任竹艳

（中电福富信息科技有限公司 北京市 100191）

伴随IT 技术和通信技术的迅猛发展，网络空间环境日渐复杂，云计算、虚拟化、软件定义网络、BYOD 等技术的应用，使得网络的边界变得不再确定。同时，网络攻击工具的平民化、趋利化，使得具备隐蔽性及持续性的APT 高级网络威胁频繁出现。传统的网络攻击主要利用基于规则库的特征匹配技术来发现在网络通讯协议中或应用访问中不符合安全策略的事件，受到单一的数据来源、有限的处理能力、对物理环境的部署依赖等诸多因素的限制，导致对内外部网络攻击的获悉途径及能力不足，对全局的安全感知及未知的预测受限，无法有效应对新环境下的安全挑战。

采用流量监听方式，可以在不影响用户使用体验的情况下深入获悉网络状态，从而为监测网络安全，提供重要的数据源。大数据技术及机器学习算法的爆发式发展及持续商用，使得通过机器学习算法动态分析多源数据的安全分析成为可能，进而发现潜在的威胁，助力自动化分析海量安全事件，为安全分析运维人员提供安全运营的支撑工具。

1 多源数据

传统的安全分析基于WAF、IPS/IDS 等各类安全防护设备的告警信息，这部分数据为安全分析提供了丰富的数据源，但同时，很多攻击的细节在告警日志中被遗失，网络流量数据可为安全分析提供多源数据补充。DPI 技术（Deep Packet Inspection）是在传统IP数据包检测技术（OSI L2-L4 之间包含的数据包元素的检测分析）之上增加了对应用层数据的应用协议识别，数据包内容检测与深度解码，既可以检测2～4 层，又可以检测应用层。……