基于统计学习的网络异常行为检测技术-信息通信学术期刊网.pdfVIP

BIG DATA RESEARCH 大数据 基于统计学习的网络 异常行为检测技术 周　涛 北京启明星辰信息安全技术有限公司 北京 100193 摘要 高级持续性威胁（APT）已经成为企业级安全用户的首要安全威胁。传统基于特征检测、边界防护的安全防 范措施在应对APT攻击时存在不足。为此，介绍了网络异常行为检测方法的现状；分析了基于统计学习的检 测方法的技术路线和体系架构，并以命令控制通道、获取行为等APT攻击中的典型环节为例，介绍了相关的 参数提取和统计分析建模方法；总结了基于大数据的异常行为检测的特点，并指出了后续研究方向。 关键词 大数据；安全分析；异常行为检测；统计学习 doi: 10.11959/j.issn.2096-0271.2015039 Abnormal Network Behavior Detection Technology Based on Statistical Learning Zhou Tao Beijing Venus Information Security Technology Incorporated Company, Beijing 100193, China Abstract In recent years, advanced persistent threat (APT) has become the chief threat to enterprise users. The traditional security protection methods, such as signature-based detection and perimeter protection, are insufficient in dealing with APT. Therefore, the status of network anomaly behavior detection method was described. The technology roadmap and system architecture of abnormal behavior detection based on statistical learning were introduced. The feature extract method and statistical modeling methods were proposed. The characteristic of abnormal behavior detection based on big data was concluded and the direction of future research was proposed. Key words big data, security analysis, abnormal behavior detection, statistical learning 2015039-1 TOPIC 专题 效的解决方案。 在学术界，基于异常行为识别已知或 1 引言 未知的安全威胁一直都是研究的热点，相 关研究成果包括：Kim等提出了一种基于 近年来，由高级持续性威胁（advanced Netflow数据的异常行为检测框架[2] ，能够 persistent threat，APT）引发的信息安全 对蠕虫、DDoS攻击、网络扫描等行为进行 事件层出不穷，使得信息安全成为大众关 检测，该技术侧重对大规模异常的检测， 注的焦点。从已曝光的APT攻击案例可以 对于APT攻击这类注重自身隐蔽性、不引 看出，大量具备高度经济价值或特殊政治 起网络流量显著异常的攻击行为检测能力 地位的机构成为APT攻击的目标，例如伊 有限。McCusker等建立了一套用于描述网 朗的核电站、