Monitorización de una red académica mediante Netflow

Transcripción

1 Departameto Ivestigador Moitorizació de ua red académica mediate Netflow,2 David López, Jorge E. López-de-Vergara, Luis Bellido, David Ferádez de Igeiería de Sistemas Telemáticos, Uiversidad olitécica de Madrid ETSI Telecomuicació, Ciudad Uiversitaria 284 Madrid {lopezber, jlopez, lbt, 2 visitate de la Uiversidad Autóoma de Madrid Resume Actualmete, u aspecto clave tato para usuarios como operadores de redes de comuicacioes es garatizar la calidad de servicio prestado e las redes de datos y servicios asociados. ara ello, es ecesario realizar medidas que permita comprobar que las redes está proporcioado el servicio cotratado. Co el fi de caracterizar la calidad de servicio, umerosas iiciativas como I erformace Metrics (IM) e I Flow Iformatio Export (IFIX) defie métricas y arquitecturas que permite a todas la partes implicadas llegar a u acuerdo sobre el ivel de calidad de servicio proporcioado y medir su cumplimieto. E el presete artículo se describe ua arquitectura de moitorizació basada e estas iiciativas, aplicadas e la moitorizació de ua red académica.. Itroducció Actualmete, existe e uestra sociedad ua demada por coocer la calidad e los servicios de telecomuicacioes, ligada pricipalmete a la defesa de los derechos de los usuarios de estos servicios. Esto se debe e gra medida a la evolució experimetada por los servicios de telecomuicacioes e los últimos años, e los que se ha pasado de u modelo de servicio cetrado e la telefoía hacia uevos y diversos modelos y arquitecturas fucioales de provisió basadas e redes multiservicio. Esto hace más ecesario el cotrol sobre la calidad de servicio (QoS) que se ofrece, e u mercado co ua gra diversidad de proveedores. Del mismo modo, para prestar servicios a los usuarios fiales de maera iiterrumpida es fudametal ua gestió eficaz de las redes de datos. E este cotexto se ha veido utilizado a lo largo del tiempo diversos dispositivos para obteer iformació referete al fucioamieto de los sistemas. No obstate, existe u vacío importate e la moitorizació de los parámetros de calidad de servicio: co el despliegue de uevos servicios, como el trasporte de voz sobre I, adquiere cada vez ua mayor relevacia el cotrol de todos los factores que afecta al cumplimieto de los Acuerdos de Nivel de Servicio (SLA) comprometidos; es e este puto e el cual las arquitecturas basadas e la caracterizació de tráfico a través del aálisis de los flujos establecidos puede cotribuir sigificativamete al cumplimieto de dichos SLAs. I Flow Iformatio Export (IFIX) [] defie u procedimieto estádar e la obteció de iformació referete a los flujos establecidos e coexioes basadas e TC/I. Dichos flujos se defie como cojutos de paquetes I que atraviesa u puto de observació e u tiempo dado. Asimismo, IFIX defie los procedimietos ecesarios para exportar dicha iformació y procesarla e dispositivos exteros a la propia red. E este artículo se desarrolla ua arquitectura basada e las especificacioes de IFIX para moitorizar diversos parámetros de calidad de ua red. ara ello, primeramete se expoe u método estádar de obteció de iformació referete al tráfico cursado e ua red I. E segudo lugar se defie brevemete el cojuto de métricas especificadas e el IETF. osteriormete se propoe u método de implatació de métricas de QoS basado e técicas de aálisis de flujos. Fialmete se preseta los resultados obteidos e la experimetació de este método e ua red académica así como futuras líeas de ivestigació. 2. IFIX y Netflow Netflow [2], tecología desarrollada por CISCO Systems e 996, permite mejorar la capacidad de ecamiamieto de sus routers. Siguiedo la filosofía ecamiar ua vez, comutar muchas veces, idetifica los flujos establecidos etre máquias co el fi de agilizar el ecamiamieto de futuros paquetes I. Esta tecología ha sido icluida e la propuesta presetada recietemete por IFIX [3]. ara u router, u flujo de datos está costituido por u cojuto de paquetes I co ua misma combiació de atributos (direccioes y puertos orige y destio, tipo de protocolo de trasporte, tipo de servicio e iterfaz de etrada) e u itervalo de tiempo. Cuado se detecta u uevo flujo, Netflow guarda e la memoria itera la correspodecia etre el flujo y su iterfaz de salida, de forma que para posteriores paquetes

2 perteecietes a ese flujo o será ecesario recurrir a cosultas e sus tablas de ecamiamieto, ahorrado de este modo, valiosos ciclos de CU. Cabecera TC/UD uerto de destio uerto de orige recisamete, esta capacidad de los dispositivos de ecamiamieto de obteer iformació referete a los flujos cursados puede ser aprovechada para medir y caracterizar el tráfico que atraviesa el router prácticamete e tiempo real (ver Figura ), y ello de ua maera coveietemete agregada facilita el aálisis de la calidad de servicio como se detallará e subsiguietes apartados. 3. Moitorizació de calidad de servicio 3.. Métricas del grupo de trabajo IM Co el fi de ocupar el vacío existete e la defiició de métricas que especifique de ua maera formal el redimieto de redes I, el IETF orgaizó, e el año 998, u grupo de trabajo deomiado I erformace Metrics (IM) ecargado de formalizar parámetros que permitiera tato a usuarios como proveedores de red cuatificar el estado de sus servicios de red. E el presete artículo se hará referecia a los coceptos defiidos por IM y recogidos e la RFC 233 [4] los cuales costituye el marco geeral de referecia detro de los cuales se circuscribe las métricas tal y como so defiidas e RFCs posteriores segú se idica más adelate. De maera iformal, se puede decir que existe ciertos factores que afecta a la percepció del usuario co respecto al redimieto de los servicios telemáticos; variables como el retardo, acho de bada, variació e el retardo (jitter) o pérdidas de paquetes degrada el redimieto de los iveles superiores de trasporte y aplicació, impidiedo alcazar los iveles teóricos de trasferecia de iformació. ara cuatificar el ivel de degradació del servicio e ua red I, el grupo de trabajo IM, defie las siguietes métricas: Métrica de retardo e u setido (Oe-way Delay Metric) [5]: Defie u cojuto de métricas para estimar el retardo uidireccioal de tráfico. Métrica de pérdida de paquetes e u setido (Oe-way acket Loss Metric) [6]: Defie u cojuto de métricas para estimar pérdidas de tráfico. Métrica de la variació del retardo de paquetes (I acket Delay Variatio Metric) [7]: Defie u cojuto de métricas para estimar la variació del retardo uidireccioal. Métrica para medir coectividad (IM metrics for measurig coectivity) [8]: Defie u Cabecera I Cabecera ivel de elace TOS rotocolo Direcció I de destio Direcció I de orige Iterfaz Netflow Figura. Iformació obteida mediate Netflow cojuto de métricas para estimar la coectividad etre redes. Métrica del retardo de ida y vuelta (Roud-trip Delay Metric) [9]: Defie u cojuto de métricas para estimar el retardo bidireccioal de tráfico. Métrica de la capacidad de trasferecia (Bulk Trasfer Capacity Metric) []: Es el cojuto de métricas que estima el acho de bada efectivo alcazado. Métrica de muestreo de patroes de pérdidas e u setido (Oe-way Loss atter Sample Metric) []: Extiede las defiicioes itroducidas e [6]. Al mismo tiempo, IM defie u cojuto de requisitos que las métricas ha de cumplir a fi de asegurar la validez y repetibilidad de las medidas. Recomieda el uso de variables determiistas e lugar de aleatorias así como u método de muestreo basado e 3 iveles (ver Figura 2). Métrica uitaria (sigleto metric): se refiere a medidas atómicas, auque e ellas puede iterveir medidas sobre distitos paquetes relacioados etre sí. or ejemplo, ua medida putual de la capacidad de trasferecia etre dos sistemas fiales. Métrica muestral (sample metric): es ua métrica derivada de ua métrica uitaria tomado distitas istacias de ella. or ejemplo, se podría defiir ua métrica muestral del retardo uidireccioal de u sistema fial a otro como las medidas realizadas durate ua Sigletos Samplig rocess Sample Statistical calculus Figura 2. roceso de muestreo Statistic

3 hora, dode los itervalos etre cada medida sigue ua distribució de oisso de media igual a segudo. Métrica estadística (statistical metric): es ua métrica derivada de ua métrica muestral a partir del cálculo de algua estadística sobre los valores defiidos por la métrica uitaria sobre la muestra. or ejemplo, ua métrica estadística sería la media de todos los valores del retardo uidireccioal de la muestra defiida e el ejemplo aterior. Además de los valores medios suele ser relevates, percetiles, valores míimos o máximos, o percetiles iversos (fracció de valores respecto a u umbral). Otra defiició importate se refiere a la ecesidad de especificar de forma clara el tipo de tráfico al que se refiere ua métrica, ya que los dispositivos de las redes puede dar u tratamieto distito, por ejemplo, a distitos protocolos. Se trata del térmio packet of type, dode se puede defiir explícitamete, parcialmete, o se puede usar de forma geérica, depediedo del cotexto. Las deomiacioes de las métricas icluirá el tipo específico de paquete o la frase type-. Así, se puede hablar de retardo uidireccioal type-dns o variació del retardo de paquetes type-htt Iterrelació etre IM e IFIX Si bie el grupo de trabajo IM defie claramete aquellas métricas útiles e la caracterizació de calidad de servicio QoS, o precisa el modo de obteció de dichas métricas. Numerosas iiciativas como RMON [2], RTFM [3], SAM [4], Sflow [5] o IFIX aborda la implemetació práctica de métodos de adquisició de medidas de calidad de servicio (ver Figura 3). De dichas iiciativas, RMON carece de u cojuto estádar de MIBS que satisfaga los requisitos tal y como se especifica e [4], impidiedo la iteroperabilidad etre distitas implemetacioes. De maera aáloga a las iiciativas basadas e aálisis de flujos como IFIX, existe otras aproximacioes complemetarias basadas e muestreo de tráfico como es el caso de acket Samplig (SAM), cuyo objetivo es proporcioar mecaismos de aálisis si ecesidad de capturar todo el tráfico, permitiedo de este modo su escalabilidad a las actuales redes Gigabit de datos. Si embargo, a diferecia de IFIX, esta tecología o está implemetada actualmete e los routers. or otra parte, existe métodos activos de caracterizació del estado de los elaces de datos, los cuales se basa e la geeració de tráfico sitético para estimar los diferetes parámetros. Es precisamete esta propiedad itrusiva la que puede llegar a limitar su escalabilidad e grades etoros. Mediate el empleo de técicas pasivas de aálisis como IFIX se puede dispoer de ua arquitectura o itrusiva e iteroperable para calcular métricas de calidad de servicio. El hecho de ser u método pasivo permite dispoer de umerosos putos de medida si que el tráfico de datos se vea afectado, mietras que el hecho de ser iteroperable cotribuye a que diversos operadores pueda colaborar etre sí para recabar iformació relacioada co sus elaces y el tráfico itercambiado etre ellas. Otra propiedad iherete a las técicas de aálisis basadas e flujos (IFIX) es la de caracterizar el tipo de tráfico cursado por los usuarios fiales, lo cual facilita el desarrollo de metodologías de estimació de QoS orietadas a la percepció del usuario de los servicios de red. 4. Moitorizació de ua red académica mediate Netflow Co el fi de verificar experimetalmete la viabilidad de las técicas de caracterizació de tráfico basadas e los flujos establecidos y su explicitació e métricas IM, se ha desplegado ua ifraestructura de adquisició de datos e ua red real e producció, e este caso la de la Escuela Técica Superior de Igeieros de Telecomuicació de la Uiversidad olitécica de Madrid (ETSIT-UM). Dicha red ofrece servicios de datos a los diversos departametos y grupos de ivestigació, itercoectado la red itera a RedIRIS, la red acioal de ivestigació académica. Como muestra la Figura 4, la red se compoe de varios edificios itercoectados mediate ua red Gigabit. A ivel lógico las redes se divide e diferetes redes locales virtuales (VLAN s) co u router cetral que ecamia el tráfico etre ellas. Figura 3. Relació etre los grupos de trabajo del IETF 4.. Arquitectura de moitorizació basada e IFIX Segú establece las especificacioes de IFIX [4], la ifraestructura de moitorizació se basa e los siguietes elemetos (ver Figura 5): Dispositivo IFIX: Router CISCO 72.

4 basados e SNM, permita asegurar la calidad de fucioamieto del sistema e su cojuto, implemetado las fucioes defiidas e la recomedació M.23 de la UIT-T [7] Módulos de iformació y aplicacioes Co el fi de proporcioar al usuario fial ua visió itegrada de los diversos elemetos de red, se ha desarrollado u cojuto de módulos que permite ua mejor iterpretació del estado de la red (ver Figura 5). Figura 4. Red académica utos de observació: VLAN s asociadas a cada rago de red I. rotocolo de medida: Netflow. rotocolo de exportació: Netflow. Recolector: Sistema Liux. Aplicativo e la parte del recolector: flow-tools [6]. A pesar de la gra catidad de tráfico cursado diariamete, la iformació exportada hacia el colector es procesada por equipos covecioales, geerado u total aproximado de uos 2 MBytes diarios. Coviee resaltar que, si bie es cierto que el ivel de detalle que podría obteerse mediate técicas de ispecció de tráfico sería mayor, para u mismo volume de tráfico se requeriría ua mayor catidad de recursos tato de memoria como de procesador Módulos de medició adicioales Auque la caracterizació del tráfico segú los flujos geerados es ua forma eficiete de moitorizació, para ua correcta gestió de la red e su totalidad es ecesario garatizar la itegridad de todos los factores implicados asegurado la prestació iiterrumpida de los servicios cotratados. or ello es preciso ampliar el modelo propuesto e IFIX co módulos adicioales que, Módulo de Estadísticas de Tráfico: rogramado e erl, sumiistra iformació referete a los iveles 2 y 3, como puede ser catidad de tráfico ecamiado e cada VLAN, ragos de direccioes más solicitadas, etc. Módulo de Estadísticas de Servicio: rogramado e erl, gestioa iformació relacioada co iveles superiores como distribucioes de tráfico agregadas segú protocolos o uidades orgaizativas. Módulo de Seguridad: Su misió es la moitorizació de patroes de tráfico de acuerdo co reglas previamete predefiidas. ara ello se ha estudiado [8], dode se propoe u método de detecció de tráfico aómalo basado e el aálisis de flujos. Módulo Visual: Basado e herramietas XML, permite itegrar e u úico portal todas las vistas del sistema, proporcioado u úico puto de acceso a la iformació dispoible. Módulo de Calidad de Servicio: roporcioa iformació relacioada co el redimieto tato de la propia red como de los servicios ofrecidos a la comuidad. Basado e las métricas de IM presetadas ateriormete calcula de ua forma ormalizada las métricas de calidad de servicio, y sirve de base para los resultados obteidos tal y como se expoe más adelate. IFIX Device CISCO Router Flow recordig rocess: Netflow v5 Meterig rocess: Netflow v5 Exportig rocess Flows UD traffic QoS Collector Liux Box Collectig rocess Flow tools Security Visual Service Statistics Observatio Domai VLAN VLAN 2 VLAN N RRDTOOL Traffic Statistics I ackets SNM SNM Agets Figura 5: Ifraestructura de moitorizació

5 5. Resultados obteidos e la estimació métricas de QoS A cotiuació se icluye alguos de los resultados obteidos mediate la iformació sumiistrada por los módulos previamete expuestos, pricipalmete el módulo de calidad de servicio. 5.. Estimació del acho de bada efectivo Basado e las medidas temporales registradas e los flujos obteidos, es relativamete secillo estimar el acho de bada efectivo de cada coexió establecida segú se defie e []. Cosiderado la catidad de octetos que compoe u flujo y el lapso de tiempo registrado e el puto de medida etre el comiezo y el fial de dicho flujo es posible calcular la velocidad obteida mediate: Octetos BTC = () Itervalo Como se muestra e la siguiete tabla, se compara diferetes herramietas de caracterizació del acho de bada; Iperf [9]: ua herramieta activa de estimació; Ethereal [2]: u aalizador de paquetes I; y fialmete Netflow. Los resultados obteidos e todas ellas so similares siedo Netflow algo más optimista. Tabla.Estimació de capacidad de trasferecia Kbytes ** Netflow * Ethereal * Iperf * , , , ** Catidad de tráfico total * (Kbits/s) Ua de las vetajas que Netflow ofrece e este tipo de medicioes es el hecho de o geerar tráfico extra, mietras que Iperf al basarse e medidas efectuadas co tráfico artificial puede llegar a afectar egativamete al tráfico cursado e ese mometo. or el cotrario, cualquier método pasivo de caracterizació de tráfico está sujeto a la existecia real de tráfico e el mometo de la medida, lo cual puede o ser cierto e determiados escearios Estimació del tiempo de respuesta ara estimar los tiempos de respuesta de los servicios iteros existetes e la red es ecesario teer e cueta aquellos flujos origiados e el exterior cuyo destio sea servicios ofrecidos e la red itera, de acuerdo co [9]. Ua vez coocido el istate e que se produce la llegada de la petició y el istate e que la respuesta abadoa la red es posible estimar, co ua precisió del orde de milisegudos, el tiempo total de respuesta del sistema e su cojuto (red + servidor + aplicació), (ver Figura 6). Co estas métricas cocretas se puede respoder fácilmete cuestioes como e qué fraja horaria se hace u mayor uso de los recursos, quié hace u mayor uso de ellos y cómo respode dichos recursos Estimació de retardo uidireccioal Tal y como se defie e [5], las métricas de retardo uidireccioal (Oe way delay metric) puede ser útiles para determiar si la ifraestructura de red se ecuetra detro de los márgees de toleracia impuestos por los servicios deomiados de tiempo real como la voz sobre I (VoI) o la videocoferecia. Asimismo el retardo uidireccioal resulta crítico e el acho de bada máximo alcazable e las actuales redes Gigabit. U posible método de estimació de esta métrica cosiste e dispoer de dos o más dispositivos IFIX, ormalmete routers, co la misma base de tiempos ya sea mediate sistemas GS o mediate protocolos como NT, siedo el primero capaz de asegurar precisioes del orde de aosegudos y del orde de milisegudos el último. De este modo es posible iferir el tiempo trascurrido etre el primer puto de medida y el último, defiiedo de este modo u estimador directo del retardo uidireccioal (ver Figura 7). OWD = (2) i j t x tx La expresió defiida e (2) idica que dado u paquete perteeciete al flujo y situado e la posició x (ormalmete la iicial y la fial), se puede obteer el retardo restado las marcas temporales obteidas para dicha posició x a su paso por los putos de observació i y j. delay (millisecods) timeframe https-roud-trip-delay DNS-Roud-trip-Delay http-roud-trip-delay Figura 6: Métricas de retardos e el Campus

6 t BB (s) t BB (s) t t BB (s) Segú se defie e [7], la métrica uitaria que mide la variació e el retardo viee dada por la expresió: ddt = dt dt j, i j i (4) Cosiderado como caso particular de (3) aquellas métricas uitarias correspodietes a u flujo dado que verifica: Figura 7: Método estimació variació del retardo E la Tabla 2 se muestra diversas muestras de tráfico UD geerado mediate Iperf, así como los tiempos asociados a cada paso del tráfico por dos putos de medida (routers CISCO) diferetes e los putos iiciales y fiales del flujo. La métrica se ha obteido poderado las métricas uitarias correspodietes a los retardos experimetados por los paquetes iiciales y fiales respectivamete. A teor de los resultados obteidos se observa que el retardo uidireccioal es prácticamete costate, idepedietemete del volume de tráfico UD cursado. Tabla 2. Estimacio retardo uidireccioal Iperf IFIX IFIX Métrica octetos B B(s) OWD (ms) ,3 38,3 26,38 38, ,55 32,67 22,62 32, ,39 33,24 3,5 33, ,98 46,34 36,5 46, Estimació de la variació del retardo uidireccioal. Mediate técicas de aálisis de flujos es factible defiir estimadores aproximados que permita cuatificar la variació e el retardo uidireccioal (o jitter) ipdv tal y como se defie e [7]. La variació e el retardo es ua variable a teer e cosideració tato a la hora de dimesioar los equipos de ecamiamieto itermedios como las aplicacioes deomiadas de tiempo real e las cuales el usuario es especialmete sesible a los efectos producidos por dicha variació. Cotiuado co la arquitectura propuesta e el apartado 5.3, cuado u router detecta el paso de u cojuto de paquetes perteecietes al mismo flujo (ver Figura 7), se geera dos marcas de tiempo, ua correspodiete al istate de llegada del primer paquete y otra a la salida del último paquete perteeciete al flujo. De este modo es posible defiir: Itervalo i i i = t t (3) ddt, dt dt = (5) Esto es, teiedo e cueta las variacioes de retardo etre el primer paquete del flujo y el último paquete se llega a la expresió simplificada: ddt = ( t, = ( t t ) ( t t ) ( t t ) t ) = Sustituyedo e (6) la defiició de itervalo (3), se obtiee la expresió simplificada: (6) ipdv Itervalo Itervalo (7) De este modo, se dispoe de ua estimació de la variació del retardo (ipdv) de los paquetes que compoe u flujo dado. Es importate resaltar que este método de estimació de ipdv o ecesita mecaismos de sicroizació temporales etre equipos de medida. 6. Coclusioes y trabajos futuros Detro de los grupos ivolucrados e el desarrollo de Iteret, existe u creciete iterés e la prestació de servicios segú uas codicioes previamete acordadas (SLA s). IM costituye el marco de referecia e el cual tato proveedores como clietes puede, gracias a u cojuto de métricas comues, llegar a establecer acuerdos de calidad de servicio y verificar el correcto cumplimieto de los mismos. Cojutamete, IFIX defie u procedimieto estádar para la captura y gestió de iformació referete al tráfico e redes de datos basada e los flujos geerados. Como se ha mostrado e el presete artículo, IFIX puede servir como ua herramieta capaz de implemetar e la práctica muchas de las métricas defiidas e IM, cocretamete el acho de bada efectivo, el tiempo de respuesta, el retardo uidireccioal y la variació del retardo uidireccioal. ara ello se ha desarrollado ua ifraestructura acorde co las especificacioes fijadas por IFIX e IM sobre ua red e producció, sirviedo para futuros experimetos relacioados co la prestació de calidad de servicio e redes I.

7 Como posibles trabajos futuros cabe cosiderar putos de medida capaces de idetificar la secuecia de llegada de los paquetes perteecietes a u flujo dado co el fi de proporcioar mecaismos de estimació de reordeació de paquetes o pérdida de los mismos. Otra posible ampliació del estudio llevado a cabo e el presete artículo es el aálisis estadístico e redes e producció del tiempo de llegada etre flujos co el fi de validar la utilidad de los métodos de estimació pasivos aquí propuestos, los cuales depede itrísecamete de la existecia de tráfico para poder iferir el comportamieto de los elaces. 7. Referecias [] IETF, I Flow Iformatio Export (IFIX) Charter, TUhttp:// [2] Cisco Sytems NetFlow Services ad Applicatios, White aper, julio de 22. [3] Simo Leie Evaluatio of Cadidate rotocols for I Flow Iformatio Export, Iteret Draft, eero de 24. Eviado al IESG para su publicació como RFC. [4] V.axso, G.Almes, J.Mahdavi, M.Mathis, Framework for I erformace Metrics, IETF RFC 233, mayo de 998. [5] G.Almes, S. Kalididi, M. Zekauskas, A oe-way Delay metric for IM, IETF RFC 2679, septiembre de 999. [6] G.Almes, S. Kalididi, M. Zekauskas, A Oe-way acket Loss metric for IM, IETF RFC 268, septiembre de 999. [7] C. Demichelis,. Chimeto, I acket Delay Variatio Metric for I erformace Metrics (IM), IETF RFC 3393, oviembre de 22. [8] J.Mahdavi, V.axso, IM Metrics for Measurig Coectivity, IETF RFC 2678, septiembre de 999. [9] G.Almes, S. Kalididi, M. Zekauskas, A Roud-trip Delay Metric for IM, IETF RFC 268, septiembre de 999. [] M. Mathis, M. Allma, A Framework for Defiig Empirical BTC, IETF RFC 348, julio de 2. [] R.Koodli, R. Ravikath Oe-way Loss atter Sample Metrics, IETF RFC 3357, agosto de 22. [2] IETF, Remote Network Moitorig (rmomib) Charter, TUhttp:// [3] IETF, Realtime Traffic Flow Measuremet (RTFM) Charter, TUhttp:// [4] IETF, acket Samplig (IETF) Charter, TUhttp:// [5] Sflow, TUhttp:// [6] Flow-tools, TUhttp:// [7] UIT-T, Serie M: RGT y mateimieto de redes. Recomedació UIT-T M.23, agosto de 22. [8] Myug-Sup Kim, Hu-Jeog Kag, Seog-Cheol Hog, Seug-Hwa Chug, James W.Hog A Flow-based Method for Abormal Network Traffic Detectio, 24 IEEE/IFI Network Operatios ad Maagemet Symposium (NOMS 24), Seúl, Corea, abril de 24. [9] NLANR, IERF, TUhttp://dast.lar.et/rojects/Iperf/UT [2] Ethereal, TUhttp://