基于TCP报文数量比值分布的网络异常快速预警

对CERNET江苏省省网主干的TCP标志报文的数量进行了统计，首先分析了一般情况下TCP各种标志报文数量的比值分布，在此基础上进行了对比，发现各种标志报文数量的统计比例在一般情况下(网络上无攻击等异常的发生)是相对稳定的，随后表明以这个相对稳定的比例作为一个指标，并快速衡量出以某种标志报文数量突变为现象的扫描攻击的可能性。最后以某一时间CERNET江苏省网主干TCP标志报文的实例对比了正常与异常的情况，并分析了异常情况的具体原因。