Диагностика аномалий трафика во всей сети

Аномалии представляют собой необычные и существенные изменения уровней трафика в сети, которые зачастую могут охватывать несколько каналов связи. Диагностика аномалий имеет критическое значение как для операторов сетей, так и для конечных пользователей. Это сложная задача, поскольку необходимо извлекать и интерпретировать аномальные закономерности из больших объёмов многомерных зашумлённых данных. В данной работе мы предлагаем общий метод диагностики аномалий. Метод основан на разделении многомерного пространства, занимаемого набором измерений сетевого трафика, на непересекающиеся подпространства, соответствующие нормальным и аномальным состояниям сети. Мы показываем, что такое разделение можно эффективно выполнить с помощью метода главных компонент. Используя только простые измерения трафика на каналах связи, мы исследуем аномалии объёма и показываем, что метод позволяет: (1) точно обнаруживать возникновение аномалии объёма; (2) правильно идентифицировать соответствующий поток между источником и назначением (origin-destination, OD), являющийся источником аномалии; и (3) точно оценивать объём трафика, относящегося к аномальному потоку OD. Мы оцениваем способность метода диагностировать (то есть обнаруживать, идентифицировать и количественно оценивать) существующие и искусственно внедрённые аномалии объёма в реальном трафике двух магистральных сетей. Наш метод стабильно диагностирует наиболее крупные аномалии объёма и делает это при очень низкой частоте ложных тревог.