高准确率的鲁棒加密恶意流量实时检测方法-张钊.pdfVIP

ThenameoftheDepartment

BeijingForestStudio

部门名称

北京理工大学信息系统及安全对抗实验中心

高准确率的鲁棒加密恶意流量

实时检测方法

博士研究生张钊

2022年03月20日

内容提要

•背景简介

•历史发展

•基本概念

–流量数据

–检测流程

•算法原理

–Whisper

–ACID

•应用总结

•参考文献

2

预期收获

•预期收获

–1.了解网络流量和恶意流量

–2.了解恶意流量检测的问题和挑战

–3.理解恶意流量机器学习检测方法

–4.了解应用领域和发展方向等

3

背景简介

•恶意流量检测

–互联网的快速发展，人们对网络各种服务的依赖增强

–网络安全形式严峻，恶意软件数量不断增加，以网络为主要传播途径的恶意软件

不断地利用网络开展攻击

–通过分析网络流量特征来识别恶意流量，保护合法互联网用户免受网络攻击

4

背景简介

•传统恶意流量检测面临挑战

–基于规则的检测无法检测到零日攻击

–由于机器学习算法的处理开销，现有的检测方法检测吞吐量较低，无法处理高速

率的网络流量

–规避攻击可以轻松绕过使用粗粒度网络流统计信息的传统检测

–分析每个数据包特征序列的数据包检测无法实现稳健的检测

–对网络流量个别特征的微小变化极为敏感，在软件不断更新与流量环境不断变化

情况下，有效性降低

5

历史发展

历史发展

历史发展

•根据检测方法的不同性质，恶意流量检测方法可主要分为两类

–基于误用(Misuse)的恶意流量检测

•根据预定义的签名(Signature)来识别恶意流量，能有效过滤已知的恶意流量，但在识别

未知恶意流量方面适用性较差

–基于异常(Anomaly)的恶意流量检测

•依靠启发式方法来捕获恶意流量，多为基于监督学习的机器学习方法

•基于机器学习的恶意流量检测主要步骤为数据预处理、特征选择以及检测模型训练

7

基本概念

基本概念

基本概念

•网络流量

–通过特定网络节点的数据包和网络请求数量

–作为网络攻击中的一种重要载体，对其进行研究具有极其重要意义

9

基本概念

•恶意流