RU2364933C2 - Network traffic analysis system - Google Patents
Network traffic analysis system Download PDFInfo
- Publication number
- RU2364933C2 RU2364933C2 RU2007117104/09A RU2007117104A RU2364933C2 RU 2364933 C2 RU2364933 C2 RU 2364933C2 RU 2007117104/09 A RU2007117104/09 A RU 2007117104/09A RU 2007117104 A RU2007117104 A RU 2007117104A RU 2364933 C2 RU2364933 C2 RU 2364933C2
- Authority
- RU
- Russia
- Prior art keywords
- block
- output
- unit
- input
- key
- Prior art date
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
Предлагаемая система относится к области вычислительной техники и предназначена для определения сетевых атак (Атака - практическая реализация угрозы или попытка ее реализации с использованием той или иной уязвимости [Конеев И.Р., Беляев А.В. Информационная безопасность предприятия. - СПб.: БХВ - Петербург, 2003. - 752 с.: ил. на стр.30]) в информационно-вычислительных сетях и может быть размещена на узлах доступа, устройствах коммутации пакетов, маршрутизаторах сети передачи данных.The proposed system belongs to the field of computer technology and is designed to determine network attacks (Attack - the practical implementation of a threat or an attempt to implement it using one or another vulnerability [Koneev I.R., Belyaev A.V. Information security of an enterprise. - SPb .: BHV - Petersburg, 2003. - 752 pp., Ill. On p. 30]) in information and computer networks and can be placed on access nodes, packet switching devices, and data network routers.
Известно "Устройство мониторинга безопасности автоматизированных систем" по патенту № 2270478, класс G06F 17/40 (G06F 12/14), 26.07.2004. В указанном изобретении описано устройство, содержащее делитель частоты, приемный блок памяти, вычитающий счетчик, первый, второй, третий, четвертый опорные блоки памяти, первый, второй, третий блоки дешифрации, первый, второй, третий, четвертый и пятый счетчики, первый, второй, третий элементы И, первый, второй, третий и четвертый блоки приема адреса, первый, второй блоки сравнения, первый, второй дешифраторы, регистр и блок индикации. Это устройство предназначено для мониторинга безопасности автоматизированных систем и оперативной идентификации применяемого в цифровых системах связи и, в частности, в сети передачи данных типа «Internet» семейства коммуникационных протоколов TCP/IP.It is known "Device for monitoring the security of automated systems" according to patent No. 2270478, class G06F 17/40 (G06F 12/14), 07.26.2004. This invention describes a device comprising a frequency divider, a receiving memory unit, a subtracting counter, first, second, third, fourth reference memory blocks, first, second, third decryption units, first, second, third, fourth and fifth counters, first, second , the third elements And, the first, second, third and fourth blocks for receiving the address, the first, second blocks of comparison, the first, second decoders, register and display unit. This device is designed to monitor the security of automated systems and the operational identification used in digital communication systems and, in particular, in a data transmission network of the Internet type of the TCP / IP communication protocol family.
Данное устройство имеет ограничение, связанное с использованием сигнатурного метода обнаружения атак и как следствие - распознавание только известных типов атак, а также способность работы лишь со стеком протоколов TCP/IP.This device has a restriction associated with the use of the signature method of attack detection and, as a result, recognition of only known types of attacks, as well as the ability to work only with the TCP / IP protocol stack.
Наиболее близким по своей технической сущности к заявленной системе является изобретение "Способ и устройство для прогнозирования трафика в системе связи" - патент № 2258316, класс H04L 12/56, 25.04.2003, которое решает задачу прогнозирования сетевого трафика.The closest in technical essence to the claimed system is the invention "Method and device for traffic prediction in a communication system" - patent No. 2258316, class H04L 12/56, 04.25.2003, which solves the problem of forecasting network traffic.
Известное устройство содержит блок фильтрации трафика, состоящий из (i=1…N) прореживающих логических схем (G), (i=1…N) элементов И, (i=1…N-1) элементов ИСКЛЮЧАЮЩЕЕ ИЛИ, (i=1…N-1) счетчиков, блок запуска, выход которого подключен к входам прореживающих логических схем (i=1,2…N), выход "пропускание" первой прореживающей логической схемы подключен к первому и второму входам первого элемента И, кроме того, выход "пропускание" (i=2…N)-й прореживающей логической схемы подключен ко второму входу (i=2…N)-го элемента И, выход каждого i-го элемента И, за исключением N-го, подключен к первым входам последующего элемента И соответственно, также выходы каждого (i=1…N-1)-го элемента И соединены с первым входом (i=1…N-1)-го элемента ИСКЛЮЧАЮЩЕЕ ИЛИ соответственно, кроме того, выходы (i=2…N)-го элемента И подключены ко вторым входам (i=1…N-1)-го элемента ИСКЛЮЧАЮЩЕЕ ИЛИ соответственно, выходы i-го элемента ИСКЛЮЧАЮЩЕЕ ИЛИ являются входом i-го счетчика, вход блока запуска является информационным входом устройств, а также содержит блоки разности В (i=1…N-1), умножители X (i=1…N-1), счетчик D, делитель К, сумматор S, умножитель Т, причем выход блока запуска подключен к входу счетчика D, выход которого подключен к входу делителя К, выход которого соединен со вторым входом умножителя Т, второй выход каждой i-й прореживающей логической схемы кроме N-й подключен к первым входам i=1…N-1 элементов блоков разности В соответственно, вторые выходы 2…N-й прореживающей логической схемы подключены ко вторым входам i=1…N-1-го блоков разности В соответственно, выходы блоков разности В соединены с первыми входами умножителей X, на второй вход которых подключены выходы счетчиков (i=1…N-1), выходы умножителей X (i=1…N-1) соединены с входами (i=1…N-1) сумматора S, выход которого соединен с первым входом умножителя Т, причем информационным входом блока фильтрации трафика является блок запуска, к которому подключается канал связи, транзитно соединенный со вторым информационным выходом блока фильтрации трафика, а первым информационным выходом является выход умножителя Т. Известное устройство также содержит блок расчета автокорреляционной функции, блок расчета параметров авторегрессии, блок фильтра авторегрессии, при этом канал связи подключен к информационному входу блока фильтрации трафика, первому информационному входу блока расчета автокорреляционной функции и второму информационному входу блока фильтра авторегрессии, а первый информационный выход блока фильтрации трафика подключен ко второму входу блока расчета автокорреляционной функции, информационный выход блока расчета автокорреляционной функции соединен с информационным входом блока расчета параметров авторегрессии, а информационный выход блока расчета параметров авторегрессии соединен со вторым информационным входом блока фильтра авторегрессии, выход которого является выходом системы.The known device contains a traffic filtering unit, consisting of (i = 1 ... N) thinning logic circuits (G), (i = 1 ... N) elements AND, (i = 1 ... N-1) elements EXCLUSIVE OR, (i = 1 ... N-1) counters, a start-up block, the output of which is connected to the inputs of thinning logic circuits (i = 1,2 ... N), the output "pass" of the first thinning logic circuit is connected to the first and second inputs of the first element AND, in addition, the output the "transmission" (i = 2 ... N) of the thinning logic circuit is connected to the second input (i = 2 ... N) of the And element, the output of each i-th And element, except for the N-th, connected to the first inputs of the subsequent element AND, respectively, also the outputs of each (i = 1 ... N-1) th element AND are connected to the first input (i = 1 ... N-1) of the element EXCLUSIVE OR, respectively, in addition, the outputs ( i = 2 ... N) th element AND are connected to the second inputs (i = 1 ... N-1) of the th element EXCLUSIVE OR, respectively, the outputs of the i-th element EXCLUSIVE OR are the input of the i-th counter, the input of the start block is an information input devices, and also contains blocks of difference B (i = 1 ... N-1), multipliers X (i = 1 ... N-1), counter D, divider K, adder S, multiplier T, and the output of the start block is connected to the input of the counter D, the output of which is connected to the input of the divider K, the output of which is connected to the second input of the multiplier T, the second output of each i-th thinning logic circuit except the N-th one is connected to the first inputs i = 1 ... N-1 elements of difference blocks B, respectively, the second outputs of the 2nd ... Nth thinning logic circuit are connected to the second inputs i = 1 ... N-1st of the difference blocks B, respectively, the outputs of the difference blocks B are connected to the first inputs of the multipliers X, to the second input of which counter outputs (i = 1 ... N-1), outputs the multipliers X (i = 1 ... N-1) are connected to the inputs (i = 1 ... N-1) of the adder S, the output of which is connected to the first input of the multiplier T, and the information input of the traffic filtering unit is the trigger unit to which the communication channel is connected transiently connected to the second information output of the traffic filtering unit, and the output of the multiplier T is the first information output. The known device also comprises an autocorrelation function calculation unit, an autoregression parameter calculation unit, an autoregression filter unit, and the communication channel It is connected to the information input of the traffic filtering unit, the first information input of the autocorrelation function calculation unit and the second information input of the autoregressive filter unit, and the first information output of the traffic filtering unit is connected to the second input of the autocorrelation function calculation unit, the information output of the autocorrelation function calculation unit is connected to the information input of the unit calculation of autoregression parameters, and the information output of the autoregression parameter calculation block is connected to the second info the radiation input of the autoregressive filter unit, the output of which is the output of the system.
Сущность известного изобретения заключается в приеме блоком фильтрации трафика последовательности единиц трафика, ее фильтрации прореживающими логическими схемами в соответствии с установленными параметрами прореживания, определении оценки распределения единиц трафика по частоте появления путем одновременных вычислений оценок частоты появления в нескольких диапазонах значений. Дополнительно производится оценивание математического ожидания времени поступления единиц трафика путем одновременного вычитания значений единиц трафика соседних диапазонов с последующим умножением результатов на относительные частоты появления соответствующих распределений единиц трафика. Затем в блоке расчета автокорреляционной функции на основе полученного результата рассчитывается автокорреляционная функция случайного процесса, характеризующего время поступления единиц трафика. В блоке расчета параметров авторегрессии осуществляется расчет весовых коэффициентов фильтра, на основании которых в блоке фильтра авторегрессии осуществляется прогнозирование времени поступления к+1,2…n единицы трафика. Таким образом, осуществляется прогнозирование величин частоты поступления единиц трафика или времени между приходом отдельных его единиц.The essence of the known invention consists in the reception by the traffic filtering unit of a sequence of traffic units, its filtering by decimating logic circuits in accordance with the established decimation parameters, determining an estimate of the distribution of traffic units by occurrence frequency by simultaneously computing estimates of the occurrence frequency in several ranges of values. Additionally, the mathematical expectation of the arrival time of traffic units is estimated by simultaneously subtracting the values of the traffic units of neighboring ranges with the subsequent multiplication of the results by the relative frequencies of occurrence of the corresponding distributions of traffic units. Then, in the block for calculating the autocorrelation function, based on the result obtained, the autocorrelation function of the random process characterizing the time of arrival of traffic units is calculated. In the block of calculating the autoregression parameters, the filter weighting coefficients are calculated, based on which, in the block of the autoregression filter, the time of arrival to + 1.2 ... n traffic units is predicted. Thus, the prediction of the values of the frequency of arrival of traffic units or the time between the arrival of its individual units.
Недостатком данного устройства является невозможность использования его для обнаружения атак в информационно-вычислительных сетях, так как оно не способно различить атаки в информационно-вычислительных сетях, то есть имеет ограниченные функциональные возможности.The disadvantage of this device is the inability to use it to detect attacks in information and computer networks, since it is not able to distinguish between attacks in information and computer networks, that is, it has limited functionality.
Задача, решаемая системой, заключается в распознавании атак в информационно-вычислительных сетях, то есть в расширении функциональных возможностей.The task solved by the system is to recognize attacks in information and computer networks, that is, to expand the functionality.
Решение данной задачи заключается в том, что система содержит блок фильтрации трафика, блок расчета автокорреляционной функции, блок расчета параметров авторегрессии, блок фильтра авторегрессии, при этом первый информационный выход блока фильтрации трафика подключен к первому информационному входу блока расчета автокорреляционной функции, информационный выход блока расчета автокорреляционной функции соединен с информационным входом блока расчета параметров авторегрессии, а информационный выход блока расчета параметров авторегрессии соединен с первым информационным входом блока фильтра авторегрессии, а также содержит четыре ключа, счетчик, блок расчета коэффициента корреляции, блок принятия решения, блок управления ключами, причем к информационным входам первого ключа подключены канал связи и информационный выход блока фильтра авторегрессии, а первый информационный выход блока фильтрации трафика подключен ко входу второго ключа и первому входу четвертого ключа, а выход второго ключа соединен с первым входом блока расчета автокорреляционной функции, при этом второй информационный выход блока фильтрации трафика через счетчик подключен к управляющему входу блока управления ключами, управляющему входу третьего ключа, а информационный выход третьего ключа соединен со вторым информационным входом блока расчета автокорреляционной функции и вторым информационным входом блока фильтра авторегрессии, выход первого ключа соединен с первым информационным входом третьего ключа, блоком управления ключами и вторым информационным входом четвертого ключа, выходы которого связаны с блоком расчета коэффициентов корреляции, а информационный выход блока расчета коэффициентов корреляции соединен с информационным входом блока принятия решения, выходы которого являются выходами системы, выход блока фильтра авторегрессии соединен со вторым информационным входом третьего ключа, причем выход блока управления ключами соединен с управляющими входами первого, второго и четвертого ключей.The solution to this problem is that the system contains a traffic filtering unit, an autocorrelation function calculation unit, an autoregressive parameter calculation unit, an autoregression filter unit, while the first information output of the traffic filtering unit is connected to the first information input of the autocorrelation function calculation unit, the information output of the calculation unit the autocorrelation function is connected to the information input of the autoregression parameter calculation unit, and the information output of the autoregress parameter calculation unit This is connected to the first information input of the autoregressive filter unit, and also contains four keys, a counter, a correlation coefficient calculation unit, a decision unit, a key management unit, and the communication channel and the information output of the autoregression filter unit are connected to the information inputs of the first key, and the first information the output of the traffic filtering unit is connected to the input of the second key and the first input of the fourth key, and the output of the second key is connected to the first input of the unit for calculating the autocorrelation function, while the information output of the traffic filtering unit through the counter is connected to the control input of the key management unit, the control input of the third key, and the information output of the third key is connected to the second information input of the autocorrelation function calculation unit and the second information input of the autoregression filter unit, the output of the first key is connected to the first information the input of the third key, the key management unit and the second information input of the fourth key, the outputs of which are connected with the coefficient calculation unit correlation factors, and the information output of the correlation coefficient calculation unit is connected to the information input of the decision unit, the outputs of which are system outputs, the output of the autoregressive filter unit is connected to the second information input of the third key, and the output of the key control unit is connected to the control inputs of the first, second and fourth keys.
Работа предлагаемой системы поясняется чертежами, на которых показаны:The work of the proposed system is illustrated by drawings, which show:
фиг.1 - структурная схема системы анализа трафика;figure 1 is a structural diagram of a traffic analysis system;
фиг.2 - структурная схема блока расчета коэффициента корреляции;figure 2 is a structural diagram of a unit for calculating the correlation coefficient;
фиг.3 - структурная схема блока сумматора;figure 3 is a structural diagram of a block adder;
фиг.4 - структурная схема блока корневого сумматора;figure 4 is a structural diagram of a block of the root adder;
фиг.5 - структурная схема блока принятия решения.5 is a block diagram of a decision block.
Где обозначены:Where indicated:
1, 3, 5, 10 - ключи, производящие переключение связей между блоками системы.1, 3, 5, 10 - keys that switch communications between the blocks of the system.
Блок фильтрации трафика 2 осуществляет прием последовательности единиц трафика и производит расчет математического ожидания времени поступления единиц трафика путем одновременного вычитания значений единиц трафика соседних диапазонов с последующим умножением результатов на относительные частоты появления соответствующих распределений единиц трафика.Traffic filtering unit 2 receives a sequence of traffic units and calculates the mathematical expectation of the arrival time of traffic units by simultaneously subtracting the values of traffic units from neighboring ranges, followed by multiplying the results by the relative frequencies of occurrence of the corresponding distributions of traffic units.
Счетчик 4 осуществляет подсчет количества поступивших единиц трафика и после прихода сотой единицы выдает логическую единицу, которая является управляющей командой для включения блока управления ключами и третьего ключа.
Блок расчета автокорреляционной функции 6 производит вычисление по формулеThe calculation unit of the autocorrelation function 6 performs the calculation according to the formula
где xt - значение времени прихода текущей единицы трафика;where x t is the value of the arrival time of the current unit of traffic;
xt-k - значение времени прихода единицы трафика, сдвинутой на k интервалов назад;x tk is the value of the arrival time of a unit of traffic shifted backward by k intervals;
Блок расчета параметров авторегрессии 7 предназначен для расчета весовых коэффициентов фильтра авторегрессии по формуламThe unit for calculating the autoregressive parameters 7 is intended for calculating the weight coefficients of the autoregressive filter according to the formulas
или 
Здесь r1…rp-1 - коэффициенты нормированной автокорреляционной функции.Here r 1 ... r p-1 are the coefficients of the normalized autocorrelation function.
Решение системы линейных уравнений позволяет вычислить коэффициенты авторегрессии φ1…φp.The solution of a system of linear equations allows us to calculate the autoregression coefficients φ 1 ... φ p .
Блок фильтра авторегрессии 8 предназначен для получения прогнозной оценки времени прихода очередной единицы трафика. Это становится возможным после определения характера зависимости данной величины от своих предыдущих значений. Данная зависимость определяется как авторегрессионый процесс и представляет собой следующее линейное разностное уравнение с комплексными коэффициентамиThe autoregressive filter block 8 is designed to obtain a predictive estimate of the arrival time of the next traffic unit. This becomes possible after determining the nature of the dependence of a given quantity on its previous values. This dependence is defined as an autoregressive process and represents the following linear difference equation with complex coefficients
где xt - последовательность на выходе фильтра, в рассматриваемом примере данная величина представляет собой значение времени прихода текущей единицы трафика;where x t is the sequence at the output of the filter, in this example, this value represents the value of the arrival time of the current unit of traffic;
φ1; φ2; φp - значения весовых коэффициентов фильтра авторегрессии порядка p;φ 1 ; φ 2 ; φ p are the values of the weight coefficients of the autoregressive filter of order p;
хt-p - значения времени прихода единицы трафика, сдвинутой на р интервалов назад.x tp - values of the time of arrival of a traffic unit shifted backward by p intervals.
Прогноз осуществляется следующим образом: пусть на фильтр авторегрессии поступает значение времени прихода единицы трафика хt. Переменная xt проходит линии задержки цифрового фильтра и умножается на коэффициенты авторегрессии φ1, φр, где р=2, значения которых поступили с блока расчета параметров авторегрессии. Результаты произведения суммируются, и конечное значение хt+1 поступает на выход фильтра авторегрессии. Переменная хt+1 представляет собой прогноз времени поступления k=1,2,…n единиц трафика.The forecast is carried out as follows: let the value of the arrival time of the traffic unit x t arrive at the autoregression filter. The variable x t passes the delay line of the digital filter and is multiplied by the autoregression coefficients φ 1 , φ p , where p = 2, the values of which came from the unit for calculating the autoregression parameters. The results of the product are summed, and the final value x t + 1 goes to the output of the autoregressive filter. The variable x t + 1 is a forecast of the arrival time k = 1,2, ... n traffic units.
Блок управления ключами 9 подает управляющую команду на первый, второй и четвертый ключи с частотой, вдвое превышающей частоту поступления единиц трафика. Необходимость в удвоении частоты возникает для решения задачи синхронизации, а именно - устройству требуется за один интервал поступления единиц трафика рассчитать реальный образ за первый полутакт и эталонный образ за второй полутакт. Данный блок может быть реализован на преобразователе частоты с электронным ключом (переключателем) [А.А.Бокуняев, Н.М.Борисов, Р.Г.Варламов и др. Под ред. Н.Н.Чистякова. - М.: Радио и связь, 1990. - 624 с.: ил.].The key management unit 9 provides a control command to the first, second and fourth keys with a frequency twice as high as the frequency of arrival of traffic units. The need for frequency doubling arises to solve the synchronization problem, namely, the device needs to calculate the real image for the first half-cycle and the reference image for the second half-cycle for one interval of the arrival of traffic units. This unit can be implemented on a frequency converter with an electronic key (switch) [A.A. Bokunyaev, N.M. Borisov, R.G. Varlamov and others. Ed. N.N. Chistyakova. - M .: Radio and communications, 1990. - 624 p.: Ill.].
Блок расчета коэффициента корреляции 11, осуществляет расчет коэффициента корреляции Пирсона в соответствии с формулойThe unit for calculating the correlation coefficient 11, calculates the Pearson correlation coefficient in accordance with the formula
где xi - значения, принимаемые в выборке X; 
Таким образом, значения x представляют собой эталонное значение образа, а y - значения отсчетов, поступающих с информационного входа системы. Данный коэффициент корреляции позволяет оценить степень схожести эталонного и реального образов. Выходом данного блока является числовое значение коэффициента корреляции, которое поступает на вход блока принятия решения.Thus, the x values represent the reference value of the image, and y the values of the samples coming from the information input of the system. This correlation coefficient allows us to assess the degree of similarity between the reference and real images. The output of this block is the numerical value of the correlation coefficient, which is input to the decision block.
Блок расчета коэффициента корреляции содержит блок сумматора 11-1, блок корневого сумматора 11-2 и делитель 11-3, при этом входы блока сумматора 11-1 и блока корневого сумматора 11-2 объединены и являются входами блока расчета коэффициента корреляции, а выходы блока сумматора 11-1 и блока корневого сумматора 11-2 связаны с входами делителя 11-2, выход которого является выходом данного блока (фиг.2).The correlation coefficient calculation block comprises an adder block 11-1, a root adder block 11-2 and a divider 11-3, while the inputs of the adder block 11-1 and the root adder block 11-2 are combined and are inputs of the correlation coefficient calculation block, and the outputs of the block the adder 11-1 and the block of the root adder 11-2 are connected to the inputs of the divider 11-2, the output of which is the output of this block (figure 2).
Блок сумматора содержит два вычитателя 11-1-1 и 11-1-2, умноженитель 11-1-3 и сумматор произведения 11-1-4, при этом два входа первого вычитателя 11-1-1 два входа второго вычитателя 11-1-2 являются входами данного блока, причем выходы первого и второго вычитателей 11-1-1 и 11-1-2 соединены с умножителем 11-1-3, выход которого подключен к сумматору произведения 11-1-4, выход которого является выходом данного блока (фиг.3).The adder block contains two subtractors 11-1-1 and 11-1-2, a multiplier 11-1-3 and a product adder 11-1-4, while two inputs of the first subtractor 11-1-1 are two inputs of the second subtractor 11-1 -2 are the inputs of this block, and the outputs of the first and second subtractors 11-1-1 and 11-1-2 are connected to the multiplier 11-1-3, the output of which is connected to the adder of the product 11-1-4, the output of which is the output of this block (figure 3).
Блок корневого сумматора содержит два вычитателя 11-2-1 и 11-2-2, два квадратора 11-2-3 и 11-2-4, два блока суммы квадратов 11-2-5 и 11-2-6, умножитель 11-2-7 и блок извлечения квадратного корня 11-2-8, при этом первый и второй входы блока корневого сумматора, а также третий и четвертый входы блока корневого сумматора подключены к первому и второму блоку разности 11-2-1 и 11-2-2 соответственно, и являются входами данного блока, а выходы первого блока разности 11-2-1 через квадратор 11-2-3 и блок суммы квадратов 11-2-5 подключен к первому входу умножителя 11-2-7, выходы второго блока разности 11-2-2 через квадратор 11-2-3 и блок суммы квадратов 11-2-6 подключен ко второму входу умножителя 11-2-7, выход умножителя соединен с входом блока извлечения квадратного корня 11-2-8, выход которого является выходом данного блока (фиг.4).The root adder block contains two subtractors 11-2-1 and 11-2-2, two squares 11-2-3 and 11-2-4, two blocks of the sum of squares 11-2-5 and 11-2-6, the multiplier 11 -2-7 and the square root block 11-2-8, while the first and second inputs of the root adder block, as well as the third and fourth inputs of the root adder block, are connected to the first and second difference blocks 11-2-1 and 11-2 -2, respectively, are the inputs of this block, and the outputs of the first block of difference 11-2-1 through the square 11-2-3 and the block of the sum of squares 11-2-5 are connected to the first input of the multiplier 11-2-7, the outputs of the second block the difference 11-2-2 through the squared 11-2-3 and the block of the sum of squares 11-2-6 is connected to the second input of the multiplier 11-2-7, the output of the multiplier is connected to the input of the square root block 11-2-8, the output of which is the output of this block (figure 4).
Блок принятия решения 12 состоит из четырех блоков сравнения 12-1, 12-2, 12-3 и 12-4, при этом на вход первого блока сравнения 12-1 поступает значение с блока расчета коэффициента корреляции. В нем осуществляется сравнение входного значения с константой 0,5. Если значение больше 0,5, то значение передается на блок сравнения с константой 0,7 12-2. При превышении значения 0,7 принимается решение о сильной корреляции, либо о средней - значения в интервале от 0,5 до 0,7. В случае, если значение меньше 0,5, то оно передается на блок сравнения с константой 0,13 - 12-3. Если значение меньше 0,13, то принимается решение о очень слабой корреляции, если больше, то значение передается на блок сравнения с константой 0,3 - 12-4. При превышении значения 0,3 принимается решение об умеренной корреляции, в противном случае - о слабой (фиг.5).The decision block 12 consists of four comparison blocks 12-1, 12-2, 12-3 and 12-4, while the value from the block for calculating the correlation coefficient is input to the first block of comparison 12-1. It compares the input value with a constant of 0.5. If the value is greater than 0.5, then the value is transmitted to the comparison unit with a constant of 0.7 12-2. If the value of 0.7 is exceeded, a decision is made on strong correlation, or on the average - values in the range from 0.5 to 0.7. If the value is less than 0.5, then it is transmitted to the comparison unit with a constant of 0.13 - 12-3. If the value is less than 0.13, then a decision is made about a very weak correlation, if more, then the value is transmitted to the comparison unit with a constant of 0.3 - 12-4. When exceeding the value of 0.3, a decision is made on moderate correlation, otherwise - on a weak correlation (Fig. 5).
В качестве математической модели используется модель авторегрессии Бокса-Дженкинса, которая представляет собой фильтр авторегрессии, выражение 3. Таким образом, задача получения математической модели сводится к задаче расчета весовых коэффициентов фильтра авторегрессии. Процесс получения математической модели включает в себя следующие этапы. Расчет математического ожидания времени прихода единиц трафика. Для расчета данного параметра используется "Способ и устройство для прогнозирования трафика в системе связи", патент № 2258316, класс H04L 12/56, 25.04.2003, известное из предшествующего уровня техники.The Box-Jenkins autoregression model, which is an autoregression filter, expression 3, is used as a mathematical model. Thus, the task of obtaining a mathematical model is reduced to the problem of calculating the weight coefficients of the autoregression filter. The process of obtaining a mathematical model includes the following steps. Calculation of the mathematical expectation of the arrival time of traffic units. To calculate this parameter, the "№ class H04L 12/56, 04.25.2003, known from the prior art.
Прореживающие логические схемы и счетчики, лежащие в основе данного устройства, позволяют сформировать вариационный ряд. В простейшем случае вариационный ряд может быть представлен таблицей, первый столбец которой содержит всевозможные значения (варианты) xi генеральной совокупности, а во втором - числа ni, т.е. частоты появления i-го значения.Thinning logic circuits and counters that underlie this device allow the formation of a variation series. In the simplest case, the variation series can be represented by a table, the first column of which contains all possible values (variants) x i of the general population, and in the second - numbers n i , i.e. the frequency of occurrence of the i-th value.
Описание такого ряда, например, приведено в источнике [Я.К.Колде "Практикум по теории вероятностей и математической статистике". - М.: Высшая школа, 1991, с.157]. Пример вариационного ряда представлен в таблице.A description of such a series, for example, is given in the source [J.K. Kolde "Workshop on Probability Theory and Mathematical Statistics". - M .: Higher school, 1991, p.157]. An example of a variation series is presented in the table.
Отношение ni/n является относительной частотой и отражает вес того или иного значения в выборке. Сумма относительных частот равна единице.The ratio n i / n is the relative frequency and reflects the weight of a particular value in the sample. The sum of the relative frequencies is equal to one.
Для расчета математического ожидания, если имеется вариационный ряд, используется следующая формула:To calculate the mathematical expectation, if there is a variational series, the following formula is used:
где n - объем выборки, а m - количество вариантов.where n is the sample size and m is the number of options.
Следующий этап - расчет автокорреляционной функции. Автокорреляционная функция для процесса x(t), представленного в дискретном виде как ряд значений xi, называется неслучайная функция от двух аргументов: xt, хt-k, где хt-k - значение ряда с отставанием в k отсчетов. В силу специфики решаемых задач для расчета автокорреляционной функции использовано выражение (6) для выборки объемом n отсчетов, где 
Для дальнейших расчетов необходимо провести нормировку автокорреляционной функции по формулеFor further calculations, it is necessary to normalize the autocorrelation function by the formula
Авторегрессионые параметры и автокорреляционная последовательность связаны системой линейных уравнений (2). Таким образом, если задана автокорреляционная последовательность, то параметры авторегрессии можно найти, как решение системы линейных уравнений, которые называются уравнениями Юла-Уолкера. Алгоритм и подпрограмма решения уравнений, например, приведены в источнике [С.Л.Марпл. Цифровой спектральный анализ и его приложения: Пер. с англ. - М.: Мир, 1990. - 584 с.]. Количество требуемых для решения системы линейных уравнений вычислительных операций пропорционально величине р2, поэтому на данном этапе необходимо определить, какое количество параметров авторегрессии должно присутствовать в эффективной и экономичной модели процесса. На практике, как правило, используют модель второго порядка, что позволяет получить приемлемое соотношение между точностью расчета и вычислительными затратами. Вследствие этого система уравнений (2) будет иметь видAutoregressive parameters and the autocorrelation sequence are connected by a system of linear equations (2). Thus, if an autocorrelation sequence is specified, then the autoregressive parameters can be found as a solution to a system of linear equations, which are called Yule-Walker equations. The algorithm and the subroutine for solving equations, for example, are given in the source [S.L. Marple. Digital spectral analysis and its applications: Per. from English - M .: Mir, 1990. - 584 p.]. The number of computational operations required to solve the system of linear equations of equations is proportional to p 2 ; therefore, at this stage it is necessary to determine how many autoregression parameters should be present in an effective and economical process model. In practice, as a rule, a second-order model is used, which makes it possible to obtain an acceptable ratio between calculation accuracy and computational costs. As a result, the system of equations (2) will have the form
После того как на интервале наблюдения определены значения параметров модели авторегрессии, становится возможным получение прогнозной оценки времени прихода к+1,2…n единицы трафика. Для получения прогноза используется фильтр авторегрессии второго порядка, так как р=2. Физически эту модель реализует рекурсивный цифровой фильтр порядка р, именуемый БИХ фильтром, т.е. фильтром с бесконечной импульсной характеристикой. Описание такого фильтра, например, приведено в источнике [Густав Олссон, Джангуидо Пиани. Цифровые системы автоматизации и управления. - СПб.: Невский диалект, 2001. - 557 с.].After the values of the parameters of the autoregression model are determined on the observation interval, it becomes possible to obtain a predictive estimate of the time of arrival to + 1.2 ... n traffic units. To obtain the forecast, a second-order autoregression filter is used, since p = 2. Physically, this model implements a recursive digital filter of order p, called the IIR filter, i.e. filter with infinite impulse response. A description of such a filter, for example, is given in the source [Gustav Olsson, Dzhanguido Piani. Digital automation and control systems. - St. Petersburg: Nevsky dialect, 2001. - 557 p.].
Для получения прогнозной оценки времени прихода очередной единицы трафика может использоваться БИХ фильтр, описываемый следующим выражениемTo obtain a predictive estimate of the arrival time of the next traffic unit, an IIR filter can be used, described by the following expression
Процесс функционирования системы включает в себя три этапа.The process of functioning of the system includes three stages.
Первый этап. Производится формирование эталонного профиля нагрузки (формирование образов), то есть осуществляется обучение системы авторегрессии скользящего среднего.First step. The reference load profile is being formed (image formation), that is, the training of the moving average autoregression system is carried out.
Для получения прогнозной оценки времени прихода единиц трафика необходим некоторый интервал времени для набора статистических данных и обучения системы. Интервал времени, в течение которого производится настройка системы, зависит от скорости трафика и должен быть достаточно большим по отношению к скорости самого медленного трафика из возможных. Для качественной настройки авторегрессионой модели необходимо, чтобы интервал наблюдения включал сто и более отсчетов времени прихода единиц трафика. Профиль нагрузки формируется на основе статистической выборки включающей, например, временные интервалы прихода единиц трафика.To obtain a predictive estimate of the time of arrival of traffic units, a certain time interval is required for the collection of statistical data and training of the system. The time interval during which the system is configured depends on the speed of the traffic and should be sufficiently large in relation to the speed of the slowest traffic possible. For a high-quality tuning of the autoregressive model, it is necessary that the observation interval includes one hundred or more counts of the arrival time of traffic units. The load profile is formed on the basis of a statistical sample including, for example, time intervals of arrival of traffic units.
В исходном состоянии после включения питания, единицы трафика (например, поток ячеек данных системы ATM) направляются на вход системы анализа сетевого трафика. Ключи первый, второй, третий и четвертый - в исходном состоянии. Сто отсчетов трафика поступают через первый ключ 1 на блок фильтрации трафика 2, где осуществляется расчет математического ожидания времени их прихода в соответствии с формулой (5), где xi - значения отсчетов единиц трафика, ni - частоты появления i-го значения, n - объем выборки, a m - количество вариантов.In the initial state, after the power is turned on, traffic units (for example, a stream of ATM system data cells) are sent to the input of the network traffic analysis system. The keys are the first, second, third and fourth - in the initial state. One hundred traffic samples come through the first key 1 to the traffic filtering unit 2, where the mathematical expectation of the time of their arrival is calculated in accordance with formula (5), where x i are the values of the traffic units samples, n i is the frequency of occurrence of the i-th value, n - sample size, am - number of options.
Математическое ожидание этих отсчетов с первого информационного выхода блока фильтрации трафика 2 через второй ключ 3 поступает на первый информационный вход блока расчета автокорреляционной функции 6, на второй вход которого через третий ключ 5 поступают текущие значения этих отсчетов с выхода первого ключа 1, одновременно поступающие и на второй информационный вход блока фильтра авторегрессии, - осуществляется процесс обучения системы. Блок расчета автокорреляционной функции вычисляет значение функции автокорреляции в соответствии с формулой (6), где xt-k - значение ряда с отставанием в к отсчетов, хt - значение текущего отсчета. Далее в блоке расчета параметров авторегрессии осуществляется нормирование автокорреляционной функции по формуле (7). Параметры авторегрессии определяют с помощью системы линейных уравнений, которые называются уравнениями Юла-Уолкера. Существует реализация данного непосредственно самого блока расчета параметров авторегрессии на основе цифрового процессора TMS320C [Корнеев В.В., Киселев А.В. Современные микропроцессоры. - М.: Нолидж, 2000. - 320 с.]. После того как на интервале наблюдения определены значения параметров модели авторегрессии, становится возможным получение прогнозной оценки времени прихода к+1,2…n единицы трафика.The mathematical expectation of these samples from the first information output of the traffic filtering unit 2 through the second key 3 goes to the first information input of the calculation unit of the autocorrelation function 6, the second input of which through the third key 5 receives the current values of these samples from the output of the first key 1, simultaneously the second information input of the autoregressive filter unit is the learning process of the system. The autocorrelation function calculation unit calculates the value of the autocorrelation function in accordance with formula (6), where x tk is the value of the series with a lag in k samples, x t is the value of the current sample. Next, in the block for calculating the autoregression parameters, the autocorrelation function is normalized according to formula (7). The autoregressive parameters are determined using a system of linear equations, which are called Yule-Walker equations. There is an implementation of this block directly calculating the autoregressive parameters based on the digital processor TMS320C [Korneev V.V., Kiselev A.V. Modern microprocessors. - M .: Nolidzh, 2000. - 320 p.]. After the values of the parameters of the autoregression model are determined on the observation interval, it becomes possible to obtain a predictive estimate of the time of arrival to + 1.2 ... n traffic units.
Физически эту модель реализует рекурсивный цифровой фильтр порядка р с бесконечной импульсной характеристикой.Physically, this model implements a recursive digital filter of order p with an infinite impulse response.
На втором информационном выходе блока фильтрации трафика 2 установлен счетчик 100 импульсов 4, который срабатывает единожды по приходу сотой единицы трафика (завершение этапа обучения системы авторегрессии скользящего среднего). Его обнуление возможно лишь после выключения питания в системе.At the second information output of the traffic filtering unit 2, a counter 100 of
Значения математического ожидания единиц трафика с первого информационного выхода блока фильтрации трафика 2, а также с выхода первого ключа 1 поступают через четвертый ключ 10 на блок расчета коэффициента корреляции 11, но операции с ними не производятся.The values of the mathematical expectation of traffic units from the first information output of the traffic filtering unit 2, as well as from the output of the first key 1, are transmitted through the fourth key 10 to the unit for calculating the correlation coefficient 11, but no operations are performed with them.
После приема ста отсчетов на выходе блока фильтра авторегрессии 8 появится 100+1 спрогнозированный отсчет единицы трафика, который поступает на второй информационный вход первого ключа 1.After receiving one hundred samples at the output of the autoregressive filter unit 8, a 100 + 1 predicted sample of the traffic unit will appear, which is fed to the second information input of the first key 1.
Так как схема содержит счетчик 100 импульсов 4, то после прихода сотого отсчета трафика он выдаст управляющую команду на третий ключ 5, а также команду включения на блок управления ключами 9. Третий ключ 5 срабатывает единожды после получения логической единицы от счетчика 4. Блок управления ключами 9 представляет собой электронный ключ, работающий на частоте вдвое большей, чем частота входящих импульсов, срабатывая дважды за один временной промежуток. Это необходимо для того, чтобы за первый полутакт осуществить расчет параметров эталонного образа, а за второй полутакт рассчитать параметры реального образа. Блок управления ключами 9 подает управляющую команду на первый 1, второй 3 и четвертый 10 ключи.Since the circuit contains a counter of 100
Второй этап. Первый полутакт. По окончании процесса обучения системы спрогнозированная сто первая единица трафика находится на втором информационном входе первого ключа 1. Ключи первый 1, второй 3 и четвертый 10 - в исходном состоянии. Ключ третий 5 - переключен.Second phase. The first half-stroke. At the end of the system learning process, the predicted one hundred and first unit of traffic is located on the second information input of the first key 1. The
Сто первый отсчет трафика поступает через первый ключ 1 на информационный вход блока фильтрации трафика 2, с первого информационного выхода которого значение математического ожидания времени прихода сто первой единицы трафика поступает через первый информационный вход четвертого ключа 10 на вход блока расчета коэффициента корреляции 11. Также, сто первый отсчет трафика с выхода первого ключа 1 через второй информационный вход четвертого ключа поступает в блок расчета коэффициента корреляции 11.One hundred and first traffic counting comes through the first key 1 to the information input of the traffic filtering unit 2, from the first information output of which the expectation value of the arrival time of the one hundred and first traffic unit goes through the first information input of the fourth key 10 to the input of the correlation coefficient calculation unit 11. Also, one hundred the first traffic sample from the output of the first key 1 through the second information input of the fourth key enters the block for calculating the correlation coefficient 11.
Таким образом, время прихода реального сто первого отсчета трафика и значение его математического ожидания записываются в блок расчета коэффициента корреляции. Эти параметры составляют реальный образ источника нагрузки.Thus, the arrival time of the real one hundred and first traffic count and the value of its mathematical expectation are recorded in the block for calculating the correlation coefficient. These parameters constitute a real image of the load source.
Третий этап. Второй полутакт. Ключи первый 1, второй 3 и четвертый 10 -переключены. Со второго входа первого ключа 1 спрогнозированное значение времени прихода сто первого отсчета поступает на блок фильтрации трафика 2 и одновременно через второй информационный вход четвертого ключа 10 записывается в блок расчета коэффициента корреляции 11. Математическое ожидание времени прихода этой единицы трафика через второй ключ 3 поступает на первый информационный вход блока расчета автокорреляционной функции 6 и одновременно через четвертый ключ 10 в блок расчета коэффициента корреляции 11. Так как на втором информационном входе блока расчета автокорреляционной функции 6 находилось спрогнозированное значение сто первого отсчета то в момент появления на первом информационном входе этого блока математического ожидания спрогнозированного сто первого отсчета, осуществляется процесс прогнозирования сто второго отсчета. С выхода блока фильтра авторегрессии 8 спрогнозированное значение сто второго отсчета поступит на второй информационный вход первого ключа 1, на второй информационный вход блока расчета автокорреляционной функции 6 и на второй информационный вход блока фильтра авторегрессии. Таким образом, после второго полутакта в блоке расчета коэффициента корреляции 11 окажутся записанные на первом полутакте параметры реального и полученные на втором полутакте параметры эталонного трафика. Блок расчета коэффициента корреляции 11 выполняет расчет в соответствии с формулой (4), где xi соответствует xi - значения реального трафика, 
На выход данного блока поступает значение коэффициента корреляции, которое далее предается на блок принятия решения 12, где происходит его сравнение с пороговым значением блоков сравнения и принимается решение о соответствии эталонного и реального профиля. Возможны следующие варианты: Сильная корреляция; Средняя; Умеренная; Слабая; Очень слабая.The output of this block receives the value of the correlation coefficient, which is then transferred to the decision block 12, where it is compared with the threshold value of the comparison blocks and a decision is made on the conformity of the reference and real profile. The following options are possible: Strong correlation; Medium Moderate Weak Very weak.
Сильная корреляция говорит о высокой степени схожести образов реального и эталонного трафика - атаки нет, Среднее значение говорит о малой вероятности атаки, умеренная - о возможной атаке, слабая - о вероятной атаке, а очень слабая может говорить об атаке или смене легального поведения источника нагрузки.A strong correlation indicates a high degree of similarity between the images of real and reference traffic - there is no attack, the average value indicates a low probability of an attack, moderate indicates a possible attack, a weak one indicates a probable attack, and a very weak one indicates an attack or a change in the legal behavior of the load source.
Достоинством предложенной схемы является использование стандартных схем и алгоритмов, используемых для прореживания трафика в узлах коммутации. Однако некоторая доработка данных схем позволяет получить новое качество, а именно статистический анализатор трафика, который позволяет определить нетипичное поведения источника нагрузки, которое может быть результатом хакерской атаки.The advantage of the proposed scheme is the use of standard schemes and algorithms used to thin out traffic in switching nodes. However, some refinement of these schemes allows you to get a new quality, namely a statistical traffic analyzer, which allows you to determine the atypical behavior of the load source, which may be the result of a hacker attack.
Благодаря новой совокупности существенных признаков за счет введения новых элементов и связей между ними, появляется возможность осуществлять обнаружение атак в информационно-вычислительных сетях. Новые элементы позволяют построить образы эталонного и реального трафика, определить коэффициент коррелированности этих образов, а также принять решение о степени их линейной зависимости.Thanks to the new set of essential features due to the introduction of new elements and the relationships between them, it becomes possible to detect attacks in information and computer networks. New elements allow you to build images of the reference and real traffic, determine the correlation coefficient of these images, and also decide on the degree of their linear dependence.
Проведенный заявителем анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностями признаков, тождественным всем признакам заявленной системы анализа сетевого трафика, отсутствуют. Следовательно, заявленное изобретение соответствует условию патентоспособности "Новизна".The analysis of the prior art by the applicant made it possible to establish that there are no analogues that are characterized by sets of features identical to all the features of the claimed network traffic analysis system. Therefore, the claimed invention meets the condition of patentability "Novelty."
Результаты поиска известных решений в данной и смежной областях техники с целью выявления признаков, совпадающих с отличительными от прототипа признаками заявленного изобретения, показали, что оно не следует явным образом из уровня техники. Из определенного заявителем уровня техники не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности "Изобретательский уровень".Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed invention from the prototype have shown that it does not follow explicitly from the prior art. From the prior art determined by the applicant, the influence of the provided by the essential features of the claimed invention on the achievement of the specified technical result is not known. Therefore, the claimed invention meets the condition of patentability "Inventive step".
Предлагаемая система может быть установлена на коммутационном оборудовании в качестве средства защиты от атак в информационно-вычислительных сетях.The proposed system can be installed on switching equipment as a means of protection against attacks in information and computer networks.
Claims (5)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2007117104/09A RU2364933C2 (en) | 2007-05-07 | 2007-05-07 | Network traffic analysis system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2007117104/09A RU2364933C2 (en) | 2007-05-07 | 2007-05-07 | Network traffic analysis system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| RU2007117104A RU2007117104A (en) | 2008-11-20 |
| RU2364933C2 true RU2364933C2 (en) | 2009-08-20 |
Family
ID=40240838
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2007117104/09A RU2364933C2 (en) | 2007-05-07 | 2007-05-07 | Network traffic analysis system |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2364933C2 (en) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2012166641A1 (en) * | 2011-05-27 | 2012-12-06 | Vpisystems Inc. | Methods and systems for network traffic forecast and analysis |
| RU2480937C2 (en) * | 2011-04-19 | 2013-04-27 | Закрытое акционерное общество "Лаборатория Касперского" | System and method of reducing false responses when detecting network attack |
| RU2546236C2 (en) * | 2013-08-05 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of analysing information stream and determining network security based on adaptive prediction and apparatus therefor |
-
2007
- 2007-05-07 RU RU2007117104/09A patent/RU2364933C2/en not_active IP Right Cessation
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2480937C2 (en) * | 2011-04-19 | 2013-04-27 | Закрытое акционерное общество "Лаборатория Касперского" | System and method of reducing false responses when detecting network attack |
| WO2012166641A1 (en) * | 2011-05-27 | 2012-12-06 | Vpisystems Inc. | Methods and systems for network traffic forecast and analysis |
| RU2546236C2 (en) * | 2013-08-05 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of analysing information stream and determining network security based on adaptive prediction and apparatus therefor |
Also Published As
| Publication number | Publication date |
|---|---|
| RU2007117104A (en) | 2008-11-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Tune et al. | Internet traffic matrices: A primer | |
| Lu et al. | Network anomaly detection based on wavelet analysis | |
| Viinikka et al. | Processing intrusion detection alert aggregates with time series modeling | |
| Blazek et al. | A novel approach to detection of “denial–of–service” attacks via adaptive sequential and batch–sequential change–point detection methods | |
| Kallitsis et al. | AMON: An open source architecture for online monitoring, statistical analysis, and forensics of multi-gigabit streams | |
| RU2364933C2 (en) | Network traffic analysis system | |
| Bahamou et al. | Noise uncertainty analysis of energy detector: Bounded and unbounded approximation relationship | |
| Abaeian et al. | Intrusion detection forecasting using time series for improving cyber defence | |
| Alexopoulos | A comprehensive review of methods for simulation output analysis | |
| CN101917309A (en) | Detection method of denial of service of public service number under soft switching platform | |
| Dalmazo et al. | Predicting traffic in the cloud: a statistical approach | |
| Pour et al. | Stochastic modeling, analysis and investigation of iot-generated internet scanning activities | |
| RU2362272C1 (en) | Method of analysing network traffic | |
| K V et al. | Accurate and reliable detection of DDoS attacks based on ARIMA-SWGARCH model | |
| Ouyang et al. | Predictive bandwidth control for mpeg video: A wavelet approach for self-similar parameters estimation | |
| Amblard et al. | Causal conditioning and instantaneous coupling in causality graphs | |
| Wang et al. | A novel technique of recognising multi-stage attack behaviour | |
| RU2258316C2 (en) | Method and device for predicting traffic in communication network | |
| Fernández-Alcalá et al. | On the Smoothing Estimation Problem for the Intensity of a DSMPP | |
| Yang et al. | Predicting Internet end-to-end delay: A statistical study | |
| McPherson et al. | Detecting low-rate periodic events in internet traffic using renewal theory | |
| Bhatt et al. | Adaptive polling in hierarchical social networks using blackwell dominance | |
| Mao | A timescale decomposition approach to network traffic prediction | |
| Kuhn et al. | Detecting changes in the scale of dependent Gaussian processes: A large deviations approach | |
| Clausen et al. | Asymptotic analysis of the generalized coherence estimate |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20090621 |