運用線上分析處理與資料探勘於網路流量分析

Abstract

隨著網路的蓬勃發展，使得各類的網路攻擊行為、病毒威脅與垃圾訊息等愈趨增加，而網路管理的問題也因為服務的多樣化而日趨複雜，於是網路頻寬、效能、服務品質、安全等便顯得更為重要。 本研究利用Cisco所提供之路由器、交換器等設備上的NetFlow技術，其所記錄的網路流量基本資訊，進行OLAP即時線上分析，藉以了解整體網路的即時與歷史狀態，期能即時發現網路異常狀況的發生，並藉由歷史資料的分析來發現異常狀況之蛛絲馬跡。另外，本研究分析曾經發生過CodeRed、MSBlast等攻擊的歷史NetFlow資料，透過決策樹模型來找出異常攻擊之單位時間內的流量臨界值，並將此臨界值應用於偵測網路攻擊之系統實作，以驗証該臨界值的準確性。

This study focuses on analyzing internet traffic using NetFlow technology. We use the OLAP to analyze flow traffic information and detect the real time network status of the network platform. This study aims to find the signature of network abnormal behavior through analyzing the historical netflow traffic information, which was incurred by the attack of CodeRed and MSBlast worm. Decision tree is applied to find the threshold of the abnormal network behavior. The threshold and techniques of the proposed analysis are implemented to detect the abnormal behavior of netflow traffic. Besides, experiments are conducted to verify the accuracy of the threshold.