网络异常检测种类

1. “宏观网络流量”的定义是什么有哪些异常检测方法

一种互联网宏观流量异常检测方法(2007-11-7 10:37) 摘要：网络流量异常指网络中流量不规则地显着变化。网络短暂拥塞、分布式拒绝服务攻击、大范围扫描等本地事件或者网络路由异常等全局事件都能够引起网络的异常。网络异常的检测和分析对于网络安全应急响应部门非常重要，但是宏观流量异常检测需要从大量高维的富含噪声的数据中提取和解释异常模式，因此变得很困难。文章提出一种分析网络异常的通用方法，该方法运用主成分分析手段将高维空间划分为对应正常和异常网络行为的子空间，并将流量向量影射在正常子空间中，使用基于距离的度量来检测宏观网络流量异常事件。公共互联网正在社会生活的各个领域发挥着越来越重要的作用，与此同时，由互联网的开放性和应用系统的复杂性所带来的安全风险也随之增多。2006年，国家计算机网络应急技术处理协调中心(CNCERT/CC)共接收26 476件非扫描类网络安全事件报告，与2005年相比增加2倍，超过2003—2005年3年的总和。2006年，CNCERT/CC利用部署的863-917网络安全监测平台，抽样监测发现中国大陆地区约4.5万个IP地址的主机被植入木马，与2005年同期相比增加1倍；约有1千多万个IP地址的主机被植入僵尸程序，被境外约1.6万个主机进行控制。黑客利用木马、僵尸网络等技术操纵数万甚至上百万台被入侵的计算机，释放恶意代码、发送垃圾邮件，并实施分布式拒绝服务攻击，这对包括骨干网在内的整个互联网网络带来严重的威胁。由数万台机器同时发起的分布式拒绝服务攻击能够在短时间内耗尽城域网甚至骨干网的带宽，从而造成局部的互联网崩溃。由于政府、金融、证券、能源、海关等重要信息系统的诸多业务依赖互联网开展，互联网骨干网络的崩溃不仅会带来巨额的商业损失，还会严重威胁国家安全。据不完全统计，2001年7月19日爆发的红色代码蠕虫病毒造成的损失估计超过20亿美元；2001年9月18日爆发的Nimda蠕虫病毒造成的经济损失超过26亿美元；2003年1月爆发的SQL Slammer蠕虫病毒造成经济损失超过12亿美元。针对目前互联网宏观网络安全需求，本文研究并提出一种宏观网络流量异常检测方法，能够在骨干网络层面对流量异常进行分析，在大规模安全事件爆发时进行快速有效的监测，从而为网络防御赢得时间。1 网络流量异常检测研究现状在骨干网络层面进行宏观网络流量异常检测时，巨大流量的实时处理和未知攻击的检测给传统入侵检测技术带来了很大的挑战。在流量异常检测方面，国内外的学术机构和企业不断探讨并提出了多种检测方法[1]。经典的流量监测方法是基于阈值基线的检测方法，这种方法通过对历史数据的分析建立正常的参考基线范围，一旦超出此范围就判断为异常，它的特点是简单、计算复杂度小，适用于实时检测，然而它作为一种实用的检测手段时，需要结合网络流量的特点进行修正和改进。另一种常用的方法是基于统计的检测，如一般似然比(GLR)检测方法[2]，它考虑两个相邻的时间窗口以及由这两个窗口构成的合并窗口，每个窗口都用自回归模型拟合，并计算各窗口序列残差的联合似然比，然后与某个预先设定的阈值T 进行比较，当超过阈值T 时，则窗口边界被认定为异常点。这种检测方法对于流量的突变检测比较有效，但是由于它的阈值不是自动选取，并且当异常持续长度超过窗口长度时，该方法将出现部分失效。统计学模型在流量异常检测中具有广阔的研究前景，不同的统计学建模方式能够产生不同的检测方法。最近有许多学者研究了基于变换域进行流量异常检测的方法[3]，基于变换域的方法通常将时域的流量信号变换到频域或者小波域，然后依据变换后的空间特征进行异常监测。P. Barford等人[4]将小波分析理论运用于流量异常检测，并给出了基于其理论的4类异常结果，但该方法的计算过于复杂，不适于在高速骨干网上进行实时检测。Lakhina等人[5-6]利用主成分分析方法(PCA)，将源和目标之间的数据流高维结构空间进行PCA分解，归结到3个主成分上，以3个新的复合变量来重构网络流的特征，并以此发展出一套检测方法。此外还有一些其他的监测方法[7]，例如基于Markov模型的网络状态转换概率检测方法，将每种类型的事件定义为系统状态，通过过程转换模型来描述所预测的正常的网络特征，当到来的流量特征与期望特征产生偏差时进行报警。又如LERAD检测[8]，它是基于网络安全特征的检测，这种方法通过学习得到流量属性之间的正常的关联规则，然后建立正常的规则集，在实际检测中对流量进行规则匹配，对违反规则的流量进行告警。这种方法能够对发生异常的地址进行定位，并对异常的程度进行量化。但学习需要大量正常模式下的纯净数据，这在实际的网络中并不容易实现。随着宏观网络异常流量检测成为网络安全的技术热点，一些厂商纷纷推出了电信级的异常流量检测产品，如Arbor公司的Peakflow、GenieNRM公司的GenieNTG 2100、NetScout公司的nGenius等。国外一些研究机构在政府资助下，开始部署宏观网络异常监测的项目，并取得了较好的成绩，如美国研究机构CERT建立了SiLK和AirCERT项目，澳大利亚启动了NMAC流量监测系统等项目。针对宏观网络异常流量监测的需要，CNCERT/CC部署运行863-917网络安全监测平台，采用分布式的架构，能够通过多点对骨干网络实现流量监测，通过分析协议、地址、端口、包长、流量、时序等信息，达到对中国互联网宏观运行状态的监测。本文基于863-917网络安全监测平台获取流量信息，构成监测矩阵，矩阵的行向量由源地址数量、目的地址数量、传输控制协议(TCP)字节数、TCP报文数、数据报协议(UDP)字节数、UDP报文数、其他流量字节数、其他流量报文书、WEB流量字节数、WEB流量报文数、TOP10个源IP占总字节比例、TOP10个源IP占总报文数比例、TOP10个目的IP占总字节数比例、TOP10个目的IP占总报文数比例14个部分组成，系统每5分钟产生一个行向量，观测窗口为6小时，从而形成了一个72×14的数量矩阵。由于在这14个观测向量之间存在着一定的相关性，这使得利用较少的变量反映原来变量的信息成为可能。本项目采用了主成份分析法对观测数据进行数据降维和特征提取，下面对该算法的工作原理进行介绍。 2 主成分分析技术主成分分析是一种坐标变换的方法，将给定数据集的点映射到一个新轴上面，这些新轴称为主成分。主成分在代数学上是p 个随机变量X 1, X 2……X p 的一系列的线性组合，在几何学中这些现线性组合代表选取一个新的坐标系，它是以X 1,X 2……X p 为坐标轴的原来坐标系旋转得到。新坐标轴代表数据变异性最大的方向，并且提供对于协方差结果的一个较为简单但更精练的刻画。主成分只是依赖于X 1,X 2……X p 的协方差矩阵，它是通过一组变量的几个线性组合来解释这些变量的协方差结构，通常用于高维数据的解释和数据的压缩。通常p 个成分能够完全地再现全系统的变异性，但是大部分的变异性常常能够只用少量k 个主成分就能够说明，在这种情况下，这k 个主成分中所包含的信息和那p 个原变量做包含的几乎一样多，于是可以使用k 个主成分来代替原来p 个初始的变量，并且由对p 个变量的n 次测量结果所组成的原始数据集合，能够被压缩成为对于k 个主成分的n 次测量结果进行分析。运用主成分分析的方法常常能够揭示出一些先前不曾预料的关系，因而能够对于数据给出一些不同寻常的解释。当使用零均值的数据进行处理时，每一个主成分指向了变化最大的方向。主轴以变化量的大小为序，一个主成分捕捉到在一个轴向上最大变化的方向，另一个主成分捕捉到在正交方向上的另一个变化。设随机向量X '=[X 1,X 1……X p ]有协方差矩阵∑,其特征值λ1≥λ2……λp≥0。考虑线性组合：Y1 =a 1 'X =a 11X 1+a 12X 2……a 1pX pY2 =a 2 'X =a 21X 1+a 22X 2……a 2pX p……Yp =a p'X =a p 1X 1+a p 2X 2……a p pX p从而得到：Var (Yi )=a i' ∑a i ,(i =1,2……p )Cov (Yi ,Yk )=a i '∑a k ,(i ,k =1,2……p )主成分就是那些不相关的Y 的线性组合，它们能够使得方差尽可能大。第一主成分是有最大方差的线性组合，也即它能够使得Var (Yi )=a i' ∑a i 最大化。我们只是关注有单位长度的系数向量，因此我们定义：第1主成分＝线性组合a 1'X，在a1'a 1=1时，它能够使得Var (a1 'X )最大；第2主成分＝线性组合a 2 'X，在a2'a 2=1和Cov(a 1 'X,a 2 'X )=0时，它能够使得Var (a 2 'X )最大；第i 个主成分＝线性组合a i'X，在a1'a 1=1和Cov(a i'X,a k'X )=0(k<i )时，它能够使得Var (a i'X )最大。由此可知主成分都是不相关的，它们的方差等于协方差矩阵的特征值。总方差中属于第k个主成分(被第k个主成分所解释)的比例为：如果总方差相当大的部分归属于第1个、第2个或者前几个成分，而p较大的时候，那么前几个主成分就能够取代原来的p个变量来对于原有的数据矩阵进行解释，而且信息损失不多。在本项目中，对于一个包含14个特征的矩阵进行主成分分析可知，特征的最大变化基本上能够被2到3个主成分捕捉到，这种主成分变化曲线的陡降特性构成了划分正常子空间和异常子空间的基础。3 异常检测算法本项目的异常流量检测过程分为3个阶段：建模阶段、检测阶段和评估阶段。下面对每个阶段的算法进行详细的介绍。3.1 建模阶段本项目采用滑动时间窗口建模，将当前时刻前的72个样本作为建模空间，这72个样本的数据构成了一个数据矩阵X。在试验中，矩阵的行向量由14个元素构成。主成份分为正常主成分和异常主成份，它们分别代表了网络中的正常流量和异常流量，二者的区别主要体现在变化趋势上。正常主成份随时间的变化较为平缓，呈现出明显的周期性；异常主成份随时间的变化幅度较大，呈现出较强的突发性。根据采样数据，判断正常主成分的算法是：依据主成分和采样数据计算出第一主成分变量，求第一主成分变量这72个数值的均值μ1和方差σ1，找出第一主成分变量中偏离均值最大的元素，判断其偏离均值的程度是否超过了3σ1。如果第一主成分变量的最大偏离超过了阈值，取第一主成份为正常主成分，其他主成份均为异常主成分，取主成份转换矩阵U =[L 1]；如果最大偏离未超过阈值，转入判断第下一主成分，最后取得U =[L 1……L i -1]。第一主成份具有较强的周期性，随后的主成份的周期性渐弱，突发性渐强，这也体现了网络中正常流量和异常流量的差别。在得到主成份转换矩阵U后，针对每一个采样数据Sk =xk 1,xk 2……xk p )，将其主成份投影到p维空间进行重建，重建后的向量为：Tk =UU T (Sk -X )T计算该采样数据重建前与重建后向量之间的欧氏距离，称之为残差：dk =||Sk -Tk ||根据采样数据，我们分别计算72次采样数据的残差，然后求其均值μd 和标准差σd 。转换矩阵U、残差均值μd 、残差标准差σd 是我们构造的网络流量模型，也是进行流量异常检测的前提条件。 3.2 检测阶段在通过建模得到网络流量模型后，对于新的观测向量N,(n 1,n 2……np )，采用与建模阶段类似的分析方法，将其中心化：Nd =N -X然后将中心化后的向量投影到p维空间重建，并计算残差：Td =UUTNdTd =||Nd -Td ||如果该观测值正常，则重建前与重建后向量应该非常相似，计算出的残差d 应该很小；如果观测值代表的流量与建模时发生了明显变化，则计算出的残差值会较大。本项目利用如下算法对残差进行量化：3.3 评估阶段评估阶段的任务是根据当前观测向量的量化值q (d )，判断网络流量是否正常。根据经验，如果|q (d )|<5，网络基本正常；如果5≤|q (d )|<10，网络轻度异常；如果10≤|q (d )|，网络重度异常。4 实验结果分析利用863-917网络安全监测平台，对北京电信骨干网流量进行持续监测，我们提取6小时的观测数据，由于篇幅所限，我们给出图1—4的时间序列曲线。由图1—4可知单独利用任何一个曲线都难以判定异常，而利用本算法可以容易地标定异常发生的时间。本算法计算结果如图5所示，异常发生时间在图5中标出。我们利用863-917平台的回溯功能对于异常发生时间进行进一步的分析，发现在标出的异常时刻，一个大规模的僵尸网络对网外的3个IP地址发起了大规模的拒绝服务攻击。 5 结束语本文提出一种基于主成分分析的方法来划分子空间，分析和发现网络中的异常事件。本方法能够准确快速地标定异常发生的时间点，从而帮助网络安全应急响应部门及时发现宏观网络的流量异常状况，为迅速解决网络异常赢得时间。试验表明，我们采用的14个特征构成的分析矩阵具有较好的识别准确率和分析效率，我们接下来将会继续寻找更具有代表性的特征来构成数据矩阵，并研究更好的特征矩阵构造方法来进一步提高此方法的识别率，并将本方法推广到短时分析中。6 参考文献[1] XU K, ZHANG Z L, BHATTACHARYYA S. Profiling Internet backbone traffic: Behavior models and applications [C]// Proceedings of ACM SIGCOMM, Aug 22- 25, 2005, Philadelphia, PA, USA. New York, NY,USA:ACM,2005:169-180.[2] HAWKINS D M, QQUI P, KANG C W. The change point model for statistical process control [J]. Journal of Quality Technology,2003, 35(4).[3] THOTTAN M, JI C. Anomaly detection in IP networks [J]. IEEE Transactions on Signal Processing, 2003, 51 )8):2191-2204.[4] BARFORD P, KLINE J, PLONKA D, et al. A signal analysis of network traffic anomalies [C]//Proceedings of ACM SIGCOMM Intemet Measurement Workshop (IMW 2002), Nov 6-8, 2002, Marseilles, France. New York, NY,USA:ACM, 2002:71-82.[5] LAKHINA A, CROVELLA M, DIOT C. Mining anomalies using traffic feature distributions [C]// Proceedings of SIGCOMM, Aug 22-25, 2005, Philadelphia, PA, USA. New York, NY,USA: ACM, 2005: 217-228.[6] LAKHINA A, CROVELLA M, DIOT C. Diagnosing network-wide traffic anomalies [C]// Proceedings of ACM SIGCOMM, Aug 30 - Sep 3, 2004, Portland, OR, USA. New York, NY,USA: ACM, 2004: 219-230.[7] SCHWELLER R, GUPTA A, PARSONS E, et al. Reversible sketches for efficient and accurate change detection over network data streams [C]//Proceedings of ACM SIGCOMM Internet Measurement Conference (IMC’04), Oct 25-27, 2004, Taormina, Sicily, Italy. New York, NY,USA: ACM, 2004:207-212.[8] MAHONEY M V, CHAN P K. Learning rules for anomaly detection of hostile network traffic [C]// Proceedings of International Conference on Data Mining (ICDM’03), Nov 19-22, Melbourne, FL, USA . Los Alamitos, CA, USA: IEEE Computer Society, 2003:601-604.

2. 常见的网络故障检测工具有哪些

网络发生故障后，首先是要诊断是协议故障，连通性故障，配置、设备故障，还是DDOS攻击。找到问题的来源，然后再进行故障排除。常用的网络故障测试命令有ipconfig、ping、tracert、netstat和nslookup。

而排除网络故障工具通常有硬件工具和软件工具。

1. 硬件工具通常有：数字电压表、网络测试仪、网络测试仪、高级电缆检测器等。

2. 软件工具通常有：网络监视器、网络分析器等。

3. APP端怎么总是显示网络异常怎么检测问题

APP对于普通用户来说，就是最直接的应用软件，来要购买什么、了解什么，都可以通过这个APP来解决，所以APP是否流畅直接影响用户的体验，崩溃、卡顿、网络异常等问题是最影响用户体验的问题，也是移动开发者最大的痛点。

4. 详细说明常用网络故障的检测步骤

计算机网络是一个复杂的综合系统，因此网络故障诊断工作就是显得繁杂。许多网络管理者都经受过网络异常的困扰。
如果网络忽通忽断，或者经常出现莫名其妙的现象，那么网络就可能存在故障隐患。

计算机管理者，经常发现引起网络故障的原因很多，有操作系统引起的，有应用程序冲突引起的，有硬件引起的等。
以下从几方面来分析网络故障：

1、按照故障性质的不同来分

网络故障划分为物理故障与逻辑故障两种。

（1）

物理故障

物理故障称为硬故障，是指由硬件引起的网络故障。

（2）

逻辑故障

逻辑故障称为软故障，是指由软配置或软件错误等引起的网络故障。

2、按照故障出现的对象来分

(1)
主机故障

主机故障常见的原因就是主机配置不当。

(2)
路由器故障

路由器故障主要是由于路由器设置错误、路由算法自身的
bug
、路由器超负荷等问题导致网络不通或时通时不通的故
障。

(3)
线路故障

线路故障主要是由于线路老化、损坏、接触不良和中继设备故障等问题所致。

二、

网络故障检测与排除的基本方法

1、连通性故障：

连通性故障通常有以下几种情况：

（1）计算机无法登陆到服务器。

（2）无法通过局域网接入internet。

（3）在“网上邻居”
中只能看到自已，而看不到其他计算机，从而无法使用其他计算机上的共享打印机。

（4）计算机无法在网络内访问其他计算机上的资源。

（5）网络中的部分计算要运行速度异常缓慢等。

连通性故障常见的原因有：

(1)
网卡未安装或配置错误。

(2)
网卡硬件故障。

(3)
网络协议未安装或设置不正确。

(4)
网线、跳线或信息插座故障；Hub、交换机电源未打开。

(5)
交换机硬件故障或交换机端口硬件故障等。

连通性故障的排除方法如下：

（1）确认连通性故障

当网络出现应用故障时，如无法接入
Internet，可首先尝试查找网络中的其他计算机。网络使用正常，可排除连通性
故障原因。如虽然无法接入Internet，但能够在“网上邻居”中找到其它计算机，或可用
Ping通其他计算机。如果其他网络应用均无法实现，则基本上可以肯定连通性故障，以下的步骤加以排除。

（2）排除网卡或协议故障

首先查看网卡的指示灯是否正常。正常情况下，在不传数据时，网卡的指示灯闪烁较慢，传送数据时刚闪烁较快。网
卡的指示灯不亮或是长亮不灭，都表明网络有故障存在。若网卡的指示灯不正常，则说明书发生了连通性故障。可以
先关闭电源，换一块好网卡。如果故障仍然存在，则说明从这个网卡到网线另一端之间存在问题。对交换机来说，凡
是插有网线的端口指示灯都亮，指示灯的作用只能指示该端口是否连接有终端设备，而不能显示通信状态如何。

如果上述方法不能判断网卡故障的话，可用ping命令排除网卡或协议故障。使用ping命令，ping 本地的IP地址或计算机名，检查网卡和IP网络协议是安装好。

5. 计算机网络故障的一般识别与解决方法

1. 故障现象：网络适配器（网卡）设置与计算机资源有冲突。
   分析、排除：通过调整网卡资源中的IRQ和I/O值来避开与计算机其它资源的冲突。有些情况还需要通过设置主板的跳线来调整与其它资源的冲突。

2. .故障现象：网吧局域网中其他客户机在“网上邻居”上都能互相看见，而只有某一台计算机谁也看不见它，它也看不见别的计算机。(前提：该网吧的局域网是通过HUB或交换机连接成星型网络结构）

   分析、排除：检查这台计算机系统工作是否正常；检查这台计算机的网络配置；检查这台计算机的网卡是否正常工作；检查这台计算机上的网卡设置与其他资源是否有冲突；检查网线是否断开；检查网线接头接触是否正常。

3. 故障现象：网吧局域网中有两个网段，其中一个网网段的所有计算机都不能上因特网。（前提：该网吧的局域网通过两个HUB或交换机连接着两个的网段）

   分析、排除：两个网段的干线断了或干线两端的接头接处不良。检查服务器中对该网段的设置项。

4. 故障现象：网吧局域网中所有的计算机在“网上邻居”上都能互相看见。（前提：该网吧的局域网是通过HUB或交换机连接成星型网络结构）

   分析、排除：检查HUB或交换机工作是否正常。

5. 故障现象：网吧局域网中某台客户机在“网上邻居”上都能看到服务器，但就是不能上因特网。（前提：服务器指代理网吧局域网其他客机上因特网的那台计算机，以下同）

   分析、排除：检查这台客户机TCP/IP协议的设置，检查这台客户机中IE浏览器的设置，检查服务器中有关对这台客户机的设置项。

6. 故障现象：网吧整个局域网上的所有的计算机都不能上因特网。

   分析、排除：服务器系统工作是否正常；服务器是否掉线了；调制解调器工作是否正常；局端工作是否正常。

7. 故障现象：网吧局域网中除了服务器能上网其他客户机都不能上网。

   分析、排除：检查HUB或交换机工作是否正常；检查服务器与HUB或交换机连接的网络部分（含：网卡、网线、接头、网络配置）工作是否正常；检查服务器上代理上网的软件是否正常启动运行；设置是否正常。

8. 故障现象：进行拨号上网操作时，MODEN没有拨号声音，始终连接不上因特网，MODEN上指示灯也不闪。

   分析、排除：电话线路是否占线；接MODEN的服务器的连接（含：连线、接头）是否正常；电话线路是否正常，有无杂音干扰；拨号网络配置是否正确；MODEN的配置设置是否正确，检查拨号音的音频或脉冲方式是否正常。

9. 故障现象：系统检测不到MODEN（若MODEN是正常的）。

   分析、排除：重新安装一遍MODEN，注意通讯端口的正确位置。

10. 故障现象：连接因特网速度过慢。

    分析、排除：检查服务器系统设置在“拨号网络”中的端口连接速度是否是设置的最大值；线路是否正常；可通过优化MODEN的设置来提高连接的速度；通过修改注册表也可以提高上网速度；同时上网的客户机是否很多；若是很多，而使连接速度过慢是正常现象。

11. 故障现象：计算机屏幕上出现“错误678” 或“错误 650” 的提示框。

    分析、排除：一般是你所拨叫的服务器线路较忙、占线，暂时无法接通，你可进一会后继续重拨。

12. 故障现象：计算机屏幕上出现“错误680：没有拨号音。请检测调制解调器是否正确连到电话线。”或者“There is no dialtone。 Make sure your Modem is connected to the phone line
    properly。”的提示框。

    分析、排除：检测调制解调器工作是否正常，是否开启；检查电话线路是否正常，是否正确接入调制解调器，接头有无松动。

    
    

6. 区块链网络的有哪些指标可以用于异常检测

指标只要是评分

区块链网早就搬了，李笑来联合国内大佬花了几千万把他们给搞倒了。

7. 基于机器学习的区块链网络异常检测 作为一个小白，应该从那方面来进行了解那，麻烦大佬指点一下，谢谢

个人觉得区块链开发技术层面讲就没有靠谱之说，无非是你选择什么样的研发技术团，即使你选择了比较好的研发技术团，也未必能实现你所要求的区块链技术，不同行业和领域有不同的技术指标，更何况这个复杂的新技术。另外一点还要让研发技术团认同你需要应用的机器行业思维，否则开发出来的产品也不可能符合你的要求。我们专注区块链技术专业领域落地，项目已经进行了一年多的时间，还没有成功落地。难度在于推翻传统模式会触及很大的利益链条，所以必须是一个慢慢渗透的过程。

按照你讲的：基于机器学习的区块链，可以理解为你在问一个技术问题。

以上回答，希望对你有所帮助。

8. 网络常见故障分类和排查

在现行的网络管理体制中，由于网络故障的多样性和复杂性，网络故障分类方法也不尽相同。根据网络故障的性质可以分为物理故障与逻辑故障,也可以根据网络故障的对象分为线路故障、路由器故障和主机故障.
一、按网络故障的性质划分

1．物理故障

物理故障，是指设备或线路损坏、插头松动、线路受到严重电磁干扰等情况。比如说，网络中某条线路突然中断，如已安装网络监控软件就能够从监控界面上发现该线路流量突然掉下来或系统弹出报警界面，更直接的反映就是处于该线路端口上的无线电管理信息系统无法使用。

解决方法：首先用DOS命令集中的ping命令检查线路与网络管理中心服务器端口是否连通，如果不连通，则检查端口插头是否松动，如果松动则插紧，再用ping命令检查，如果已连通则故障解决。也有可能是线路远离网络管理中心的那端插头松动，则需要检查终端设备的连接状况。如果插口没有问题，则可利用网线测试设备进行通路测试，发现问题应重新更换一条网线。

另一种常见的物理故障就是网络插头误接。这种情况经常是没有搞清网络插头规范或没有弄清网络拓扑结构的情况下导致的。

解决方法：熟悉掌握网络插头规范，如T568A和T568B，搞清网线中每根线的颜色和意义，做出符合规范的插头。 还有一种情况，比如两个路由器直接连接，这时应该让一台路由器的出口连接另一路由器的入口，而这台路由器的入口连接另一路由器的出口才行，这时制作的网线就应该满足这一特性，否则也会导致网络误解。不过像这种网络连接故障显得很隐蔽，要诊断这种故障没有什么特别好的工具，只有依靠网络管理的经验进行解决。

2. 逻辑故障

逻辑故障中的一种常见情况就是配置错误，就是指因为网络设备的配置原因而导致的网络异常或故障。配置错误可能是路由器端口参数设定有误，或路由器路由配置错误以致于路由循环或找不到远端地址，或者是网络掩码设置错误等。比如，同样是网络中某条线路故障，发现该线路没有流量，但又可以Ping通线路两端的端口，这时很可能就是路由配置错误导致循环了。

解决方法：诊断该故障可以用traceroute工具，可以发现在traceroute的结果中某一段之后，两个IP地址循环出现。这时，一般就是线路远端把端口路由又指向了线路的近端，导致IP包在该线路上来回反复传递。这时需要更改远端路由器端口配置，把路由设置为正确配置，就能恢复线路了。当然处理该故障的所有动作都要记录在日志中，防止再次出现。

逻辑故障中另一类故障就是一些重要进程或端口关闭，以及系统的负载过高。比如，路由器的SNMP进程意外关闭或死掉，这时网络管理系统将不能从路由器中采集到任何数据，因此网络管理系统失去了对该路由器的控制。还有，也是线路中断，没有流量，这时用ping发现线路近端的端口ping不通。

解决方法：检查发现该端口处于down的状态，就是说该端口已经给关闭了，因此导致故障。这时只需重新启动该端口，就可以恢复线路的连通了。 此外，还有一种常见情况是路由器的负载过高，表现为路由器CPU温度太高、CPU利用率太高，以及内存余量太小等，虽然这种故障不能直接影响网络的连通，但却影响到网络提供服务的质量，而且也容易导致硬件设备的损害。
二、按网络故障的对象划分

1．线路故障

线路故障最常见的情况就是线路不通，诊断这种故障可用ping检查线路远端的路由器端口是否还能响应，或检测该线路上的流量是否还存在。一旦发现远端路由器端口不通，或该线路没有流量，则该线路可能出现了故障。这时有几种处理方法。首先是ping线路两端路由器端口，检查两端的端口是否关闭了。如果其中一端端口没有响应则可能是路由器端口故障。如果是近端端口关闭，则可检查端口插头是否松动，路由器端口是否处于down的状态；如果是远端端口关闭，则要通知线路对方进行检查。进行这些故障处理之后，线路往往就通畅了。

如果线路仍然不通，一种可能就得线路本身的问题，看是否线路中间被切断；另一种可能就是路由器配置出错，比如路由循环了。就是远端端口路由又指向了线路的近端，这样线路远端连接的网络用户就不通了，这种故障可以用traceroute来诊断。解决路由循环的方法就是重新配置路由器端口的静态路由或动态路由。

2．路由器故障

事实上，线路故障中很多情况都涉及到路由器，因此也可以把一些线路故障归结为路由器故障。但线路涉及到两端的路由器，因此在考虑线路故障是要涉及到多个路由器。有些路由器故障仅仅涉及到它本身，这些故障比较典型的就是路由器CPU温度过高、CPU利用率过高和路由器内存余量太小。其中最危险的是路由器CPU温度过高，因为这可能导致路由器烧毁。而路由器CPU利用率过高和路由器内存余量太小都将直接影响到网络服务的质量，比如路由器上丢包率就会随内存余量的下降而上升。检测这种类型的故障，需要利用MIB变量浏览器这种工具，从路由器MIB变量中读出有关的数据，通常情况下网络管理系统有专门的管理进程不断地检测路由器的关键数据，并及时给出报警。而解决这种故障，只有对路由器进行升级、扩内存等，或者重新规划网络的拓扑结构.

另一种路由器故障就是自身的配置错误。比如配置的协议类型不对，配置的端口不对等。这种故障比较少见，在使用初期配置好路由器基本上就不会出现了。

3．主机故障

主机故障常见的现象就是主机的配置不当。比如，主机配置的IP地址与其他主机冲突，或IP地址根本就不在子网范围内，这将导致该主机不能连通。如泰州无线电管理处的网段范围是172.17.14.1—172.17.14.253，所以主机地址只有设置在此段区间内才有效。还有一些服务设置的故障。比如E-Mail服务器设置不当导致不能收发E-Mail，或者域名服务器设置不当将导致不能解析域名。主机故障的另一种可能是主机安全故障。比如，主机没有控制其上的finger，rpc，rlogin等多余服务。而恶意攻击者可以通过这些多余进程的正常服务或bug攻击该主机，甚至得到该主机的超级用户权限等。

另外，还有一些主机的其他故障，比如不当共享本机硬盘等，将导致恶意攻击者非法利用该主机的资源。发现主机故障是一件困难的事情，特别是别人恶意的攻击。一般可以通过监视主机的流量、或扫描主机端口和服务来防止可能的漏洞。当发现主机受到攻击之后，应立即分析可能的漏洞，并加以预防，同时通知网络管理人员注意。现在，各市都安装了防火墙，如果防火墙地址权限设置不当，也会造成网络的连接故障，只要在设置使用防火墙时加以注意，这种故障就能解决。

9. 异常检测有哪些主要的分析方法

1. 概率统计方法
在基于异常检测技术的IDS中应用最早也是最多的一种方法。
首先要对系统或用户的行为按照一定的时间间隔进行采样，样本的内容包括每个会话的登录、退出情况，CPU和内存的占用情况，硬盘等存储介质的使用情况等。
将每次采集到的样本进行计算，得出一系列的参数变量对这些行为进行描述，从而产生行为轮廓，将每次采样后得到的行为轮廓与已有轮廓进行合并，最终得到系统和用户的正常行为轮廓。IDS通过将当前采集到的行为轮廓与正常行为轮廓相比较，来检测是否存在网络入侵行为。
2. 预测模式生成法
假设条件是事件序列不是随机的而是遵循可辨别的模式。这种检测方法的特点是考虑了事件的序列及其相互联系，利用时间规则识别用户行为正常模式的特征。通过归纳学习产生这些规则集，并能动态地修改系统中的这些规则，使之具有较高的预测性、准确性。如果规则在大部分时间是正确的，并能够成功地运用预测所观察到的数据，那么规则就具有高可信度。
3. 神经网络方法
基本思想是用一系列信息单元(命令)训练神经单元，这样在给定一组输入后、就可能预测出输出。与统计理论相比，神经网络更好地表达了变量间的非线性关系，并且能自动学习并更新。实验表明UNIX系统管理员的行为几乎全是可以预测的，对于一般用户，不可预测的行为也只占了很少的一部分。