楊 陽 朱浩然 任鵬飛

1(中國銀聯(lián)電子支付研究院 上海 201201)2(電子商務(wù)與電子支付國家工程實驗室 上海 201201)3(恒安嘉新(北京)科技股份公司 北京 100089)

隨著互聯(lián)網(wǎng)技術(shù)的成熟和應(yīng)用業(yè)務(wù)的飛速發(fā)展，網(wǎng)絡(luò)用戶數(shù)目逐漸增多，網(wǎng)絡(luò)結(jié)構(gòu)日趨復(fù)雜，業(yè)務(wù)場景的不斷變化，給網(wǎng)絡(luò)管理和異常檢測都帶來了很大的難度.如，我們發(fā)現(xiàn)在生產(chǎn)網(wǎng)絡(luò)中有一些異常流量突發(fā)的狀況，經(jīng)分析，引起網(wǎng)絡(luò)流量異常的原因主要有2類：分別是惡意攻擊和瞬時的大量訪問.其中惡意攻擊即包括DDoS攻擊和端口掃描等，還包括爬蟲等業(yè)務(wù)程序?qū)Ψ?wù)器的訪問；瞬時的大量訪問主要是業(yè)務(wù)活動時間節(jié)點(diǎn)、法定節(jié)假日等時間節(jié)點(diǎn)，突增的正常用戶訪問.惡意攻擊行為會導(dǎo)致網(wǎng)絡(luò)擁擠和過載，破壞網(wǎng)絡(luò)正常訪問.這些惡意攻擊行為有很大一部分是模擬真實訪問生成的，根據(jù)傳統(tǒng)的異常特征檢測難以發(fā)現(xiàn).為了更好地檢測流量中的惡意攻擊行為，我們需要對網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行分析和預(yù)測.

流量異常檢測的基本思想是首先對正常數(shù)據(jù)源進(jìn)行描述和分析，并構(gòu)建流量預(yù)測模型，同時針對流量異常狀況制定流量基線，然后根據(jù)實際流量偏離正常基線的情況作出預(yù)警.因此對于網(wǎng)絡(luò)流量異常檢測而言流量的準(zhǔn)確預(yù)測非常重要，直接決定了網(wǎng)絡(luò)異常檢測的可靠性.常用的流量預(yù)測模型方法主要有時間序列分析、小波分析、神經(jīng)網(wǎng)絡(luò)等手段.

網(wǎng)絡(luò)流量數(shù)據(jù)是一類隨時間變化的數(shù)據(jù)，我們可以考慮用時間序列分析的方法對網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行分析建模，并對網(wǎng)絡(luò)流量異常進(jìn)行監(jiān)測和預(yù)警，具體模型包括AR模型、ARMA模型、GARCH模型等.

小波分析是一種時頻分析方法，具有多維分辨率分析的優(yōu)勢，在時域和頻域都有很好的表征信號局部特性的能力.小波分析在低頻部分存在較低的時間分辨率和較高的頻率分辨率，在高頻部分存在較高的時間分辨率和較低的頻率分辨率，對正常信號中含有瞬時反常態(tài)現(xiàn)象可以進(jìn)行很好的擬合.通過小波變換的異常流量監(jiān)測技術(shù)就是根據(jù)小波變換的多尺度特性，將流量分解到多個不同的頻域下并進(jìn)行重構(gòu)，通過頻譜能量的不同發(fā)現(xiàn)網(wǎng)絡(luò)流量的異常，從而更好地發(fā)現(xiàn)網(wǎng)絡(luò)流量中的異常行為.

基于神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量異常監(jiān)測技術(shù)，根據(jù)神經(jīng)網(wǎng)絡(luò)自適應(yīng)學(xué)習(xí)的能力來提取網(wǎng)絡(luò)流量中異常行為的特征，將訓(xùn)練數(shù)據(jù)分為正常數(shù)據(jù)和異常數(shù)據(jù)，通過神經(jīng)網(wǎng)絡(luò)方法對數(shù)據(jù)集進(jìn)行訓(xùn)練，得到網(wǎng)絡(luò)流量正常和異常的行為模式，通過訓(xùn)練好的神經(jīng)網(wǎng)絡(luò)就可以對網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行分類識別為正常和異常.

1 相關(guān)工作

網(wǎng)絡(luò)異常檢測是根據(jù)正常行為和入侵行為的不同來進(jìn)行判斷，而無論以何種方式進(jìn)行入侵，都會伴隨著網(wǎng)絡(luò)端口流量的異常變化.通過與正常流量的相異度即可判斷某流量是否為異常流量，進(jìn)而可以判斷是否為入侵行為.

針對異常流量檢測，目前研究人員已經(jīng)提出了諸多的檢測方法，大致包括：1)基于閾值的異常檢測.基于閾值的檢測方法在網(wǎng)絡(luò)管理中被廣泛使用.該方法的主要思想是針對某一流量參數(shù)，給定一個最大閾值和一個最小閾值，如果觀測到的參數(shù)值超出了閾值范圍，則判定為異常流量.根據(jù)閾值的設(shè)定方法又分為恒定閾值檢測和自適應(yīng)閾值檢測.恒定閾值檢測是由Maxion等人[1]提出，針對網(wǎng)絡(luò)流量的一些參數(shù)，如網(wǎng)絡(luò)利用率和數(shù)據(jù)包大小等給出正常流量參數(shù)閾值，然后進(jìn)行檢測.這種方法的優(yōu)點(diǎn)是簡單易用；但是需要豐富的技術(shù)經(jīng)驗.李中魁等人[2]針對靜態(tài)閾值方法存在的問題，提出一種多點(diǎn)檢測異常統(tǒng)計量為基礎(chǔ)的自適應(yīng)閾值算法，該方法按照一定時間間隔對網(wǎng)絡(luò)流量進(jìn)行采樣，動態(tài)地調(diào)整參數(shù)判定的閾值.這種方法可以利用現(xiàn)有成熟的統(tǒng)計理論，且可使用的流量種類多；但是這種方法閾值的邊界難以確定，同時對流量發(fā)生的次序以及內(nèi)在的聯(lián)系不敏感，容易遭到破解[2].2)基于數(shù)據(jù)挖掘的異常檢測.基于數(shù)據(jù)挖掘的檢測方法則借助數(shù)據(jù)挖掘在特征提取上的優(yōu)勢，對網(wǎng)絡(luò)流量進(jìn)行處理，進(jìn)而得到流量模型以用于異常流量檢測.目前常用的算法包括分類、關(guān)聯(lián)規(guī)則挖掘以及時間序列分析等.3)基于統(tǒng)計模型的異常檢測.基于統(tǒng)計模型的檢測方法是從正常的流量數(shù)據(jù)中分析各種參數(shù)，并假設(shè)其滿足某種概率分布，然后進(jìn)行異常流量檢測.Ward等人[3]提出，若時間足夠長，流量序列中各參數(shù)過程服從正態(tài)分布，再調(diào)整觀測值界限之后即可對未知流量進(jìn)行檢測.這類模型能夠自適應(yīng)地對用戶行為進(jìn)行建模，并獲得較高的準(zhǔn)確率；然而如果需要精確刻畫用戶現(xiàn)實中復(fù)雜的情況，則模型會非常復(fù)雜.4)基于自相似特征的異常檢測.自相似性是指特征周期性地表現(xiàn)出相似性.Leland等人[4]首次提出互聯(lián)網(wǎng)流量在統(tǒng)計上是自相似的.在此基礎(chǔ)上，Cheng等人[5]結(jié)合小波分析與HHT的方法，設(shè)計了一種自相似參數(shù)估計算法.

2 背景原理與模型設(shè)計

2.1 時間序列分析原理

自回歸滑動平均模型(ARMA)是研究時間序列的主要方法，是由自回歸模型(AR)和滑動平均模型(MA)混合而成.但自回歸滑動平均模型假設(shè)殘差服從同方差的假設(shè)，對于像網(wǎng)絡(luò)流量這類波動性隨時間變動的數(shù)據(jù)使用ARMA模型難以捕獲方差變動的信息.而在對波動性建模中，廣義自回歸條件異方差模型(GARCH)對時間序列中出現(xiàn)的波動性變動與爆發(fā)的特性具有較好的擬合能力，得到極大發(fā)展.ARMA(p,q)模型的一般形式為

(1)

其中，εt為時刻t的殘差，且εt～N(0,σ2)，c為常數(shù)，p,q為ARMA模型的階數(shù)，ai,bj為待估計的自回歸參數(shù)和滑動平均參數(shù)[6].ARMA模型是最常用的時間序列模型之一，在逼近許多平穩(wěn)過程時表現(xiàn)出很強(qiáng)的適用性，同時對于數(shù)據(jù)的時間趨勢和周期特征可以對數(shù)據(jù)進(jìn)行差分，使其轉(zhuǎn)化為平穩(wěn)的時間序列數(shù)據(jù).ARMA模型適合波動性小的非平穩(wěn)時間序列，很難捕獲外生變量對數(shù)據(jù)的影響.

某一時刻殘差服從正態(tài)分布，此正態(tài)分布的均值為0，方差是一個隨時間變化的量時稱為條件異方差.并且這個隨時間變化的方差是該時間點(diǎn)過去有限項噪聲值平方的線性組合時，稱為自回歸條件異方差模型(ARCH)，Bollerslev對ARCH模型的改進(jìn)而引進(jìn)了廣義自回歸條件異方差模型(GARCH)，GARCH(p,q)模型的結(jié)構(gòu)如下：

(2)

2.2 小波分析原理

小波分析是一種信號與信息處理的工具，是除傅里葉分析之外又一種時頻分析方法.小波分析具有多分辨特性和時域局部化特征，因此既可以對時域分析又可以對頻域分析，對處理非平穩(wěn)信號有很強(qiáng)的適用性.設(shè)函數(shù)Ψ為一平方可積函數(shù)，Ψ∈L2(R)，如果傅里葉變換滿足條件：

(3)

則稱Ψ是一個基小波.設(shè)f∈L2(R)，稱

(4)

(5)

式(5)中,dj,k=〈f(t),φj,k(t)〉稱為小波展開系數(shù)，CJ,k=〈f(t),φJ(rèn),k(t)〉稱為尺度展開系數(shù)[8].

2.3 模型構(gòu)建

網(wǎng)絡(luò)流量數(shù)據(jù)可以看作是一個時間序列數(shù)據(jù)，可以根據(jù)時間序列分析的方法對流量數(shù)據(jù)進(jìn)行檢測分析.

首先對網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行時間序列的平穩(wěn)性檢驗，并根據(jù)結(jié)果決定是否進(jìn)行差分.由于虛假回歸問題，在我們進(jìn)行動態(tài)回歸模型的擬合時，必須先對序列的平穩(wěn)性進(jìn)行檢驗，只有當(dāng)序列通過平穩(wěn)性檢驗時才能使用時間序列分析模型.檢驗的方法主要有DF檢驗、ADF檢驗、PP檢驗、協(xié)整檢驗等[9].對銀聯(lián)網(wǎng)絡(luò)流量數(shù)據(jù)主要采用ADF檢驗的方法，ADF檢驗(augmented Dickey-Fuller)常用于對序列的自回歸過程進(jìn)行平穩(wěn)性檢驗，對一個自回歸過程：

xt=φ1xt -1+…+φpxt -p+εt,

(6)

其特征方程為

λp-φ1λp-1-…-φp=0.

(7)

若特征方程的根都在單位圓內(nèi)，即

|λi|<1,i=1,2,…,p，

(8)

則說明序列平穩(wěn).若有單位根存在則序列非平穩(wěn)，且可以推得自回歸系數(shù)之和為1，因此通過自回歸系數(shù)之后是否為1可以判斷序列的平穩(wěn)性.因此我們得到：

xt-xt -1=φ1xt -1+…+φpxt -p-xt -1+εt=

(φ2+…+φp)xt -1+φ1xt -1-xt -1-

(φ2+…+φp)xt -1+φ2xt -2+

(φ3+…+φp)xt -2-(φ3+…+φp)xt -2+

φ3xt -3+(φ4+…+φp)xt -3+…-

φpxt -p+1+φpxt -p+εt.

(9)

整理得：

(10)

其中：

ρ=φ1+φ2+…+φp-1,

(11)

βj=-φj+1-φj+2-…-φp,j=1,2,…,p-1.

(12)

如果序列平穩(wěn)，則ρ<0，若不平穩(wěn)，則ρ=0.則單位根檢驗的假設(shè)條件為

H0:ρ=0(序列非平穩(wěn))?H1:ρ<0(序列平穩(wěn)).

構(gòu)造統(tǒng)計量：

(13)

其次根據(jù)網(wǎng)絡(luò)流量波動性大的特征，我們采用小波變換分解與重構(gòu)的方法將網(wǎng)絡(luò)流量分為低頻項和高頻項，并對各個子序列建立ARMA模型，確定模型的參數(shù).

之后針對低頻項和高頻項進(jìn)行ARCH效應(yīng)檢驗，根據(jù)檢驗結(jié)果考慮是否建立ARMA-GARCH模型，具體為若不存在ARCH效應(yīng)，則保留已建立的ARMA模型，若存在ARCH效應(yīng)，則建立ARMA-GARCH模型.

對ARCH效應(yīng)進(jìn)行檢驗是一種特殊的條件異方差檢驗，其在要求序列具有異方差性的同時，需要異方差性是由某種自相關(guān)關(guān)系造成的，這種自相關(guān)關(guān)系可以由殘差序列的自回歸模型擬合得到.常用的ARCH效應(yīng)檢驗的方法有PortmanteauQ檢驗、LM檢驗等[11].PortmanteauQ檢驗的假設(shè)為

H0：殘差平方序列完全隨機(jī)(方差齊性)?H1：殘差平方序列自相關(guān)(方差非齊).

H0:ρ1=ρ2=…=ρq=0?H1:ρ1,ρ2,…,ρq不全為0.

對PortmanteauQ檢驗統(tǒng)計量的構(gòu)造為

(14)

其中,n為序列長度，ρi為殘差序列延遲i階自相關(guān)系數(shù):

(15)

最后考慮特定的業(yè)務(wù)情況.針對網(wǎng)絡(luò)流量業(yè)務(wù)上合理的激增時間點(diǎn)，加入激增項.最終將各個序列建立的模型進(jìn)行線性疊加得到網(wǎng)絡(luò)流量預(yù)測模型，對未來的流量數(shù)據(jù)進(jìn)行預(yù)測，并根據(jù)制定的檢測基線對網(wǎng)絡(luò)流量異常進(jìn)行檢測并予以預(yù)警.

3 實證分析

選取2016-7—2017-10的銀聯(lián)網(wǎng)絡(luò)流量數(shù)據(jù)作為數(shù)據(jù)源，以2016-7—2017-6數(shù)據(jù)作為模型構(gòu)建，以2017-7—2017-10數(shù)據(jù)作為測試驗證.

圖1 自相關(guān)圖

1) 首先對數(shù)據(jù)進(jìn)行ADF單位根檢驗，檢驗數(shù)據(jù)的平穩(wěn)性，檢驗結(jié)果接受原假設(shè)，需要對數(shù)據(jù)進(jìn)行差分，二階差分后時間序列數(shù)據(jù)平穩(wěn).

2) 對網(wǎng)絡(luò)流量時間序列數(shù)據(jù)通過小波分析進(jìn)行分解與重構(gòu)，得到低頻序列和高頻序列[13].在對最優(yōu)小波基和分解尺度的選擇上，采用時頻緊支集和高正則性的Daubechies小波基函數(shù)[14]，確定尺度為3的分解并對單支進(jìn)行重構(gòu)，得到3個序列，包括1個低頻序列和2個高頻序列，低頻序列定義為L1，表示網(wǎng)絡(luò)流量的趨勢項，高頻序列定義為H1,H2，表示網(wǎng)絡(luò)流量的周期性和隨機(jī)性.

3) 確定自相關(guān)和偏相關(guān)系數(shù).以高頻序列H1為例，由于自相關(guān)系數(shù)和偏相關(guān)系數(shù)具有拖尾效應(yīng)，考慮使用自回歸移動平均過程ARMA模型.如圖1及圖2，回歸系數(shù)逐漸減小至0附近，為拖尾.根據(jù)ARMA(p,q)中參數(shù)的顯著性、極大似然估計、AIC準(zhǔn)則、SC準(zhǔn)則、殘差的白噪聲情況確定參數(shù)p=4，q=1.如圖1及圖2，自相關(guān)圖為4階拖尾，偏自相關(guān)圖為1階拖尾.

圖2 偏相關(guān)圖

yt=3.128yt -1-2.949yt -2-0.0193yt -3+

1.365yt -4+εt-2.479εt -1，

(16)

其中εt為殘差序列.之后對模型的顯著性和適應(yīng)性進(jìn)行檢驗，得到AIC為-0.3921，SC為-0.3102，表明數(shù)據(jù)是適應(yīng)的.

4) ARCH效應(yīng)檢驗.對序列ARCH效應(yīng)檢驗的方法是拉格朗日乘子法檢驗.如果序列存在低階ARCH效應(yīng)，則考慮構(gòu)建ARCH模型，如果序列存在高階ARCH效應(yīng)，則考慮構(gòu)建GARCH模型.對序列的殘差進(jìn)行ARCH-LM檢驗，檢驗結(jié)果如表1所示.ARMA(4,1)的殘差LM值為43.7973，相伴概率為0，小于顯著性水平，拒絕原假設(shè)ARCH效應(yīng)是顯著的.對H1序列進(jìn)行ARMA(4,1)-GARCH(1,1)建模.

表1 殘差的ARCH-LM檢驗結(jié)果

5) 引入激增項B(t).根據(jù)銀聯(lián)網(wǎng)絡(luò)流量過往1年的歷史數(shù)據(jù)，發(fā)現(xiàn)在“活動日”的流量有明顯的激增現(xiàn)象，比如銀聯(lián)“62活動日”、“重陽活動日”以及“十一”黃金周和春節(jié)等.這類由于特定業(yè)務(wù)引起的流量激增現(xiàn)象無法通過時間序列模型擬合獲取，但可以通過對過往歷史數(shù)據(jù)的分析和業(yè)務(wù)場景的需要進(jìn)行擬合，為了最終預(yù)測模型的準(zhǔn)確性，我們通過在模型中引入激增項對該類突發(fā)的正常流量進(jìn)行捕獲.

6) 模型的建立.由于殘差序列存在ARCH效應(yīng)，采用GARCH進(jìn)行建模，對模型參數(shù)進(jìn)行擬合得到的結(jié)果如表2所示:

表2 ARMA-ARCH模型參數(shù)擬合結(jié)果[15]

由表2可知，所有參數(shù)的概率均小于0.05，說明GARCH模型的參數(shù)擬合是顯著的.最終得到H1序列的ARMA(4,1)-GARCH(1,1)模型為

(17)

其中，εt為殘差，et是獨(dú)立同分布的標(biāo)準(zhǔn)正態(tài)分布隨機(jī)變量，ht為殘差的條件方差.

同理可以得到L1和H2序列的ARMA-GARCH模型.

對L1序列建立ARMA(2,3)-GARCH(1,1)模型，得到結(jié)果如下：

(18)

對H2序列建立ARMA(4,3)-ARCH(1)模型，得到結(jié)果如下：

(19)

因此，網(wǎng)絡(luò)流量模型為所有子序列模型的線性組合，具體公式如下：

Y(t)=L1(t)+H1(t)+H2(t)+B(t).

(20)

根據(jù)網(wǎng)絡(luò)流量模型預(yù)測的網(wǎng)絡(luò)流量和實際的流量序列圖如圖3、圖4所示：

圖3 實際流量時間序列

圖4 流量模型預(yù)測序列

為了更好地說明通過小波的分解與重構(gòu)提高了GARCH模型的準(zhǔn)確性，我們選取了網(wǎng)絡(luò)流量預(yù)測研究成果中比較新并且結(jié)果較好的方法來進(jìn)行對比，再此額外構(gòu)建了不含有ARCH效應(yīng)的時間序列模型、沒有通過小波分析分解與重構(gòu)的ARMA-GARCH時間序列模型、結(jié)合小波分析與HHT的自相似特征預(yù)測模型.這幾種模型的對比結(jié)果如表3所示：

表3 不同預(yù)測模型結(jié)果比較 %

從結(jié)果可以看出，本文構(gòu)建的網(wǎng)絡(luò)流量模型對數(shù)據(jù)的預(yù)測更優(yōu)，估計的誤差值更小，更能反映原始數(shù)據(jù)的波動情況，在此基礎(chǔ)上對網(wǎng)絡(luò)異常流量制定的基線閾值也更加準(zhǔn)確.

4 結(jié)束語

本文采用小波分析和時間序列分析對2016-7—2017-10的銀聯(lián)部分網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行分析與預(yù)測.首先對原始數(shù)據(jù)進(jìn)行分解與重構(gòu)，得到低頻項和高頻項，之后根據(jù)具體業(yè)務(wù)場景引入激增項，再將所有低頻項和高頻項依據(jù)各自特征用帶有ARCH效應(yīng)的時間序列模型進(jìn)行建模，最終將各項進(jìn)行組合，得到網(wǎng)絡(luò)流量預(yù)測模型.通過與傳統(tǒng)模型和實際數(shù)據(jù)進(jìn)行對比，發(fā)現(xiàn)模型是有效并且準(zhǔn)確的，為根據(jù)預(yù)測模型建立流量基線閾值提供了良好基礎(chǔ).

[1]Maxion R A, Feather F E. A case study of ethernet anomalies in a distributed computing environment. Reliability[J]. IEEE Trans on Reliability, 1990, 39(4), 433-443

[2]李中魁. 基于動態(tài)閾值的網(wǎng)絡(luò)流量異常檢測方法研究與實現(xiàn)[D]. 成都: 電子科技大學(xué), 2010

[3]Ward A, Glynn P, Richardson K. Internet service performance failure detection[J]. Performance Evaluation Review, 1998, 26(3): 38-44

[4]Leland W E, Taqqu M S, Willinger W, et al. On the self-similar nature of Ethernet traffic[C] //Proc of ACM SIGCOMM Computer Communication Review. New York: ACM, 1993: 183-193

[5]Cheng X, Xie K, Wang D. Network traffic anomaly detection based on self-similarity using HHT and wavelet transform[C] //Proc of the 5th IEEE Int Conf on Information Assurance and Security (IAS’09). Piscataway, NJ: IEEE, 2009: 710-713

[6]王沁. 時間序列分析及其應(yīng)用[M]. 成都: 西南交通大學(xué)出版社, 2008

[7]崔錦泰, 程正興. 小波分析導(dǎo)論[M]. 西安: 西安交通大學(xué)出版社, 1995

[8]向杰, 程昌明, 張軼. 小波分析在時間序列中的分析應(yīng)用[J]. 節(jié)水灌溉, 2013 (12): 15-17

[9]王振龍, 胡永宏. 應(yīng)用時間序列分析[M]. 北京: 科學(xué)出版社, 2007

[10]潘貴豪, 胡乃聯(lián), 劉煥中, 等. 基于ARMA-GARCH模型的黃金價格實證分析[J]. 黃金, 2010, 31(1): 5-8

[11]肖云湘, 李星野. 基于小波的回歸-GARCH模型及其在外匯儲備中的應(yīng)用[J]. 上海理工大學(xué)學(xué)報, 2015 (1): 18-22

[12]吳淑萍, 樊穎, 楊贊. 利率政策對房價的“非對稱性”影響路徑——基于小波分析和GARCH模型的研究[J]. 上海金融, 2017 (2): 3-10

[13]余健, 郭平. 基于改進(jìn)小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測研究[J]. 計算機(jī)應(yīng)用, 2007, 27(12): 2986-2988

[14]Aurea Gran, Helena Veiga. Wavelet-based detection of outliers in financial timeseries[J]. Computational Statistics and Data Analysis, 2010, 54(11): 2580-2593

[15]張永山. 基于小波多分辨率GARCH模型的匯率去噪預(yù)測[J]. 統(tǒng)計與決策, 2017 (12): 161-164