基于指数加权平均法的通信流量信息熵监测系统设计

张麦玲

（平顶山工业职业技术学院 计算机与软件工程学院，河南 平顶山 467001）

0 引 言

由于网络中的数据需要快速、高效地传输，因此对网络流量监测的要求也随之增加。现有的通信网络监测系统要在保证数据传输正常运行的同时，提高对网络流量的承载容量，避免流量异常监测系统在实施安全防护时容量过载。在对通信网络流量变化监测时，需要加大实时安全网络监测的力度，充分利用现有的技术确定异常点的位置和情况，及时做好预警准备，避免出现漏报或误报的情况。若在监测时发现非法攻击或病毒入侵，要第一时间开启拦截模式，防止病毒侵入主机程序。信息熵技术的发展能够保障数据的多路复用，即使是面对大量并发请求，也能对数据进行并行处理。基于信息熵的网络异常数据挖掘技术能够实现对异常数据的快速检验，达到阻止恶意攻击的目的[1-4]。

1 异常流量信息熵监测系统硬件设计

1.1 通信流量信息熵迁移服务器

通信流量迁移服务器用于连接网络端和客户端，2个连接端口的管理身份需保持一致。迁移服务器内包含资源管理模块和域名系统（Domain Name System，DNS）服务器，服务器接口为通用串行总线（Universal Serial Bus，USB）接口，方便计算机与客户端的流量数据迁移。为了提高迁移服务器的使用安全性，在网络接口端增设密码接收装置，避免数据迁移过程中出现泄露。

1.2 流量监测控制器

流量监测控制器分为传感器和收发器2个部分。传感器通过控制器局域网（Controller Area Network，CAN）总线与收发器连接，连通5G网络。收发器的功能是执行通信指令，内部为高速总线，利用高性能以太网接口与CAN总线接口连接，提高通信效果[5]。为了防止病毒或黑客恶意入侵程序删除原通信网络数据，在网络流量监测控制器中需要加入数据存储器。数据存储器采用ARM Cotex A83517处理器，内部包含100 GB的Flash储存程序[6]。

为了提高控制器的安全性，在控制器接入指纹端接口，端口使用STMCR单片机作为外扩芯片,并利用ITCT总线和内核芯片实现信息通信，由此减少内核芯片的存储器数量，降低内核芯片的任务压力。双触屏输入方式便于系统管理人员直接录入通信流量，提高交接效率。

2 异常流量监测系统软件设计

2.1 异常网络流量集中处理模块

为了保证监测异常流量的精度，将异常网络流量进行集中处理，具体流程如图1所示。

图1 异常流量集中处理流程

及时接收异常网络流量数据，放入缓冲区读写。其中，缓冲区的主要作用是保证通信网络流量监测系统处理数据时的运行速度。对于大流量数据环境，流量数据的传递至关重要。数据经过缓冲后，需要对异常流量进行合并，清除不必要的冗余数据，同时对流量数据的入库过程进行统计和实时分析。若是分析结果没有问题，则可以将流量数据送显[7]。

2.2 异常流量分类模块

异常流量处理完毕后对其进行分类，流量分类是异常流量监测的核心工作，方便后续不同异常流量类型的检测。利用网络流量数据集构建信息熵向量训练模型，选取不同的IP作为信息熵特征向量，在实际的通信网络环境中对未知数据进行检测，将检测通过的数据反馈至信息熵训练样本集，并根据特征向量进行分类[8]。流量信息熵向量训练结构如图2所示。

图2 流量信息熵的向量训练结构

对数据进行清理后选择特征向量，信息熵特征选择包含6个序列。具体特征向量如表1所示。

表1 特征向量选择及其说明

通过标记数据集来判断数据类型，并将分类结果标记到数据集内，方便信息熵对数据的挖掘处理。

2.3 挖掘异常流量信息熵

根据特征向量分类后的数据形成新的数据集，利用概率统计的方式对数据集中的异常流量数据进行挖掘，具体公式为

式中：H表示异常流量信息熵；P表示数据集中出现异常流量的概率。通过挖掘异常流量的信息熵，对异常网络流量的特征进行排列，根据集中程度和松散程度来判断流量是否异常。当系统判断网络流量出现异常，则由流量引起的信息熵也会出现相应变化[9]。

将N个网络流量特征共同具有的属性定义为i，nij表示所监测的数据流量，yi表示属性i所对应的数据流量，由此得出属性i的总流量为

与之对应的异常信息熵计算公式为

异常信息熵的挖掘方法是指数加权平均法，可以用来计算在下一时间间隔中的信息熵。指数加权平均法可以按指数递减的方式计算通信流量，即

式中：Sf(t)表示t时段中的具体信息熵；s0(1)表示t1时间中的观测；a表示平滑因子。平滑因子可用于确定信息熵的权重，具体计算公式为

式中：w表示观测信息熵的权重比例；n表示监测系统选取的数据点。对于网络中数据流所对应的源IP，可以通过信息熵进行数据挖掘。如果所得到的预测熵与观测熵之间的偏差信息熵减小，记录异常流量信息熵的变化特征，并对其进行数据挖掘。将正常的流量属性与监测到的流量属性进行挖掘计算，所得即为流量属性变化结果。监测到异常后，系统自动上报并将异常数据输出到界面平台，起到监测的作用[10]。

3 系统应用

新设计系统充分利用了信息熵并行处理流量的能力，保证系统功能和性能都满足通信网络监控的需求。针对多人流量数据监测进行系统测试，验证系统对异常流量处理的响应时间，时间越短则效果越好。

3.1 系统应用环境

整体硬件环境采用英特尔公司生产的志强Xeon系列微处理器，其含有8个6 GHz的高速缓冲储存器，内存容量为32 GB，CPU型号为E5-260980。数据服务器部分应用5.3.3版本的PHP编程模块、2.2.15版本的Apache软件以及Y0.10.29版本的Node.js服务端平台，同时使用64位的CentOS 6.2版本操作系统，数据库为MySQLKL 5.5.20。客户端方面应用的是Microsoft Windows 10操作系统，使用Firefox 35和IE9/10浏览器。

准备就绪后，开始对系统模块的功能进行测试。首先，捕获流量数据库数据，获取恶意软件的附属设备IP并运行恶意软件，启动手动记录流量IP的功能，利用数据外包平台进行流量留存，对比留存流量和捕获流量是否一致；其次，模块对每条原始流量进行分类；最后，判断信息熵接收信息验证是否有误，确定系统功能完善后即可进行性能测试。

3.2 系统性能测试与结果分析

在监测系统显示界面会显示系统CPU使用情况、内存占比以及流量访问情况，可以直观展示系统的监测结果，有利于避免系统被恶意入侵。系统正常运行状态下监测无异常响应，一旦感应到恶意攻击，则在流量监控区显示恶意IP的客户端信息和地理位置信息。

选取2 400名用户同时登录本文设计系统与传统的通信网络异常监测系统，对比两个系统对于异常流量的响应时间。实验对比结果如图3所示。

图3 响应时间对比结果

随着登录人数的增加，两个系统的响应时间都逐渐延长。本文设计系统即使在登录人数达到2 400人时的响应时间也远远低于传统系统，能够有效缩短响应时间，改善监测效果。通信网络流量监测系统可以并行处理流量数据，平台对异常流量的响应时间较短，能够更好地适应当前大数据时代的需要。

4 结 论

利用信息熵能够多路复用的特点设计新的监测系统，通过对硬件和软件的合理规划保障网络流量监测的终端性能。对系统的性能和功能进行测试，结果表明系统能够良好运转，对于异常流量的响应时间较短，能够实现对通信网络异常流量的及时监测，具有一定的借鉴意义。