异常流量行为是指网络流量出现偏离正常范围的状况,主要是由恶意网络攻击行为以及网络配置失误、偶发性线路中断和突发的巨流等因素引起,这些事件会对网络的服务质量产生影响,同时干扰网络的正常运行。因此,对异常流量行为的检测是一项有意义的研究工作。本文的研究工作将基于NBOS(Network Behavior Observation System)提供的基础流量数据展开。研究在网络的边界处进行异常流量行为的检测方法,并将其集成进NBOS系统。本论文首先讨论了异常网络流量的定义,并根据产生的原因对异常流量进行分类,然后研究了正常状态下网络流量的基本特性以及发生异常时流量特征分布的变化。接着介绍了目前主要的几类检测方法及其优缺点。基于网络边界路由器提供的流记录信息,NBOS能为异常检测提供精细的数据源,包括面向对端IP分类的带宽测度和端口分布统计数据。因此,本文从两个角度展开具体的研究工作,一是基于带宽的异常流量行为检测,二是基于端口流量分布的异常流量行为检测。两项研究工作均在CERNET南京主节点的实际网络中进行了检验。在面向带宽测度数据的异常检测方面,研究工作以对可用的检测方法进行分析为起点。在分析了环境和条件等各方面因素的基础上,选择了两个时间序列分析类的经典算法——基于动态指数平滑模型的检测算法和基于holt-winters季节模型的检测算法,通过基于CERNET南京主节点的实测数据的比较,选择了基于holt-winters的检测算法作为实测算法并将其集成进NBOS系统。该算法在24小时的实际环境中实时检测出多个异常事件。论文选择了其中的三个,对其产生的原因进行了详细的分析。这个实践表明经典的异常检测算法可以在以流记录为分析源的工程环境中使用。在面向端口分布统计数据的异常检测方面,研究工作以对端口流量行为的分析为起点。在对端口流量分布的研究的基础上,引入信息熵的概念,并定义了面向时间粒度的端口流量熵。基于CERNET南京主节点的实测数据的分析表明,每天同时刻的端口流量熵总体满足正态分布。在此基础上,论文提出了一种端口熵异常检测方法,并在NBOS系统中实现并运行。该算法在11天的实际环境中实时检测出29次端口流量熵异常,分析后归并为5个异常事件,根据异常的原因可分为3类。论文对于每类选择一个事件,展示其详细的分析过程。对检测结果的分析验证了算法的有效性。