【文章內(nèi)容簡介】 ，我們記這個(gè)模型為ARCH（1）。更一般的，方差依賴于任意多個(gè)滯后變化量，我們記ARCH（P）： （） GARCH模型GARCH模型全稱為廣義自回歸條件異方差模型（Genralizd Autoregressive Conditional Heterosccdasticity Model）。GARCH模型認(rèn)為預(yù)測的誤差值與許多時(shí)刻之前的變化量相關(guān)， GARCH模型其中一種為GARCH（1，1）模型[11]： （）誤差項(xiàng)的方差分為3個(gè)部分：一個(gè)常數(shù)項(xiàng)，前一時(shí)刻變化量（RACH），以及前一時(shí)刻的方差。一般情況下，我們可以有多個(gè)ARCH項(xiàng)和GARCH項(xiàng)。GRACH（p，q）模型代表下面的的方程: （） 網(wǎng)絡(luò)流量預(yù)測模型選擇 ARIMA模型在數(shù)據(jù)充分的情況下有較高的精度，但不足之處也是處在的，例如，此類模型是基于過去流量的變化規(guī)律來推斷或預(yù)測未來值，只利用了網(wǎng)絡(luò)流量的歷史數(shù)據(jù)，沒有考慮其他任何影響因素（如沒有考慮用戶的正常操作的影響），而網(wǎng)絡(luò)流量和很多因素有關(guān)的，所以當(dāng)流量急劇變化時(shí)，預(yù)測結(jié)果與實(shí)際結(jié)果可能存在較大出入。 2．ARCH模型ARCH模型被認(rèn)為是最集中反映了方差的特點(diǎn)而被廣泛應(yīng)用于時(shí)間序列分析模型。但與GARCH模型比較，ARCH模型并不能反映出方差的過去變化對預(yù)測值的影響，并且為了準(zhǔn)確預(yù)測下一時(shí)刻的值，往往把參數(shù)設(shè)置的很大。3．GARCH模型GARCH模型是在ARCH模型上的推廣，在ARCH模型上增加了一個(gè)GARCH項(xiàng)（過去方差值），從而可以個(gè)好的預(yù)測網(wǎng)絡(luò)流量。 在局域網(wǎng)中，用戶的合法操作不會(huì)對網(wǎng)絡(luò)流量產(chǎn)生很大的影響，只有當(dāng)遭到網(wǎng)絡(luò)攻擊或用戶的非法操作才會(huì)產(chǎn)生很大的波動(dòng)，同時(shí)網(wǎng)絡(luò)流量會(huì)隨時(shí)間的推移而持續(xù)遞增或遞減，所以我們選擇了GARCH模型。 小結(jié) 本章主要闡述了系統(tǒng)功能需求，以及系統(tǒng)需求的前期理論知識(shí)的預(yù)備工作，其中包括流量的檢測方法、網(wǎng)絡(luò)協(xié)議報(bào)文分析、網(wǎng)絡(luò)流量預(yù)測模型分析和模型選擇等。3 系統(tǒng)總體設(shè)計(jì)與具體實(shí)現(xiàn) 開發(fā)環(huán)境及工具 操作系統(tǒng) Microsoft Windows 2000/XP/Server或者以上版本 VC++Visual C++ 不僅僅是一個(gè)編譯器。它是一個(gè)全面的應(yīng)用程序開發(fā)環(huán)境，使用它你充分利用具有面向?qū)ο筇匦缘?C++ 來開發(fā)出專業(yè)級的 Windows 應(yīng)用程序。Visual C++作為一種程序設(shè)計(jì)語言，它同時(shí)也是一個(gè)集成開發(fā)工具，提供了軟件代碼自動(dòng)生成和可視化的資源編輯功能。在使用Visual C++開發(fā)應(yīng)用程序的過程中，系統(tǒng)為我們生成了大量的各種類型的文件。Visual C++采用的框架是MFC。MFC不僅僅是人們通常理解的一個(gè)類庫。你如果選擇了MFC，也就選擇了一種程序結(jié)構(gòu)，一種編程風(fēng)格。MFC 是一個(gè)很大的、擴(kuò)展了的 C++ 類層次結(jié)構(gòu)，它能使開發(fā) Windows 應(yīng)用程序變得更加容易。MFC 是在整個(gè) Windows 家族中都是兼容的，也就是說，無論是 、Windows95 還是 Windows NT，所使用的 MFC 是兼容的。每當(dāng)新的 Windows 版本出現(xiàn)時(shí),MFC 也會(huì)得到修改以便使舊的編譯器和代碼能在新的系統(tǒng)中工作。MFC 也回得到擴(kuò)展，添加新的特性、變得更加容易建立應(yīng)用程序。使用 MFC 的最大優(yōu)點(diǎn)是它為你做了所有最難做的事。MFC 中包含了上成千上萬行正確、優(yōu)化和功能強(qiáng)大的 Windows 代碼。你所調(diào)用的很多成員函數(shù)完成了你自己可能很難完成的工作。從這點(diǎn)上將，MFC 極大地加快了你的程序開發(fā)速度。由于MFC編程方法充分利用了面向?qū)ο蠹夹g(shù)的優(yōu)點(diǎn)，它使得我們編程時(shí)極少需要關(guān)心對象方法的實(shí)現(xiàn)細(xì)節(jié)，同時(shí)類庫中的各種對象的強(qiáng)大功能足以完成我們程序中的絕大部分所需功能，這使得應(yīng)用程序中程序員所需要編寫的代碼大為減少，有力地保證了程序的良好的可調(diào)試性。 需求分析與系統(tǒng)整體框架圖隨著網(wǎng)絡(luò)環(huán)境的復(fù)雜化，需要一個(gè)網(wǎng)絡(luò)流量管理的系統(tǒng)來方便用戶對網(wǎng)絡(luò)流量的獲取及分析。作為一個(gè)網(wǎng)絡(luò)流量預(yù)測的系統(tǒng)，提供給用戶除了要顯示實(shí)時(shí)流量和預(yù)測流量值外，還要有一個(gè)預(yù)警的功能，從而可以提醒用戶可能受到網(wǎng)絡(luò)攻擊，做到自我防護(hù)，為了知道網(wǎng)絡(luò)的真實(shí)情況，系統(tǒng)還要提供數(shù)據(jù)包頭文件分析處理出的信息以供用戶參考。功能需求如下：初始化模塊：函數(shù)和數(shù)據(jù)的初始化，MFC自帶框架程序等。網(wǎng)絡(luò)數(shù)據(jù)獲取模塊：創(chuàng)建原始套接字，數(shù)據(jù)包的獲取，顯示獲取數(shù)據(jù)包的信息。網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊：實(shí)現(xiàn)一個(gè)定時(shí)器，顯示統(tǒng)計(jì)協(xié)議，其中包括TCP/UDP/ICMP。網(wǎng)絡(luò)流量預(yù)測模塊：利用garch模型進(jìn)行網(wǎng)絡(luò)流量預(yù)測，顯示預(yù)測結(jié)果以及流量異常顯示。根據(jù)功能需求，下面給出了網(wǎng)絡(luò)流量預(yù)測系統(tǒng)構(gòu)架圖，： 網(wǎng)絡(luò)流量預(yù)測系統(tǒng)構(gòu)架圖 初始化模塊的功能初始化模塊主要是實(shí)現(xiàn)某些函數(shù)和數(shù)據(jù)的初始化，包括MFC自帶框架程序等，其主要是系統(tǒng)自動(dòng)完成。 網(wǎng)絡(luò)數(shù)據(jù)獲取模塊的功能網(wǎng)絡(luò)數(shù)據(jù)獲取模塊主要實(shí)現(xiàn)對套接字的創(chuàng)建、綁定、設(shè)置參數(shù)，利用rev（）函數(shù)來接收流經(jīng)網(wǎng)卡的數(shù)據(jù)包，實(shí)現(xiàn)數(shù)據(jù)包的捕獲，對捕獲的數(shù)據(jù)包頭利用自定義的數(shù)據(jù)包頭文件進(jìn)行解析，同時(shí)傳給網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊必要的信息，并且顯示獲取數(shù)據(jù)包的信息。其實(shí)現(xiàn)的流程圖如下： 網(wǎng)絡(luò)數(shù)據(jù)獲取模塊流程圖 網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊的功能網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊的實(shí)現(xiàn)，是將網(wǎng)絡(luò)數(shù)據(jù)獲取的信息按照時(shí)間存儲(chǔ)到時(shí)間隊(duì)列中，需要一個(gè)定時(shí)器，它是通過Ontmier（）函數(shù)實(shí)現(xiàn)的。把接收到的數(shù)據(jù)傳給流量預(yù)測模塊后，對歷史流量進(jìn)行計(jì)算。其實(shí)現(xiàn)的流程圖如下： 網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊流程圖 網(wǎng)絡(luò)流量預(yù)測模塊的功能網(wǎng)絡(luò)流量預(yù)測模塊在流量統(tǒng)計(jì)的基礎(chǔ)上建立一個(gè)數(shù)學(xué)模型，通過對數(shù)據(jù)進(jìn)行處理，得到一個(gè)預(yù)測區(qū)間，顯示得到的預(yù)測結(jié)果，接著根據(jù)得到的實(shí)際流量進(jìn)行判斷，看流量是否在預(yù)測區(qū)間內(nèi)，如果在區(qū)間內(nèi)則說明流量是正常的，否則說明流量是異常的。其實(shí)現(xiàn)的流程圖如下。 網(wǎng)絡(luò)流量預(yù)測模塊流程圖 網(wǎng)絡(luò)數(shù)據(jù)獲取模塊的實(shí)現(xiàn) 數(shù)據(jù)包頭文件解析 原始套接字捕獲數(shù)據(jù)包不僅僅是單純的數(shù)據(jù)流，還包括了IP頭等，對此進(jìn)行分析。在這里介紹了IP報(bào)文頭和TCP報(bào)文頭。IP報(bào)文頭： BYTE Version。//版本 BYTE HdrLen。//IHL BYTE ServiceType。//服務(wù)類型 WORD TotalLen。//總長 WORD ID。//標(biāo)示 WORD Flags。//標(biāo)志 WORD FragOff。//分段偏移 BYTE TimeToLive。//生命期 BYTE Protocol。//協(xié)議 WORD HdrChksum。//頭校驗(yàn)和 DWORD SrcAddr。//源地址 DWORD DstAddr。//目的地址BYTE Options。//選項(xiàng)TCP報(bào)文頭： WORD SrcPort。//源端口 WORD DstPort。//目的端口 DWORD SeqNum。//順序號 DWORD AckNum。//確認(rèn)號 BYTE DataOff。//TCP頭長 BYTE Flags。//標(biāo)志 WORD Window。//窗口大小 WORD Chksum。//校驗(yàn)和 WORD UrgPtr。//緊急指針 原始套接字的實(shí)現(xiàn)在通常情況下，網(wǎng)絡(luò)通信的套接字程序只能響應(yīng)與自己硬件地址相匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達(dá)網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗(yàn)證投遞地址并非自身地址之后將不引起響應(yīng)，也就是說應(yīng)用程序無法收取與自己無關(guān)的的數(shù)據(jù)包。所以我們要想實(shí)現(xiàn)截獲流經(jīng)網(wǎng)絡(luò)設(shè)備的所有數(shù)據(jù)包，就要采取一點(diǎn)特別的手段了：將網(wǎng)卡設(shè)置為混雜模式。這樣一來，該主機(jī)的網(wǎng)卡就可以捕獲到所有流經(jīng)其網(wǎng)卡的數(shù)據(jù)包和幀。但是要注意一點(diǎn)，這種截獲僅僅是數(shù)據(jù)包的一份拷貝，而不能對其進(jìn)行截?cái)?，要想截?cái)嗑W(wǎng)絡(luò)流量就要采用一些更底層的辦法了，不在本文的討論范圍之內(nèi)。在創(chuàng)建了原始套接字后，需要用WSAIoctl()函數(shù)來設(shè)置一下,具體實(shí)現(xiàn)如下所示：RecvBuf = new char[65535]。//緩沖區(qū)大小 szLocalName = new char [256]。 //開啟socket接口 if (WSAStartup(MAKEWORD(1,1), amp。wsd) != 0) { AfxMessageBox(WSAStartup() failed !)。 return 。 } //創(chuàng)建原始套接字 Socket=WSASocket(AF_INET, SOCK_RAW,IPPROTO_IP,NULL,0,WSA_FLAG_OVERLAPPED)。//獲取本機(jī)IP地址 char FAR name[128]。 gethostname(name, sizeof(name))。 struct hostent FAR * pHostent。 pHostent = gethostbyname(name)。 LPSTR lpAddr = pHostenth_addr_list[0]。 struct in_addr inAddr。 memmove (amp。inAddr, lpAddr, 4)。 CString str = inet_ntoa (inAddr)。 SetDlgItemText(IDC_STATIC_IP,本機(jī)地址:+str)。//填充SOCKADDR_IN結(jié)構(gòu)的內(nèi)容 SOCKADDR_IN sa。 = AF_INET。 // 端口號可以隨便改，當(dāng)然與當(dāng)然系統(tǒng)不能沖突 = htons(6000)。 //綁定 memcpy(amp。(),pHostenth_addr,pHostenth_length)。 bind(Socket,(LPSOCKADDR)amp。sa,sizeof(sa))。//置ioctl來接收所有網(wǎng)絡(luò)數(shù)據(jù) DWORD dwBufferLen[10] 。 DWORD dwBufferInLen = 1 。 DWORD dwBytesReturned = 0 。 WSAIoctl(Socket, SIO_RCVALL,amp。dwBufferInLen, sizeof(dwBufferInLen), amp。dwBufferLen, sizeof(dwBufferLen),amp。dwBytesReturned , NULL , NULL )。 顯示接收原始數(shù)據(jù)包信息定義一個(gè)緩沖區(qū)Buf來存儲(chǔ)接收到的數(shù)據(jù)信息，同時(shí)對協(xié)議進(jìn)行解析。實(shí)現(xiàn)過程如下：int ret = recv(dlgSocket, dlgRecvBuf, 65535, 0)。 nCount = dlg()。 if (ret 0) { //對數(shù)據(jù)包進(jìn)行分析處理，并顯示分析結(jié)果 dlgip = *(IP*)dlgRecvBuf。 dlgtcp = *(TCP*)(dlgRecvBuf + dlg)。 (%s,dlgGetProtocolTxt(dlg))。 dlg(0, str)。 ( %15s,inet_ntoa(*(in_addr*)amp。dlg))。 dlg(0, 1, str)。 ( %15s,inet_ntoa(*(in_addr*)amp。dlg))。 dlg(0, 2, str)。 ( %4d,ntohs(dlg))。 dlg(0, 3, str)。//對協(xié)議進(jìn)行統(tǒng)計(jì) sum=sum+ntohs(dlg)。 //計(jì)算當(dāng)前的協(xié)議總數(shù) sum1=sum1+1。 } 網(wǎng)絡(luò)流量統(tǒng)計(jì)模塊的實(shí)現(xiàn) 定時(shí)器的實(shí)現(xiàn)由于流量統(tǒng)計(jì)是統(tǒng)計(jì)以2秒為一時(shí)間階段的流量值，這樣就需要一個(gè)定時(shí)器來進(jìn)行計(jì)時(shí)。這個(gè)定時(shí)器是由OnTimer（）函數(shù)來實(shí)現(xiàn)的，實(shí)現(xiàn)過程如下： void CWLLLYCDlg::OnTimer(UINT nIDEvent) {//設(shè)置定時(shí)器 Invalidate()。 CDialog::OnTimer(nIDEvent)。} 統(tǒng)計(jì)協(xié)議的顯示在系統(tǒng)實(shí)時(shí)流量中，統(tǒng)計(jì)出了協(xié)議的數(shù)量，包括TCP、UDP、ICMP三種協(xié)議。//設(shè)置三種協(xié)議字符串指針 char* s=new char[100]。 char* m=new char[100]。char* n=new char[100]。//將int整型數(shù)轉(zhuǎn)化為一個(gè)字符串 itoa(a,m,10)。 itoa(b,s,10)。 itoa(c,n,10)。//在編輯框顯示三種協(xié)議 SetDlgItemText(IDC_EDIT2,m)。 SetDlgItemText(IDC_EDIT1,s)。 SetDlgItemText(IDC_EDIT3,n)。 網(wǎng)絡(luò)流量預(yù)測模塊的實(shí)現(xiàn) GARCH模型的實(shí)現(xiàn)GARCH模型是基于以往的每個(gè)時(shí)間階段的流量變化和方差變化來計(jì)算的，利用GARCH模型中的公式（）來進(jìn)行數(shù)據(jù)處理，這樣就可以得出流量誤差項(xiàng)的方差，再通過方差和預(yù)測值就可以預(yù)測出下一階段的預(yù)測區(qū)間[TotalMin[t], TotalMax[t]]。GARCH（1，1）模型實(shí)現(xiàn)如下： lo