NMF-NAD：基于NMF的全网络流量异常检测方法

魏祥麟，陈鸣，张国敏，黄建军

(解放军理工大学 指挥自动化学院，江苏 南京210007)

1 引言

因特网已经成为人类生活的重要基础设施，而因网络设备误配置、网络故障、网络安全事件（如分布式拒绝服务攻击、蠕虫传播等）以及不寻常的用户行为等导致的网络异常事件时有发生，严重地干扰了网络的正常运行。然而，在高速且持续变化的链路上准确地检测出网络流量异常，进而维护网络的平稳运行，是因特网服务提供者(ISP)面临的难题，也是网络研究的热点问题之一。

网络流量异常是指网络流量不寻常地和显著地变化，并且可能涵盖多条链路或者路径[1]。检测流量异常面临的主要难点在于：第一，因特网流量的高波动和长相关性会使异常流量淹没于正常的流量之中；第二，流量异常模式非常分散并且经常出现新型异常流量；第三，网络流量巨大，分布式收集和处理很困难；第四，异常检测的实用化要求做到早期检测，对时效性要求较高。

很多异常行为(如 DDoS攻击以及蠕虫传播等等)的全局特性使得传统的单链路方法[2～4]失效，为此，Lakhina等人[1,5]首次采用基于主成分分析(PCA,principal component analysis)的子空间方法进行全网络(network-wide)异常检测，并取得了较好的效果。流量矩阵经过 PCA投影后，得到由一组正交基组成的正常子空间，可以看作是流量的某种固有变化模式，而每条链路或者路径的流量则是这组基向量按照某个系数向量的叠加，这形成了 PCA异常检测的基础。然而，PCA存在以下问题。第一，系数向量中时常出现负值，而网络流量不可能为负，使得这个分解过程的含义难以解释。……