金志刚, 吴 桐

(天津大学电气自动化与信息工程学院, 天津 300072)

0 引 言

近年来,网络空间安全形势日益复杂严峻,网络攻击手段日趋智能化、自动化。据Distil Networks发布的《2020恶意机器流量报告》[1],在2019年,全网流量中只有62.8%为人类流量,而在机器产生的流量中,恶意流量占全网流量的24.1%,其中高级别恶意机器流量(advanced persistent bots,APBs)通过混合使用如随机IP地址、匿名代理等各种伪装方法实现自动化攻击,占恶意流量的73.7%。

目前,采取数据加密、身份认证、访问控制、防火墙等技术建立的传统静态安全模型逐渐暴露出其局限性,而入侵检测技术可在计算机系统中或者若干网络节点上收集网络实时数据信息和主机数据信息,并采取主动干预的响应手段,可在入侵行为发生或造成危害之前,及时识别攻击者和入侵行为并采取响应措施[2]。

尽管入侵检测技术目前已得到广泛应用,但其在事件分析和警报处理的过程中仍存在一定的缺陷[3]。入侵检测规则一般由安全人员手动匹配设置,通常为了保证高捕获率就会降低检测规则匹配的门槛,这导致入侵检测系统可能依据固定规则产生大量警报,入侵检测系统的误报率和漏报率因此增加,并且处理高误报率的安全事件也需要耗费大量的时间精力,增加人力成本。与此同时,机器学习技术在近年来快速发展[4-5],在自然语言处理[6]、图像分割[7]、目标检测[8]等领域都有相应成果落地实践,并取得良好的效果。因此,针对上述应用场景,为提高入侵检测中的检测率和适应性,目前网络安全领域中学术界和工业界的重点研究趋势便是将机器学习与入侵检测技术相结合[9-10],以提高系统的可用性和对不同攻击场景的灵活适应能力,进一步保障网络空间安全。……