PIF-Detector：一种低开销的持续低频流检测方法

《Algorithms》：PIF-Detector: An Accurate Low-Overhead Method for Detecting Persistent and Infrequent Flows

　　

摘要

持续低频（PI）流是指在网络流量中，以低数据包到达率持续时间较长数据包流。准确发现这些流对于揭露隐蔽的网络威胁至关重要，例如高级持续性威胁（APTs）和低速拒绝服务攻击（LDoS）。为此，我们提出一种低开销且准确的方法，称为 PIF-Detector，用于检测持续低频流，该方法将 PI 流的监控和识别功能分离开来。具体而言，我们设计一个由桶数组组成的监控表来存储和监控潜在的 PI 流，以及一个由紧凑位向量组成的标识器来识别潜在的 PI 流。对于监控表，我们设计一种相邻桶迁移策略以提高桶利用率，从而增强 PI 流检测的准确性。对于标识器，我们使用紧凑位向量跟踪连续时间窗口内的流到达情况，以低内存开销检测 PI 流。最后，我们对 PIF-Detector 的假阳性率和假阴性率进行了理论推导，并通过三个数据集上的实验评估了其性能。实验结果表明，PIF-Detector 实现了高达 99.57% 的精确率和 99.93% 的召回率，在相同内存开销下优于当前最先进方案。