所示。为了使基于网络流量数据的以太网异常状态监测方法的实验结果更具说服力，选择没有去噪的以太网异常状态监测方法(建模方法仍然采用最小二乘支持向量机)，简称LSSVM，小波变换去噪+BP神经网络的以太网异常状态监测方法，简称WA-BPNN进行对比实验，它们采用相同的实验平台，实验平台设置如表2所示。

表1 5个以太网的网络流量数据分布

2.2 结果与分析

2.2.1 以太网异常状态监测结果

采用WA-LSSVM、LSSVM、WA-BPNN在表2的仿真平台上，根据表1的网络流量数据对以太网异常状态监测进行建模和分析，得到以太网异常状态监测精度和误差分别如图2、图3所示。从图2、图3的以太网异常状态监测精度和误差可以得到如下结论。

表2 以太网异常状态监测的实验平台

图2 不同方法的以太网异常状态监测精度

图3 不同方法的以太网异常状态监测误差

(1) LSSVM的以太网异常状态监测精度和误差的平均值分别为86.60%和13.40%，以太网异常状态监测结果不理想，这是因为网络流量数据中包含了一定的噪声，对以太网异常状态监测建模分析结果产生了干扰，无法建立高精度的以太网异常状态监测结果，同时说明了需要引入去噪技术对以太网络流量数据进行预见处理。

(2) WA-BPNN的以太网异常状态监测精度和误差的平均值分别为86.83%和13.17%，以太网异常状态监测结果与LSSVM相差不大，这是因为BP神经网络存在一定的过拟合和欠学习缺陷，无法准确描述网络异常状态的变化规律，使得以太网异常状态监测误差大。

(3) WA-LSSVM的以太网异常状态监测精度和误差的平均值分别为95.60 %和4.40%，以太网异常状态监测结果明显优于对比方法，这是WA-LSSVM集成了小波变换和最小二乘支持向量机的优点，可以抑制网络流量数据中的噪声干扰，准确描述了以太网异常状态变化特点，获得了理想的以太网异常状态监测结果。

2.2.2 以太网异常状态监测效率

在以太网异常状态监测的实际应用中，以太网异常状态监测实时性十分重要，实时性主要采用以太网异常状态监测效率来描述，因此统计3种方法的以太网异常状态监测时间，结果如图4所示。从图4可以看出，LSSVM的以太网异常状态监测时间平均值为29.10 ms，WA-BPNN的以太网异常状态监测时间平均值为24.38 ms，WA-LSSVM的以太网异常状态监测时间平均值为19.64 ms，相对于对比方法，WA-LSSVM的以太网异常状态监测时间明显减少，获得更优的以太网异常状态监测效率，能够对以太网异常状态进行实时识别和异常行为进行在线拦截，并做出相应的应对措施。

3 总结

为了提高以太网异常状态监测精度，加快以太网异常状态监测速度，针对当前以太网异常状态监测方法存在的弊端，提出了基于网络流量数据的以太网异常状态监测系统，引入小噪声方法对网络流量数据进行预处理，引入最小二乘支持向量机根据网络流量数据对以太网异常状态进行识别，相对于其它以太网异常状态监测方法，本文方法的以太网异常状态监测整体性能更优，可以保证以太网安全工作，具有十分广泛的应用前景。

图4 不同方法的以太网异常状态监测时间