第４７卷第２期 西 安 交 通 大 学 学 报 ＪＯＵＲＮＡＬ ＯＦ ＸＩ’ＡＮ ＪＩＡＯＴＯＮＧ ＵＮＩＶＥＲＳＩＴＹ Ｖｏ１．４７ ＮＯ．２ Ｆｅｂ．２０１３ ２０１３年２月 ＤＯＩ：１０．７６５２／ｘｊｔｕｘｂ２０１３Ｏ２Ｏ０３ 入侵检测系统利用信息熵检测网络攻击的方法 夏秦，王志文，卢柯 （西安交通大学电子与信息工程学院，７１００４９，西安） 摘要：针对传统入侵检测系统报警事件数量多、误报率高的问题，提出了一种基于信息熵的网络攻 击检测方法。该方法利用雷尼熵对报警事件源ＩＰ地址、目标ＩＰ地址、源威胁度、目标威胁度以及 数据报大小这５个属性香农熵的融合结果来表示网络状态，通过与正常网络状态的对比识别网络 异常。真实攻击和人工合成攻击环境中的实验结果表明，该方法能在保持误报率低于１ 的情况 下命中率高于９Ｏ ；与基于特征香农熵的攻击检测方法相比，该方法对攻击更敏感，最易检测出 ＤｏＳ攻击和主机入侵，其次是主机扫描和端口扫描，对蠕虫攻击的检测敏感度稍差。对比测试结果 表明，该方法在提高命中率的同时，还能有效降低误报率。 关键词：网络攻击；入侵检测系统；香农熵；雷尼熵 中图分类号：ＴＰ３９３ 文献标志码：Ａ 文章编号：０２５３—９８７Ｘ（２０１３）０２—００１４—０６ Ａ Ｍｅｔｈｏｄ ｔｏ Ｄｅｔｅｃｔ Ｎｅｔｗｏｒｋ Ａｔｔａｃｋｓ Ｕｓｉｎｇ Ｅｎｔｒｏｐｙ ｉｎ ｔｈｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ＸＩＡ Ｑｉｎ，ＷＡＮＧ Ｚｈｉｗｅｎ，ＬＵ Ｋｅ （Ｓｃｈｏｏｌ ｏｆ Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｘｉ’ａｎ Ｊｉａｏｔｏｎｇ Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ’ａｎ，７１００４９，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ａ ｍｅｔｈｏｄ ｔｏ ｄｅｔｅｃｔ ｎｅｔｗｏｒｋ ａｔｔａｃｋｓ ｕｓｉｎｇ ｅｎｔｒｏｐｙ ｉｓ ｐｒｏｐｏｓｅｄ ｔｏ ｓｏｌｖｅ ｔｈｅ ｐｒｏｂｌｅｍ ｔｈａｔ ｔｈｅ ｅｘｉｓｔｉｎｇ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ（ＩＤＳ）ｔｙｐｉｃａｌｌｙ ｇｅｎｅｒａｔｅｓ ｌａｒｇｅ ａｍｏｕｎｔｓ ｏｆ ａｌｅｒｔｓ ｗｉｔｈ ｈｉｇｈ ｆａｌｓｅ ｒａｔｅ．Ｒａｉｎｅｙ ｃｒｏｓｓ ｅｎｔｒｏｐｙ ｉｓ ｅｍｐｌｏｙｅｄ ｔｏ ｆｕｓｅ ｔｈｅ Ｓｈａｎｎｏｎ ｅｎｔｒｏｐｙ ｖｅｃｔｏｒ ｆｏｒ ｆｉｖｅ ｐｒｏｐｅｒｔｉｅｓ ｏｆ ａｌｅｒｔｓ．Ｔｈｅｓｅ ｆｉｖｅ ｐｒｏｐｅｒｔｉｅｓ ａｒｅ ｓｏｕｒｃｅ ＩＰ ａｄｄｒｅｓｓ，ｄｅｓｔｉｎａｔｉｏｎ ＩＰ ａｄｄｒｅｓｓ，ｓｏｕｒｃｅ ｔｈｒｅａｔ，ｔａｒｇｅｔ ｔｈｒｅａｔ ａｎｄ ｄａｔａｇｒａｍ ｌｅｎｇｔｈ．Ｔｈｅｎ ｔｈｅ ｆｕｓｉｎｇ ｒｅｓｕｌｔ ｉｓ ｕｓｅｄ ｔｏ ｄｅｓｃｒｉｂｅ ｔｈｅ ｎｅｔｗｏｒｋ ｓｔａｔｅ，ａｎｄ ｉＳ ｃｏｍｐａｒｅｄ ｗｉｔｈ ｔｈｅ ｎｏｒｍａｌ ｎｅｔｗｏｒｋ ｓｔａｔｅ ｔｏ ｉｄｅｎｔｉｆｙ ｔｈｅ ａｎｏｍａｌｉｅｓ．Ｔｈｅ ｅｘｐｅｒｉｍｅｎｔａ１ ｒｅｓｕｌｔｓ ｏｎ ａｃｔｕａｌ ｎｅｔｗｏｒｋ ａｔｔａｃｋｓ ｄａｔａ ａｎｄ ｓｙｎｔｈｅｔｉｃ ａｔｔａｃｋｓ ｓｈｏｗ ｔｈａｔ ｔｈｅ ｐｒｏｐｏｓｅｄ ａｐｐｒｏａｃｈ ｃａｎ ｄｅｔｅｃｔ ｎｅｔｗｏｒｋ ａｔｔａｃｋｓ ｗｉｔｈ ａ ｈｉｔ ｒａｔｅ ｍｏｒｅ ｔｈａｎ ９Ｏ％ｗｈｅｒｅａｓ ｔｈｅ ｆａｌｓｅ ｒａｔｅ ｉｓ ｌｅｓｓ １ ． Ｃｏｍｐａｒｉｓｏｎｓ ｗｉｔｈ ｔｈｅ ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ ｍｅｔｈｏｄ ｂａｓｅｄ ｏｎ ｔｈｅ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｏｆ ｔｈｅ Ｓｈａｎｎｏｎ ｅｎｔｒｏｐｙ ｓｈｏｗ ｔｈａｔ ｔｈｅ ｐｒｏｐｏｓｅｄ ｍｅｔｈｏｄ ｉｓ ｍｏｒｅ ｓｅｎｓｉｔｉｖｅ ｔｏ ａｔｔａｃｋｓ，ａｎｄ ｉｓ ｅａｓｉｅｒ ｔｏ ｄｅｔｅｃｔ ｉｎ ｔｈｅ ｏｒｄｅｒ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ（ＤｏＳ）ａｎｄ ｈｏｓｔｓ ｉｎｔｒｕｄｅ ａｔｔａｃｋｓ，ａｎｄ ｔｈｅｎ ｔｈｅ ｈｏｓｔｓ ｓｃａｎ ａｎｄ ｐｏｒｔ ｓｃａｎ ａｔｔａｃｋｓ． ｈｏｗｅｖｅｒ，ｉｓ ｒｅｌａｔｉｖｅｌｙ ｄｉｆｆｉｃｕｌｔ ｔｏ ｗｏｒｍ ａｔｔａｃｋｓ．Ｔｈｅ ｔｅｓｔ ｒｅｓｕｌｔｓ ａｌｓｏ ｓｈｏｗ ｔｈａｔ ｔｈｅ ｐｒｏｐｏｓｅｄ ｍｅｔｈｏｄ ｉｓ ｂｅｔｔｅｒ ｔｈａｎ ｔｈｅ ｃｏｍｐａｒｅｄ ｓｙｓｔｅｍｓ ｗｉｔｈ ｈｉｇｈｅｒ ｈｉｔ ｒａｔｅ ａｎｄ ｌｏｗｅｒ ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ． Ｋｅｙｗｏｒｄｓ：ｎｅｔｗｏｒｋ ａｔｔａｃｋ；ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ；Ｓｈａｎｎｏｎ ｅｎｔｒｏｐｙ；Ｒａｉｎｅｙ ｅｎｔｒｏｐｙ 入侵检测系统（ＩＤＳ）是用于监测网络和／或系 统行为中是否存在恶意或违反策略行为，并向控制 台产生检测报告的设备或软件 。虽然目前的ＩＤＳ 具有强大的攻击监测能力，但多数ＩＤＳ仍然存在报 收稿日期：２０１２—０４—０９。 作者简介：夏秦（１９７３一），女，博士，讲师。 基金项目：国家自然科学基金资助项目（６０９７０１２１）。 网络出版时间：２０１２—１０—３１ 网络出版地址：ｈｔｔｐ：／／ＷＷＷ．ｃｎｋｉ．ｎｅｔ／ｋｃｍｓ／ｄｅｔａｉｌ／６１．１０６９．Ｔ．２０１２１０３１．１１０３．００８．ｈｔｍｌ 第２期 夏秦，等：入侵检测系统利用信息熵检测网络攻击的方法 警事件数量较大和误报率较高的问题。Ｇｉｎａ等人 通过Ｓｎｏｒｔ对１９９９ ＤＡＲＰＡ数据集的测试，得出 ＮＤ一｛，ｚＤ．１， Ｄ．２，…， Ｄ． ｝ （５） 为了突出报警事件威胁程度对异常检测的影 响，使用ｔ 一５“ 表示ａ 的威胁度，其中ｑ 表示ａ 的报警程度优先级的属性值。若所有来自Ｐ。 的报 警事件威胁度之和为ｔ 所有发向Ｐｏ 的报警事件 威胁度之和为ｔ。 则源和目标ＩＰ地址的威胁度表 示为 丁ｓ一｛ｔｓ。１，ｔｓ，２，…，ｔｓ， ｝ ＴＤ一｛ｔＤ－１，ｔＤ，２，…，ｔＤ． ｝ （６） （７） ６９ 的报警事件都是误报 ］。解决这个问题的方法 主要分为２类：一类是合理配置入侵检测系统的规 则［３ ；另一类是以事后处理的方式加强报警管理或 者挖掘报警关联ｌ＿４。］。与前一类方法相比，后一类方 法人工参与较少，适用面更广。 熵理论目前被广泛应用于信息安全领域的数据 分析和异常检测。与传统信息熵相比，相对熵和互 雷尼信息熵对异常检测往往具有更好的检测效 若ｚ是不同长度数据报的个数，则报警事件集 合Ａ对应的数据报长度集合表示为 Ｌ一｛Ｚ１，ｌ２，…，Ｚ ｝ （８） 果ｌ８］。本文从事后处理的角度出发，针对Ｓｎｏｒｔ产 生的报警事件集，利用互雷尼信息熵对５个报警事 件的特征香农熵进行融合，并以该结果反映网络状 态，并通过与正常网络状态的比较，能够较准确地判 断是否存在网络异常。测试实验分别在真实和合成 攻击环境中进行，通过改变５种不同合成攻击的强 度，比较了本文方法与基于特征香农熵检测方法以 若数据报长度为ｚ 的报警事件数为ｍ ，则不同 数据报长度对应的报警事件数为 Ｍ一｛ ｌ，ｍ２，…，ｍ ｝ （９） 在时间窗口 中，源和目标ＩＰ地址的香农熵表 示为 Ｈ ／‘＼ 及与文献Ｅ６］中系统的检测效果。 丁 Ｄ １报警事件特征 １．１报警事件特征选取 Ｈ（Ｐｓ（ ））＝＝＝一∑（ ， ／ｎ）ｌｇ（ｎ ／ｎ）（１０） ｉ一１ Ｈ（Ｐ。（ ））一一∑（ ＤＩｆ／ｎ）ｌｇ（ｎ。， ／ｎ）（１１） 一ｉ—ｌ 一 传统的基于流量分析的网络攻击检测方法大都 采用ＩＰ地址、端口和网络流大小分布作为网络流量 源和目标ＩＰ地址威胁度的香农熵表示为 ∑ 特征ｌ＿】］。本文的数据对象是Ｓｎｏｒｔ产生的报警事 件，每条报警事件都有表示事件严重程度的优先级 属性，其值从１到４，威胁程度依次减弱（ｈｉｇｈ，ｍｅｄｉ— Ｌｌｍ，ｌｏｗ，ｉｎｆｏ）。因此，本文选取的报警事件特征包 括每个源和目的ＩＰ地址对应的报警事件数、报警事 件的威胁度以及能够反映网络流大小并触发报警规 则的数据报字节数。由于报警事件相对于原始流量 较为精简，相关端口变化较小，随机性较强，统计特 征较差，因此没有选取端口作为报警事件特征。 １．２报警事件特征分析 Ｈ（Ｔ （ ））一一∑（ ，／∑ｔ ）ｌｇ（ｔｓ＇Ｊ／∑ｔ ） ／ Ｊ一１ ｉ一１ ｉ—ｌ 幻 ∑ 、Ｉ， ／， （１２） ／ 数据报长度的香农熵表示为 Ｚ ∑ ３ Ｈ（Ｌ（ ））一一＞ （ｍ ／ｎ）ｌｇ（ｍ ／ｎ） （１４） 由式（１０）～式（１４）可得到时间窗口 关于报警 事件特征的香农熵值向量Ｖ（６）一［Ｈ（Ｐ （ ））， Ｈ（ＰＤ（ ）），Ｈ（Ｔｓ（ ）），Ｈ（ＴＤ（ ）），Ｈ（Ｌ（ ））］，该 向量反映了时间窗口 的网络状态，熵值向量的时 （１） 假设在时间窗口 内产生了 条报警事件，则 该报警事件集合表示为 Ａ一｛ａ１，ａ２，…，ａ ） 间序列Ｖ（１），Ｖ（２），…，Ｖ（ ）能够反映一段时间的 网络状态。 若所有报警事件的源和目标ＩＰ地址的数量分 别为ｍ和忌，则源和目标ＩＰ地址的集合表示为 Ｐｓ一｛Ｐｓ，１，Ｐｓ．２，…，Ｐｓ． ｝ ＰＤ一｛ＰＤ，ｌ，ＰＤ，２，…，ＰＤ，ｔ｝ （２） （３） 香农熵向量Ｖ（ ）单位化的结果表示为 （ ）一［耳（Ｐ （ ）），再（Ｐ。（ ））， Ｈ（Ｔｓ（ ）），Ｈ（ＴＤ（ ）），Ｈ（Ｌ（ ））］ （１５） 式中：Ｈ（Ｐｓ（ ））一Ｈ（Ｐ （ ））／Ｈ ；Ｈ（ＰＤ（ ））一 Ｈ（ＰＤ（ ））／Ｈ…；Ｈ（Ｔｓ（ ））一Ｈ（Ｔｓ（ ））／Ｈ…； Ｈ（Ｔ。（ ））一Ｈ（Ｔ。（艿））／Ｈ…；Ｈ（Ｌ（ ））一 若来自Ｐｓ， 的报警事件数为 。 发向Ｐ。． 的报 警事件数为 。 则每个源和目标ＩＰ地址对应的报 警事件数分别为 Ｎｓ一｛ ｓ．】， ｓ．２，…， ｓ． ｝ （４） Ｈ（Ｌ（ ））／Ｈ…；Ｈ 一Ｈ（Ｐｓ（ ））＋Ｈ（ＰＤ（ ））＋ ｈｔｔｐ：／／ｗｗｗ．ｊｄｘｂ．ｃｎ ｈｔｔｐ：／／ｚｋｘｂ．ｘｊｔｕ．ｅｄｕ．ｃｎ 西安交通大学学报 第４７卷 Ｈ（Ｔｓ（ ））＋Ｈ（ＴＤ（ ））＋Ｈ（Ｌ（ ））。 ７ ５７０个目标ＩＰ地址；测试数据的采集时间从１４：Ｏ０ 到２３：３０，共包含５７８ ３８９条报警事件，来自２９ ３２７个 源ＩＰ地址，发向１０ ５９０个目标ＩＰ地址。 ２ 检测算法 本文提出的检测算法，能够避免网络终端用户 数和攻击程度对报警事件特征香农熵的影响，该方 法将５维检测指标的香农熵融合于１维。当网络处 于正常状态时，互雷尼信息熵总是接近于０，与终端 ３．２关键参数 本文使用ＲＯＣ（ｒｅｃｅｉｖｅｒ ｏｐｅｒａｔｉｎｇ ｃｈａｒａｃｔｅｒｉｓ— ｔｉｃ）曲线描述检测结果，其横坐标表示命中率（ｈｉｔ ｒａｔｅ，ＨＲ），即命中次数（ｈｉｔ ｔｉｍｅ，ＨＴ）占总攻击次 数的比率；纵坐标表示误报率（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｒａｔｅ， ＦＰＲ），即误报次数（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｔｉｍｅ，ＦＰＴ）占全 部正常时间窗口数的比率。当检测结果具有较高的 用户数无关；当网络遭受攻击时，其值将发生突变， 此时对检测指标采用固定阈值，可以取得较好的检 测效果，具体步骤如下。 （１）采用手工选取最初 个正常时间窗口的香 ＨＲ和较低的ＦＰＲ时，ＲＯＣ曲线接近于左上角，此 农熵值的均值作为初始正常时间集合Ｔ，其香农熵 时ＲＯＣ曲线下方的面积（ａｒｅａ ｕｎｄｅｒ ＲＯＣ ｃｕｒｖｅ， 向量为 ＡＵＣ，用符号Ｓ 表示）将增大，据此进一步确定正 １ ＂ 常时间集合大小 和基础阈值仉 的最佳值。 ｖ（Ｔ）一 ｖ （ ） （１６） 基于文献Ｅ９］的假设，本文采用一种半自动化网 式中：Ｖ （ ）是正常时间窗口的香农熵向量； 取固 络流标定方法剔除真实报警事件。首先通过分析报 定值，由实验方法确定。 警事件统计值、香农熵值及互雷尼信息熵值，确定异 （２）利用式（１７）计算 （ ）和 （Ｔ）的互雷尼信 常时间窗口；然后查看异常时间窗口中贡献最大的 息熵，其中 （丁）是Ｖ（Ｔ）单位化后的熵值，Ｐ（Ｔ）和 源ＩＰ与目标ＩＰ地址，剔除与其相关的可疑报警事 （ ）分别是 （Ｔ）和 （ ）的概率分布函数。 件；最后重新计算报警事件统计值、香农熵值及互雷 Ｉ。． （ （Ｔ）， （ ））＝＝＝２１ｂＥ（ （丁） （ ）） ／ 尼信息熵值，查看异常是否消失。在训练数据中采 用本文方法可以剔除真实报警事件，得到常规训练 （１７） 数据。 式中：ｒ表示报警事件特征维数。 （３）利用式（１８）对时间窗口 的网络状态变化 在常规训练数据中，由于不存在网络攻击，相邻 时刻 和 ～１的网络状态变化相对较小，时刻 和 进行合法性判定，当计算结果大于检测阈值７４ 一时，则认为发生了网络攻击（ｒ／ｄ 与网络相关，由管 １的互雷尼信息熵接近于ｏ，所有熵值都处于正 理员根据基础阈值仇 和经验设置） 常范围内。利用式（１９）可以计算出时间窗口 和时 间窗口 一１的互雷尼信息熵，其中Ｖ（ 一１）和Ｖ（ ） 是分别单位化的互雷尼信息熵值，Ｐ（ 一１）和Ｐ（ ） （Ｔ （ （１８） 分别是 （ 一１）和 （ ）的概率分布函数。图１表示 了每个时间窗口 和其之前的时间窗口 一１的互 （４）当最新时间窗口与正常时间集合的互雷尼 雷尼信息熵，时间窗口为５ Ｓ。 信息熵小于基础阈值 （ 由实验方法确定）时， （Ｖ（３—１），Ｖ（ ））一２１ｂ＞：（ （ 一１）Ｐ（艿））ｌ／ 则认为该时间窗口正常，并对Ｔ进行更新。 ｒ （１９） ３ 攻击测试 堡０ ３．１实验环境 霎。 实验利用Ｓｎｏｒｔ对西安交通大学学生宿舍区３２ 嚣。 ０ 个Ｃ网，约３ ０００台主机进行了为期４周的监测，取 １０：００ １（）：３０ ｌｌ：００ １ ｌ：３０ １２：００ １２：３０ ｌ３：Ｏ０ １ ３：３（）ｔ４：００ 时刻 ２０１０年ｌ２月６日的８６２ ２８４条报警事件作为实验 图１ 常规训练数据互雷尼信息熵 数据，这些报警事件共包含６５种报警事件签名，来 自４２ ４７３个源ＩＰ地址，发向１１ ７９０个目标ＩＰ地址。 互雷尼信息熵值大小的分布如图２所示，可以 训练数据的采集时间从１０：０Ｏ到１４：Ｏ０，共包含 看出：互熵值分布范围在一０．０７到０之间，几乎所 １７０ ５１６条报警事件，来自１３ １４８个源ＩＰ地址，发向 有的互熵值都大于一０．０４，因此设置基础阈值ｑｂ— ｈｔｔｐ ｝｝ＷＷＷ． ｄｘｂ．ｃｎ ｈｔｔｐｔｆｆ ｚｋｘｂ．ｘｊｔｕ．ｅｄｕ．ＣＤ 第２期 夏秦，等：入侵检测系统利用信息熵检测网络攻击的方法 ＩＰ数和数据报长度均为一个时间窗口内的统计值， 报警事件数随机分布在各个源ＩＰ、目标ＩＰ和数据 辐 餮 爨 报长度上。由于水平扫描和块扫描和主机扫描相 似，本文只考虑垂直扫描，即对特定目的主机的多个 端口进行扫描。 表１合成攻击分类 图２互雷尼信息熵分布 的取值范围为｛一０．００１，一０．００２，一０．００３，…， 一０．０４），Ｙｔ的取值范围为｛５，１０，１５，…，２００｝，即将 和 的每种组合计算ｓ 值，图３中最深色 正常时间集合的长短从２５ Ｓ到１ ０００ Ｓ逐渐增大。 由 区域是出现最大Ｓ 值的地方。当 一９５，ｒ／ 一 ０．０２２时，ＳＡｕｃ取最大值０．９９６ ２，此时全部训练数 据和常规训练数据的互雷尼信息熵如图４所示。 ４测试效果 ４．１攻击测试 当Ｙｔ一９５，ｒｌａ 一一０．０１６时，对于真实的测试 数据，２２０次攻击检测出２１１次，误报８次，检 图３ ＡＵＣ曲面 测命中率为９５．９ ，误报率为０．１２ 。２０３次主机 扫描命中１９７次，７次端口扫描命中４次，６次ＤｏＳ、 ３次主机入侵和１次蠕虫攻击全部命中。 Ｌ —呵 ｛ Ｏ．４Ｉ Ｆ 时刻 阿 ０ 常规训练数据 全部训练数据 该检测方法对合成攻击的总体误报率为 ０．４５ ９／６，其中对主机扫描、ＤｏＳ、蠕虫及主机入侵的 检测率在９５ 以上，对端口扫描命中数相对较小， 这与该类攻击触发的报警事件数较少且威胁度低有 关，１３次漏报中６次都发生在２２：３Ｏ到２３：３Ｏ之 一一图４ 常规训练数据和全部训练数据互雷尼信息熵 问，该段时间活动用户较多，报警事件数量较大，当 端口扫描报警事件较少时，容易被常规报警淹没。 真实攻击和合成攻击环境中的实验结果表明该 ３．３合成攻击 由于真实数据中攻击事件数量较少且各类攻击 分布不均，采用人工合成攻击可以进一步验证参数 选择的合理性及该方法的有效性，合成攻击检测的 实验数据是在剔除真实报警事件后的背景数据中， 方法利用５个报警特征表现出较好的检测效果，命 中率大于９Ｏ ，误报率小于１ 。 ４．２敏感度测试 加人人工合成的攻击报警事件。 发动合成攻击时，利用工具ＳｕｐｅｒＳｃａｎ按照表 文献［８］提出的传统特征分析法主要是基于各 特征香农熵的。测试时，针对５种特定类型攻击，重 新合成攻击报警事件，通过调整合成攻击报警数占 当前窗口内总报警数的比例Ｒ，设置不同的报警事 件数量级，每个数量级各包含１００次合成攻击。 １描述的攻击方式对被测网络进行扫描，人工产生５ 种攻击各１００个，并将报警事件随机分布在常规测 试数据中。在表１中，报警事件数、源ＩＰ数、目标 ｈｔｔｐ：／／ＷＷＷ．ｊｄｘｂ．ｃｎ ｈｔｔｐ：／／ｚｋｘｂ．ｘｊｔｕ．ｅｄｕ．ｃｎ ｈｔｔｐ：∥ｗｗｗ．ｊｄｘｂ．ｃｎ ｈｔｔｐ：／／ｚｋｘｂ・ｘ ｔｕ・ｅｄ ・。“ 第２期 夏秦，等：入侵检测系统利用信息熵检测网络攻击的方法 攻击的检测敏感度稍差。 ４．３对比测试 ２种方法的实验对比结果如表２所示，可以看 出：文献［６］除了对端口扫描合成攻击的命中率略高 于本文的检测方法外，其对真实攻击和其他几种合 文献［６］面向报警事件集构造的过滤器基于以 下３个观察结果：真实报警通常会产生大量源或者 成攻击的命中率均不如本文算法。同时，文献［６］的 误报率也明显偏高，其原因主要在于：ＮＲＡ是基于 相似的ＩＰ地址识别攻击的，当数据中出现大量相似 ＩＰ地址时，一方面对攻击的识别效果越好，另一方 面误报率也越高。文献［６］在设计ＮＲＡ时，分别为 ＩＰ或端口扫描攻击设计了２种算法，使用不同的参 目的ＩＰ地址相同的报警，攻击会增加相同特征真实 报警出现的频率，无攻击时段的报警特征可用于分 辨真实和误报警，据此设计了相邻报警（ＮＲＡ）、高 报警频率（ＨＡＦ）和一般误报（ＵＦＰ）这３个检测部 件，并融合各检测部件的输出以提高攻击检测命 中率。 对比实验仍然在真实攻击和合成攻击环境中进 数，这在实际应用中很难确定。ＨＡＦ依赖报警频率 识别真实报警的方式适用于攻击相对密集的情况， 行，由于文献Ｅ６］是通过不断试探确定关键参数和阈 值的，因此本文实验将按照其对ＤＡＲＰＡ １９９９数据 集设置的参数执行，合成函数取３个算法结果的最 大值，判断攻击的阈值ｂ 为１。 只有对相同特征频繁出现的攻击命中率才会较高； 由于在实际应用中很难收集完整无攻击状态的特征 信息，因此ＵＦＰ依据历史特征频率和瞬时特征频率 ∞ ９ ９ ９ ８ ９ 识别真实报警的做法并不完全可行。 ６ Ｏ ９ ３ ８ 表２攻击对比结果 命中次数 实验环境—— 本文算法文献Ｅ６］ 命中率／ 误报次数 误报率／ 本文算法文献Ｅ６］ 本文算法文献Ｅ６］ 本文算法Ｏ．１５ ０．０９ Ｏ．Ｏ９ Ｏ．Ｏ９ Ｏ．Ｏ８ ０．０９ ０ Ｏ Ｏ Ｏ Ｏ 文献Ｅ６］ 真实环境 主机扫描 端口扫描 ＤｏＳ攻击 蠕虫攻击 主机入侵 Ｏ ５ 结束语 本文提出的网络攻击检测方法在抽取报警特征 时，综合考虑了传统入侵检测系统报警事件的属性 以及报警工具Ｓｎｏｒｔ自身的特点，利用雷尼信息熵 对报警事件特征属性的香农熵进行融合，通过与正 常网络状态的比较是能够较准确地感知网络安全态 参考文献： ” 勰 ｒ １］ ＳＣＡＲＦＯＮＥ Ｋ，ＭＥＬＬ Ｐ．Ｇｕｉｄｅ ｔｏ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃ— ｔｉｏｎ ａｎｄ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍｓ Ｅ Ｍ］．Ｇａｉｔｈｅｒｓｂｕｒｇ，ＭＤ， ＵＳＡ：ＮＩＳＴ Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ，２００７：９． Ｅ２］ ＴＪＨＡＩ Ｇ，ＰＡＰＡＤＡＫＩ Ｍ，ＦＵＲＮＥＬＬ Ｓ，ｅｔ ａ１．Ｔｈｅ ｐｒｏｂｌｅｍ ｏｆ ｆａｌｓｅ ａｌａｒｍｓ：ｅｖａｌｕａｔｉｏｎ ｗｉｔｈ ｓｎｏｒｔ ａｎｄ ＤＡＲＰＡ １９９９ ｄａｔａｓｅｔ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ５ｔｈ Ｉｎｔｅｒ— ｎａｔｉｏｎａ１ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｔｒｕｓｔ，Ｐｒｉｖａｃｙ ａｎｄ Ｓｅｃｕｒｉｔｙ ｉｎ 势变化的。与基于特征香农熵的攻击检测方法相 比，该方法对攻击更敏感，最易检测出ＤｏＳ攻击和 主机入侵，其次是主机扫描和端口扫描，对蠕虫攻击 的检测敏感度稍差。与对比系统的实验表明该方法 能大量减少Ｓｎｏｒｔ的报警次数，提高命中率，降低误 报率。 Ｄｉｇｉｔａｌ Ｂｕｓｉｎｅｓｓ．Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ， ２００８：１３９—１５Ｏ． ［３］ ＡＢＩＭＢＯＬＡ Ａ Ａ，ＭＵＮＯＺ Ｊ Ｍ，ＢｕｃＨＡＮＡＮ ｗ Ｊ． Ｉｎｖｅｓｔｉｇａｔｉｎｇ ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｒｅｄｕｃｔｉｏｎ ｉｎ ｈｔｔｐ ｖｉａ ｐｒｏｃｅ— ｄｕｒｅ ａｎａｌｙｓｉｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｎｅｔｗｏｒｋｉｎｇ ａｎｄ Ｓｅｒｖｉｃｅｓ．Ｌｏｓ Ａｌａｍｉ— ｔｏｓ，ＣＡ，ＵＳＡ：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００６：８７— ９３． 入侵特征的抽取一直以来都是入侵检测的难点 之一，目前现有的入侵特征抽取大都是基于专家知 识和实际测试的，因此本文下一步的工作将会从理 论上分析该检测方法对特征信息的抽取是否合理。 ［４］ＴＩＡＮ Ｚｈｉｈｏｎｇ，ＺＨＡＮＧ Ｗｅｉｚｈｅ，ＹＥ Ｊｉａｎｗｅｉ，ｅｔ ａ１． Ｒｅｄｕｃｔｉｏｎ ｏｆ ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ ｉｎ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｖｉａ （下转第４６页） ｈｔｔｐ：／／ｗｗｗ．ｊｄｘｂ．ｃｎ ｈｔｔｐ：／／ｚｋｘｂ．ｘｊｔｕ．ｅｄｕ．ｃｎ ４６ 西安交通大学学报 第４７卷 ｄｅｔｅｃｔｉｏｎ：ａ ｓｕｒｖｅｙ ａｎｄ ｃｏｍｐａｒａｔｉｖｅ ｅｖａｌｕａｔｉｏｎ ｏｆ ｒｅ— ｃｈｉｎｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ，２００８，３０（１１）：２０５５—２０６３． ＭＡＲＴＥＬ—ＢＲＩＳＳＯＮ Ｎ。ＺＡＣＣＡＲＩＮ Ａ．Ｋｅｒｎｅｌ—ｂａｓｅｄ ［１Ｏ］ ｌｅａｒｎｉｎｇ ｏｆ ｃａｓｔ ｓｈａｄｏｗｓ ｆｒｏｍ ａ ｐｈｙｓｉｃａｌ ｍｏｄｅｌ ｏｆ ｌｉｇｈｔ ｃｅｎｔ ｍｅｔｈｏｄｓ ＥＪ］．Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ，２０１２，４５（４）： １６８４—１６９５． ａ１．Ｓｈａｄｏｗ ［３］ ＨＳＩＥＨ Ｊ Ｗ，ＨＵ Ｗ Ｆ，ＣＨＡＮＧ Ｃ Ｊ，ｅｔｓｏｕｒｃｅｓ ａｎｄ ｓｕｒｆａｃｅｓ ｆｏｒ ｌｏｗ—ｌｅｖｅｌ ｓｅｇｍｅｎｔａｔｉｏｎ［Ｃ］／／ Ｐｒｏｃ ｏｆ ｔｈｅ ＩＥＥＥ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ Ｖｉｓｉｏｎ ａｎｄ ｅｌｉｍｉｎａｔｉｏｎ ｆｏｒ ｅｆｆｅｃｔｉｖｅ ｍｏｖｉｎｇ ｏｂｊｅｃｔ ｄｅｔｅｃｔｉｏｎ ｂｙ Ｇａｕｓｓｉａｎ ｓｈａｄｏｗ ｍｏｄｅｌｉｎｇ［Ｊ］．Ｉｍａｇｅ ａｎｄ Ｖｉｓｉｏｎ Ｃｏｍｐｕｔｉｎｇ，２００３，２１（６）：５０５—５１６． Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ．Ｐｉｓｃａｔａｗａｙ，ＮＪ，ＵＳＡ：ＩＥＥＥ， ２００８：１－８． Ｍ，ｅｔ ａ１． ［４］ ＣＵＣＣＨＩＡＲＡ Ｒ，ＧＲＡＮＡ Ｃ。ＰＩＣＣＡＲＤＩＣＥＬＩＫ Ｈ，ＯＲＴＩＧ０ＳＡ Ａ Ｍ，ＨＡＮＪＡＬＩＣ Ａ，ｅｔ ａ１． ［１１］ Ａｕｔｏｎｏｍｏｕｓ ａｎｄ ａｄａｐｔｉｖｅ ｌｅａｒｎｉｎｇ ｏｆ ｓｈａｄｏｗｓ ｆｏｒ ｓｕｒ— Ｄｅｔｅｃｔｉｎｇ ｍｏｖｉｎｇ ｏｂｊ ｅｅｔｓ，ｇｈｏｓｔｓ，ａｎｄ ｓｈａｄｏｗｓ ｉｎ ｖｉｄ— ｅｏ ｓｔｒｅａｍｓ ＦＪ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｐａｔｔｅｒｎ Ａｎａｌｙ— ｓｉｓ ａｎｄ Ｍａｃｈｉｎｅ Ｉｎｔｅｌｌｉｇｅｎｃｅ，２００３，２５（１０）：１３３７－Ｉ３４２． ｓｈａｄｏｗ ｄｅｔｅｃｔｉｏｎ Ｅ５１ ＨＵＡＮＧ Ｊ Ｂ，ＣＨＥＮ Ｃ Ｓ．Ｍｏｖｉｎｇ ｃａｓｔｖｅｉｌｌａｎｃｅ［ｃ］／／Ｐｒｏｃ ｏｆ ｔｈｅ ９ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｉｍａｇｅ Ａｎａｌｙｓｉｓ ｆｏｒ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒａｃｔｉｖｅ Ｓｅｒｖｉｃｅｓ． Ｐｉｓｃａｔａｗａｙ，ＮＪ，ＵＳＡ：ＩＥＥＥ，２００８：５９—６２． ｕｓｉｎｇ ｐｈｙｓｉｃｓ－ｂａｓｅｄ ｆｅａｔｕｒｅｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ｔｈｅ ＩＥＥＥ Ｃｏｎ— ｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ Ｖｉｓｉｏｎ ａｎｄ Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ．Ｐｉｓ— ＣＨ０Ｉ Ｊ，Ｙ００ Ｙ Ｊ，ＣＨ０Ｉ Ｊ Ｙ．Ａｄａｐｔｉｖｅ ｓｈａｄｏｗ ｅｓｔｉ— ［１２］ ｍａｔｏｒ ｆｏｒ ｒｅｍｏｖｉｎｇ ｓｈａｄｏｗ ｏｆ ｍｏｖｉｎｇ ｏｂｊ ｅｃｔ［Ｊ］． Ｃｏｍｐｕｔｅｒ Ｖｉｓｉｏｎ ａｎｄ Ｉｍａｇｅ Ｕｎｄｅｒｓｔａｎｄｉｎｇ，２０１０，１１４ ｃａｔａｗａｙ，ＮＪ，ＵＳＡ：ＩＥＥＥ，２００９：２３１０—２３１７． Ｓｈａｄｏｗ ｄｅｔｅｃｔｉｏｎ ｆｏｒ ［６］ ＬＥＯＮＥ Ａ。ＤＩＳＴＡＮＴＥ Ｃ．（９）：１０１７－１０２９． ＫＩＭ Ｋ，ＣＨＡＬＩＤＡＢＨＯＮＧＳＥ Ｔ Ｈ，ＨＡＲＷ００Ｄ Ｄ， ［１３］ ｍｏｖｉｎｇ ｏｂｊｅｃｔｓ ｂａｓｅｄ ｏｎ ｔｅｘｔｕｒｅ ａｎａｌｙｓｉｓ［Ｊ］．Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ，２００７，４０（４）：１２２２—１２３３． Ｌ０ＶＥＬＬ Ｂ Ｃ． Ｅ７］ ＳＡＮＩＮ Ａ，ＳＡＮＤＥＲＳ０Ｎ Ｃ，Ｉｍ— ｅｔ ａ１．Ｒｅａｌ—ｔｉｍｅ ｆｏｒｅｇｒｏｕｎｄ—ｂａｃｋｇｒｏｕｎｄ ｓｅｇｍｅｎｔａｔｉｏｎ ｕｓｉｎｇ ｅｏｄｅｂｏｏｋ ｍｏｄｅｌ［Ｊ］．Ｒｅａｌ—Ｔｉｍｅ Ｉｍａｇｉｎｇ，２００５， １１（３）：１７２一ｌ８５． ｐｒｏｖｅｄ ｓｈａｄｏｗ ｒｅｍｏｖａｌ ｆｏｒ ｒｏｂｕｓｔ ｐｅｒｓｏｎ ｔｒａｃｋｉｎｇ ｉｎ ｓｕｒｖｅｉｌｌａｎｃｅ ｓｃｅｎａｒｉｏｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ｔｈｅ ２０ｔｈ Ｉｎｔｅｒｎａ～ ｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ．Ｐｉｓｃａｔａｗａｙ， 刘宏，李，刘群，等．融合颜色和梯度特征的运 ［１ｌ４］ 动阴影消除方法［Ｊ］．计算机辅助设计与图形学学报， ２００７，１９（１０）：１２７９－１２８５． ＮＪ，ＵＳＡ：ＩＥＥＥ，２０１０：１４１－１４４． Ｓｈａｄｏｗ ｄｅｔｅｃｔｉｏｎ ｆｏｒ ［８］ ＬＥ０ＮＥ Ａ，ＤＩＳＴＡＮＴＥ Ｃ．ＬＩＵ Ｈｏｎｇ，ＬＩ Ｊｉｎｔａｏ，ＬＩＵ ｑｕｎ，ｅｔ ａ１．Ｍｏｖｉｎｇ ｃａｓｔ ｓｈａｄｏｗ ｅｌｉｍｉｎａｔｉｏｎ ｂａｓｅｄ ｏｎ ｃｏｌｏｒ ａｎｄ ｇｒａｄｉｅｎｔ ｆｅａ— ｍｏｖｉｎｇ ｏｂｊｅｃｔｓ ｂａｓｅｄ ｏｎ ｔｅｘｔｕｒｅ ａｎａｌｙｓｉｓ Ｉ－ｊ］．Ｐａｔｔｅｒｎ Ｒｅｃｏｇｎｉｔｉｏｎ，２００７，４０（４）：１２２２—１２３３． ｔｕｒｅｓ［Ｊ］．Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅ—Ａｉｄｅｄ Ｄｅｓｉｇｎ ａｎｄ Ｇｒａｐｈｉｃｓ，２００７，１９（１０）：１２７９—１２８５． ［９］ ＪＯＳＨＩ Ａ Ｊ，ＰＡＰＡＮＩＫ０Ｌ０ＰＯＵＬ０Ｓ Ｎ Ｐ．Ｌｅａｒｎｉｎｇ ｔｏ ｄｅｔｅｃｔ ｍｏｖｉｎｇ ｓｈａｄｏｗｓ ｉｎ ｄｙｎａｍｉｃ ｅｎｖｉｒｏｎｍｅｎｔｓ （编辑荆树蓉武红江） ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｐａｔｔｅｒｎ Ａｎａｌｙｓｉｓ ａｎｄ Ｍａ一 （上接第１９页） ａｄａｐｔｉｖｅ ａｌｅｒｔ ｃｌａｓｓｉｆｉｅｒ［Ｃ］／／Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ａｕｔｏｍａｔｉｏｎ．Ｐｉｓｃａｔａｗａｙ，ＮＪ ＵＳＡ：ＩＥＥＥ，２００８：１５９９—１６０２． ｓａｍｐｌｉｎｇ ａｎｄ ａｐｐｌｉｃａｔｉｏｎ ｓｉｇｎａｔｕｒｅｓ［Ｊ］．Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｒｅｓｅａｒｃｈ ａｎｄ Ｄｅｖｅｌｏｐｍｅｎｔ，２００８，４５（２）： ２２７－２３６． ［５］ ＡＬＳＨＡＭＭＡＲＩ Ｒ，Ｓ０ＮＡＭＴＨＩＡＮＧ Ｓ，ＴＥＩＭ０ＵＲＩ Ｍ，ｅｔ ａ１．Ｕｓｉｎｇ ｎｅｕｒｏ—ｆｕｚｚｙ ａｐｐｒｏａｃｈ ｔｏ ｒｅｄｕｃｅ ｆａｌｓｅ ［８］ 牛国林，管晓宏，龙毅，等，多源流量特征分析方法 及其在异常检测中的应用［Ｊ］．理工大学学报， ２００９，１０（４）：３５０—３５５． ＮＩＵ Ｇｕｏｌｉｎ，ＧＵＡＮ Ｘｉａｏｈｏｎｇ，ＬＯＮＧ Ｙｉ，ｅｔ ａｌ， Ａｎａｌｙｓｉｓ ｍｅｔｈｏｄ ｏｆ ｍｕｌｔｉ—ｓｏｕｒｃｅ ｆｌｏｗ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｐｏｓｉｔｉｖｅ ａｌｅｒｔｓ［Ｃ］∥Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ｔｈｅ Ｆｉｆｔｈ Ａｎｎｕａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｎｅｔｗｏｒｋｓ ａｎｄ Ｓｅｒｖｉｃｅｓ Ｒｅｓｅａｒｃｈ．Ｌｏｓ Ａｌａｍｉｔｏｓ，ＣＡ，ＵＳＡ：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００７：３４５—３４９． ｓｅ ［６］ ＳＰＡＴＨ０ＵＬＡＳ Ｇ Ｐ，ＫＡｒＳＩＫＡＳ Ｓ Ｋ．Ｒｅｄｕｃｉｎｇ ｆａｌａｎｄ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ ｉｎ ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ［Ｊ］．Ｊｏｕｒｎａｌ ｏｆ ＰＬＡ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ：Ｎａｔｕｒｅ Ｓｃｉｅｎｃｅ Ｅｄｉｔｉｏｎ，２００９，１０（４）：３５０—３５５． ｐｏｓｉｔｉｖｅｓ ｉｎ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍｓ［Ｊ］．Ｃｏｍｐｕｔ— ｅｒｓ＆Ｓｅｃｕｒｉｔｙ，２０１０，２９（１）：３５—４４ ［９］ ＮＹＣＨＩＳ Ｇ，ＳＥＫＡＲ Ｖ，ＡＮＤＥＲＳＥＮ Ｄ Ｇ，ｅｔ ａ１．Ａｎ ｅｍｐｉｒｉｃａｌ ｅｖａｌｕａｔｉｏｎ ｏｆ ｅｎｔｒｏｐｙ－ｂａｓｅｄ ｔｒａｆｆｉｃ ａｎｏｍａｌｙ ［７］ 郭振滨，裘正定．应用高速网络的基于报文采样和应 用签名的ＢｉｔＴｏｒｒｅｎｔ流量识别算法［Ｊ］．计算机研究 与发展，２００８，４５（２）：２２７—２３６． ＧＵＯ Ｚｈｅｎｂｉｎｇ，ＱＩＵ Ｚｈｅｎｇｄｉｎｇ．Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｏｆ Ｂｉｔ— Ｔｏｒｒｅｎｔ ｔｒａｆｆｉｃ ｆｏｒ ｈｉｇｈ ｓｐｅｅｄ ｎｅｔｗｏｒｋ ｕｓｉｎｇ ｐａｃｋｅｔ ｄｅｔｅｃｔｉｏｎ［ｃ］∥Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ８ｔｈ ＡＣＭ ＳＩＧ— Ｃ０ＭＭ Ｉｎｔｅｒｎｅｔ Ｍｅａｓｕｒｅｍｅｎｔ Ｃｏｎｆｅｒｅｎｃｅ． Ｎｅｗ Ｙｏｒｋ，ＵＳＡ：ＡＣＭ，２００８：１５１－１５６． （编辑 刘杨） ｈｔｔｐ：／／ｗｗｗ．ｊｄｘｂ．ｃｎ ｈｔｔｐ：／／ｚｋｘｂ．ｘｊｔｕ．ｅｄｕ．ｃｎ
