【文章內(nèi)容簡介】 ，我們記這個模型為ARCH（1）。更一般的，方差依賴于任意多個滯后變化量，我們記ARCH（P）： （） GARCH模型GARCH模型全稱為廣義自回歸條件異方差模型（Genralizd Autoregressive Conditional Heterosccdasticity Model）。GARCH模型認為預測的誤差值與許多時刻之前的變化量相關(guān)， GARCH模型其中一種為GARCH（1，1）模型[11]： （）誤差項的方差分為3個部分：一個常數(shù)項，前一時刻變化量（RACH），以及前一時刻的方差。一般情況下，我們可以有多個ARCH項和GARCH項。GRACH（p，q）模型代表下面的的方程: （） 網(wǎng)絡流量預測模型選擇 ARIMA模型在數(shù)據(jù)充分的情況下有較高的精度，但不足之處也是處在的，例如，此類模型是基于過去流量的變化規(guī)律來推斷或預測未來值，只利用了網(wǎng)絡流量的歷史數(shù)據(jù)，沒有考慮其他任何影響因素（如沒有考慮用戶的正常操作的影響），而網(wǎng)絡流量和很多因素有關(guān)的，所以當流量急劇變化時，預測結(jié)果與實際結(jié)果可能存在較大出入。 2．ARCH模型ARCH模型被認為是最集中反映了方差的特點而被廣泛應用于時間序列分析模型。但與GARCH模型比較，ARCH模型并不能反映出方差的過去變化對預測值的影響，并且為了準確預測下一時刻的值，往往把參數(shù)設(shè)置的很大。3．GARCH模型GARCH模型是在ARCH模型上的推廣，在ARCH模型上增加了一個GARCH項（過去方差值），從而可以個好的預測網(wǎng)絡流量。 在局域網(wǎng)中，用戶的合法操作不會對網(wǎng)絡流量產(chǎn)生很大的影響，只有當遭到網(wǎng)絡攻擊或用戶的非法操作才會產(chǎn)生很大的波動，同時網(wǎng)絡流量會隨時間的推移而持續(xù)遞增或遞減，所以我們選擇了GARCH模型。 小結(jié) 本章主要闡述了系統(tǒng)功能需求，以及系統(tǒng)需求的前期理論知識的預備工作，其中包括流量的檢測方法、網(wǎng)絡協(xié)議報文分析、網(wǎng)絡流量預測模型分析和模型選擇等。3 系統(tǒng)總體設(shè)計與具體實現(xiàn) 開發(fā)環(huán)境及工具 操作系統(tǒng) Microsoft Windows 2000/XP/Server或者以上版本 VC++Visual C++ 不僅僅是一個編譯器。它是一個全面的應用程序開發(fā)環(huán)境，使用它你充分利用具有面向?qū)ο筇匦缘?C++ 來開發(fā)出專業(yè)級的 Windows 應用程序。Visual C++作為一種程序設(shè)計語言，它同時也是一個集成開發(fā)工具，提供了軟件代碼自動生成和可視化的資源編輯功能。在使用Visual C++開發(fā)應用程序的過程中，系統(tǒng)為我們生成了大量的各種類型的文件。Visual C++采用的框架是MFC。MFC不僅僅是人們通常理解的一個類庫。你如果選擇了MFC，也就選擇了一種程序結(jié)構(gòu)，一種編程風格。MFC 是一個很大的、擴展了的 C++ 類層次結(jié)構(gòu)，它能使開發(fā) Windows 應用程序變得更加容易。MFC 是在整個 Windows 家族中都是兼容的，也就是說，無論是 、Windows95 還是 Windows NT，所使用的 MFC 是兼容的。每當新的 Windows 版本出現(xiàn)時,MFC 也會得到修改以便使舊的編譯器和代碼能在新的系統(tǒng)中工作。MFC 也回得到擴展，添加新的特性、變得更加容易建立應用程序。使用 MFC 的最大優(yōu)點是它為你做了所有最難做的事。MFC 中包含了上成千上萬行正確、優(yōu)化和功能強大的 Windows 代碼。你所調(diào)用的很多成員函數(shù)完成了你自己可能很難完成的工作。從這點上將，MFC 極大地加快了你的程序開發(fā)速度。由于MFC編程方法充分利用了面向?qū)ο蠹夹g(shù)的優(yōu)點，它使得我們編程時極少需要關(guān)心對象方法的實現(xiàn)細節(jié)，同時類庫中的各種對象的強大功能足以完成我們程序中的絕大部分所需功能，這使得應用程序中程序員所需要編寫的代碼大為減少，有力地保證了程序的良好的可調(diào)試性。 需求分析與系統(tǒng)整體框架圖隨著網(wǎng)絡環(huán)境的復雜化，需要一個網(wǎng)絡流量管理的系統(tǒng)來方便用戶對網(wǎng)絡流量的獲取及分析。作為一個網(wǎng)絡流量預測的系統(tǒng)，提供給用戶除了要顯示實時流量和預測流量值外，還要有一個預警的功能，從而可以提醒用戶可能受到網(wǎng)絡攻擊，做到自我防護，為了知道網(wǎng)絡的真實情況，系統(tǒng)還要提供數(shù)據(jù)包頭文件分析處理出的信息以供用戶參考。功能需求如下：初始化模塊：函數(shù)和數(shù)據(jù)的初始化，MFC自帶框架程序等。網(wǎng)絡數(shù)據(jù)獲取模塊：創(chuàng)建原始套接字，數(shù)據(jù)包的獲取，顯示獲取數(shù)據(jù)包的信息。網(wǎng)絡流量統(tǒng)計模塊：實現(xiàn)一個定時器，顯示統(tǒng)計協(xié)議，其中包括TCP/UDP/ICMP。網(wǎng)絡流量預測模塊：利用garch模型進行網(wǎng)絡流量預測，顯示預測結(jié)果以及流量異常顯示。根據(jù)功能需求，下面給出了網(wǎng)絡流量預測系統(tǒng)構(gòu)架圖，： 網(wǎng)絡流量預測系統(tǒng)構(gòu)架圖 初始化模塊的功能初始化模塊主要是實現(xiàn)某些函數(shù)和數(shù)據(jù)的初始化，包括MFC自帶框架程序等，其主要是系統(tǒng)自動完成。 網(wǎng)絡數(shù)據(jù)獲取模塊的功能網(wǎng)絡數(shù)據(jù)獲取模塊主要實現(xiàn)對套接字的創(chuàng)建、綁定、設(shè)置參數(shù)，利用rev（）函數(shù)來接收流經(jīng)網(wǎng)卡的數(shù)據(jù)包，實現(xiàn)數(shù)據(jù)包的捕獲，對捕獲的數(shù)據(jù)包頭利用自定義的數(shù)據(jù)包頭文件進行解析，同時傳給網(wǎng)絡流量統(tǒng)計模塊必要的信息，并且顯示獲取數(shù)據(jù)包的信息。其實現(xiàn)的流程圖如下： 網(wǎng)絡數(shù)據(jù)獲取模塊流程圖 網(wǎng)絡流量統(tǒng)計模塊的功能網(wǎng)絡流量統(tǒng)計模塊的實現(xiàn)，是將網(wǎng)絡數(shù)據(jù)獲取的信息按照時間存儲到時間隊列中，需要一個定時器，它是通過Ontmier（）函數(shù)實現(xiàn)的。把接收到的數(shù)據(jù)傳給流量預測模塊后，對歷史流量進行計算。其實現(xiàn)的流程圖如下： 網(wǎng)絡流量統(tǒng)計模塊流程圖 網(wǎng)絡流量預測模塊的功能網(wǎng)絡流量預測模塊在流量統(tǒng)計的基礎(chǔ)上建立一個數(shù)學模型，通過對數(shù)據(jù)進行處理，得到一個預測區(qū)間，顯示得到的預測結(jié)果，接著根據(jù)得到的實際流量進行判斷，看流量是否在預測區(qū)間內(nèi)，如果在區(qū)間內(nèi)則說明流量是正常的，否則說明流量是異常的。其實現(xiàn)的流程圖如下。 網(wǎng)絡流量預測模塊流程圖 網(wǎng)絡數(shù)據(jù)獲取模塊的實現(xiàn) 數(shù)據(jù)包頭文件解析 原始套接字捕獲數(shù)據(jù)包不僅僅是單純的數(shù)據(jù)流，還包括了IP頭等，對此進行分析。在這里介紹了IP報文頭和TCP報文頭。IP報文頭： BYTE Version。//版本 BYTE HdrLen。//IHL BYTE ServiceType。//服務類型 WORD TotalLen。//總長 WORD ID。//標示 WORD Flags。//標志 WORD FragOff。//分段偏移 BYTE TimeToLive。//生命期 BYTE Protocol。//協(xié)議 WORD HdrChksum。//頭校驗和 DWORD SrcAddr。//源地址 DWORD DstAddr。//目的地址BYTE Options。//選項TCP報文頭： WORD SrcPort。//源端口 WORD DstPort。//目的端口 DWORD SeqNum。//順序號 DWORD AckNum。//確認號 BYTE DataOff。//TCP頭長 BYTE Flags。//標志 WORD Window。//窗口大小 WORD Chksum。//校驗和 WORD UrgPtr。//緊急指針 原始套接字的實現(xiàn)在通常情況下，網(wǎng)絡通信的套接字程序只能響應與自己硬件地址相匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達網(wǎng)絡接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡接口在驗證投遞地址并非自身地址之后將不引起響應，也就是說應用程序無法收取與自己無關(guān)的的數(shù)據(jù)包。所以我們要想實現(xiàn)截獲流經(jīng)網(wǎng)絡設(shè)備的所有數(shù)據(jù)包，就要采取一點特別的手段了：將網(wǎng)卡設(shè)置為混雜模式。這樣一來，該主機的網(wǎng)卡就可以捕獲到所有流經(jīng)其網(wǎng)卡的數(shù)據(jù)包和幀。但是要注意一點，這種截獲僅僅是數(shù)據(jù)包的一份拷貝，而不能對其進行截斷，要想截斷網(wǎng)絡流量就要采用一些更底層的辦法了，不在本文的討論范圍之內(nèi)。在創(chuàng)建了原始套接字后，需要用WSAIoctl()函數(shù)來設(shè)置一下,具體實現(xiàn)如下所示：RecvBuf = new char[65535]。//緩沖區(qū)大小 szLocalName = new char [256]。 //開啟socket接口 if (WSAStartup(MAKEWORD(1,1), amp。wsd) != 0) { AfxMessageBox(WSAStartup() failed !)。 return 。 } //創(chuàng)建原始套接字 Socket=WSASocket(AF_INET, SOCK_RAW,IPPROTO_IP,NULL,0,WSA_FLAG_OVERLAPPED)。//獲取本機IP地址 char FAR name[128]。 gethostname(name, sizeof(name))。 struct hostent FAR * pHostent。 pHostent = gethostbyname(name)。 LPSTR lpAddr = pHostenth_addr_list[0]。 struct in_addr inAddr。 memmove (amp。inAddr, lpAddr, 4)。 CString str = inet_ntoa (inAddr)。 SetDlgItemText(IDC_STATIC_IP,本機地址:+str)。//填充SOCKADDR_IN結(jié)構(gòu)的內(nèi)容 SOCKADDR_IN sa。 = AF_INET。 // 端口號可以隨便改，當然與當然系統(tǒng)不能沖突 = htons(6000)。 //綁定 memcpy(amp。(),pHostenth_addr,pHostenth_length)。 bind(Socket,(LPSOCKADDR)amp。sa,sizeof(sa))。//置ioctl來接收所有網(wǎng)絡數(shù)據(jù) DWORD dwBufferLen[10] 。 DWORD dwBufferInLen = 1 。 DWORD dwBytesReturned = 0 。 WSAIoctl(Socket, SIO_RCVALL,amp。dwBufferInLen, sizeof(dwBufferInLen), amp。dwBufferLen, sizeof(dwBufferLen),amp。dwBytesReturned , NULL , NULL )。 顯示接收原始數(shù)據(jù)包信息定義一個緩沖區(qū)Buf來存儲接收到的數(shù)據(jù)信息，同時對協(xié)議進行解析。實現(xiàn)過程如下：int ret = recv(dlgSocket, dlgRecvBuf, 65535, 0)。 nCount = dlg()。 if (ret 0) { //對數(shù)據(jù)包進行分析處理，并顯示分析結(jié)果 dlgip = *(IP*)dlgRecvBuf。 dlgtcp = *(TCP*)(dlgRecvBuf + dlg)。 (%s,dlgGetProtocolTxt(dlg))。 dlg(0, str)。 ( %15s,inet_ntoa(*(in_addr*)amp。dlg))。 dlg(0, 1, str)。 ( %15s,inet_ntoa(*(in_addr*)amp。dlg))。 dlg(0, 2, str)。 ( %4d,ntohs(dlg))。 dlg(0, 3, str)。//對協(xié)議進行統(tǒng)計 sum=sum+ntohs(dlg)。 //計算當前的協(xié)議總數(shù) sum1=sum1+1。 } 網(wǎng)絡流量統(tǒng)計模塊的實現(xiàn) 定時器的實現(xiàn)由于流量統(tǒng)計是統(tǒng)計以2秒為一時間階段的流量值，這樣就需要一個定時器來進行計時。這個定時器是由OnTimer（）函數(shù)來實現(xiàn)的，實現(xiàn)過程如下： void CWLLLYCDlg::OnTimer(UINT nIDEvent) {//設(shè)置定時器 Invalidate()。 CDialog::OnTimer(nIDEvent)。} 統(tǒng)計協(xié)議的顯示在系統(tǒng)實時流量中，統(tǒng)計出了協(xié)議的數(shù)量，包括TCP、UDP、ICMP三種協(xié)議。//設(shè)置三種協(xié)議字符串指針 char* s=new char[100]。 char* m=new char[100]。char* n=new char[100]。//將int整型數(shù)轉(zhuǎn)化為一個字符串 itoa(a,m,10)。 itoa(b,s,10)。 itoa(c,n,10)。//在編輯框顯示三種協(xié)議 SetDlgItemText(IDC_EDIT2,m)。 SetDlgItemText(IDC_EDIT1,s)。 SetDlgItemText(IDC_EDIT3,n)。 網(wǎng)絡流量預測模塊的實現(xiàn) GARCH模型的實現(xiàn)GARCH模型是基于以往的每個時間階段的流量變化和方差變化來計算的，利用GARCH模型中的公式（）來進行數(shù)據(jù)處理，這樣就可以得出流量誤差項的方差，再通過方差和預測值就可以預測出下一階段的預測區(qū)間[TotalMin[t], TotalMax[t]]。GARCH（1，1）模型實現(xiàn)如下： lo