闫晓宇　张靓　李志敏　唐雯炜

摘  要：为解决网络应用层流量所带来的安全隐患与传统检测方法极大地消耗设备性能的问题，提出一种基于自编码器算法的网络正常流量过滤的解决方案。该方案对数据流量集进行规则预处理后，提取流行为上的统计特征，对提取的特征进行自编码器算法的模型过滤。实验结果表明，该方案可过滤掉大部分网络中的正常流量，相较于传统的流量检测方法，整体的过滤性能显著提升。

关键词：网络正常流量;自编码器算法;CICIDS2017数据集;Wireshark

中图分类号：TP393    文献标识码：A 文章编号：2096-4706（2021）17-0069-04

Abstract： In order to solve the hidden danger caused by network application layer traffic and the problem that traditional detection methods greatly consume equipment performance， a solution of network normal traffic filtering based on AutoEncoder algorithm is proposed. After the rule preprocessing of the data traffic set， statistical features on traffic behavior are extracted， and the extracted features are filtered by the model of the AutoEncoder algorithm. The experimental results show that this scheme can filter out most of normal traffic in the networks. Compared with the traditional traffic detection method， its overall filtration performance is improved greatly.

Keywords： network normal traffic; AutoEncoder algorithm; CICIDS2017 data set; Wireshark

0  引  言

随着网络应用的普及与多元化，针对互联网应用层的攻击层出不穷，网络安全形势逐渐恶化[1]。然而，传统安全设备在进行安全防御时，采用深度包检测方法，需要进行大量无价值的解包动作，这在很大程度上会消耗安全设备的检测性能[2]，这种全流量检测模式是造成设备处理性能瓶颈的根本原因。

为此，本文提出一种基于自编码器算法的网络正常流量过滤的解决方案，旨在构建一个准确、高效的过滤网络中大部分正常流量的模型，并在校园数据流量上进行了验证，最终实现了过滤掉网络中大部分正常流量，提高网络安全检测设备过滤效率的目的。

1  总体设计

本文所提出的方案共使用两个数据集，第一部分是校园真实数据集，第二部分是加拿大安全研究所公开数据集CICIDS2017数据集[3]。第一部分可以反映校园里真实的流量使用情况，用于验证初步过滤的效果，但由于校园数据集没有标签且难以获得大量全面的恶意攻击数据，因此，在进行模型过滤时使用第二部分数据集，用于验证模型过滤训练与测试的效果。……