黄翊翔

摘要：随着网络技术的发展，网络安全问题日益严峻。通过网络行为特征所建立的分类模型能够很好地发现海量数据中潜在的异常行为，然而巨大的网络流量数据中往往存在着大量多领域异构信息，如何有效地将各类信息特征融合在一起对于提高模型检测准确率起着至关重要的作用；除此之外，在网络异常检测领域，已被标记为异常的IP地址数量稀少，也导致在有监督学习过程中严重缺乏训练数据。该文介绍了一种基于协同训练分类模型及数据融合技术的网络异常流量检测方法，并通过真实数据的实验对模型进行了验证，结论表示在保证了模型检测准确率的前提下，该模型同时解决了训练数据的稀缺问题。

关键词：网络安全；网络异常检测；标记数据缺失；半监督学习；数据融合；协同训练

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2017）33-0081-02

Abstract： With the development of network technology， network security has arised as one of the most serious problems. Classification methods Based on network behavior features always have good performance， however， in face of the multi-domain information of network traffic data， its important to fuse them together efficiently. Besides， its hard to train a proper model due to the lack of labeled abnormal IP addresses. This paper introduces an anomaly detection model Based on Co-Training and data fusion method. Through experiments on real data， the results prove that this method well solve the lack of ground truth under the premise of ensuring detecting accuracy.

Key words： network security； network anomaly detection； ground truth scarcity； semi-supervised learning； data fusion； co-training

1 背景

網络恶意攻击行为是信息时代的网络安全所面临的重要问题之一，其中包括了如发送垃圾邮件、端口扫描、僵尸网络[1]以及DDoS攻击等恶意攻击行为，而这些恶意行为往往会给网络用户及企业等带来严重的损失。以往的研究结果表明，网络中的任何恶意行为都会伴随着一系列的显著的或者隐性的异常特征模式[2]，例如，当网络流量数据中存在某些源IP地址在较短时间内有规律地发送了大量的网络请求，那么它极有可能属于某个僵尸网络。通过分析这些异常行为，并为其建立合适的特征分布模型，可以有效地从海量网络流量数据中检测出行为异常的IP地址。……