流量交互图上的未知加密攻击流量识别

今天为大家介绍一篇发表于 NDSS 2023 的工作。文章提出了流量交互图的概念，并在流量交互图上实现了未知的加密攻击流量识别。

文章链接：

https://dx.doi.org/10.14722/ndss.2023.23080

源代码和数据集：

https://github.com/fuchuanpu/HyperVision

随着互联网的高速普及，网络流量规模日益上升。截至2022年，互联网交换中心的流量规模已突破100Tb/s。这些洪水般的互联网流量中，不仅包含了正常用户流量（例如，抖音视频流），还包含了各类攻击流量（例如，DDoS 攻击，网络扫描），这些攻击流量严重损害我国互联网用户的安全。

若能在流量转发设备上分离出攻击流量，即可保护大量合法用户。但规模庞大的互联网流量要求算法具备良好的的处理效率；从海量合法流量中分离少量攻击流量是一个“大海捞针”般的困难任务。此外，近年来新型攻击的产生对检测精度提出更严格的要求。

约十年前，研究人员开始尝试使用人工智能算法自动地从互联网流量当中分离出恶意流量。

在智能恶意流量识别系统当中最重要的是特征提取模块，它将二进制形式的网络数据，转换成为数值形式的特征向量，才能输入机器学习算法。

下图展示了恶意流量识别系统的高层系统架构。

加密恶意流量识别一直是研究领域当中的开放性问题，特别是实现通用的加密恶意流量识别。

将流量表示为图，图结构信息标识 流量交互信息

具体而言，该系统包含了三个主要的组成部分：

1. 流量交互图构建模块：从高带宽流量当中抽取得到数据包的原始特征，并构造流量交互图。

2. 流量交互图预处理模块：对图上的边与节点进行压缩，一条边表示一组流，一个节点表示一组地址。同时计算强连通分量，将图拆分为多个子图。

3. 无监督图学习模块：最后进行无监督图学习，分离出和异常结构相关的边，表示攻击流量，与之关联的节点为攻击者/受害者。

下图展示了流量交互图检测方案的高层系统架构。

我们基于信息论建立了流量特征的香农熵模型：

流量交互图通过 图压缩 实现更高的 信息密度

绘制流量交互图：下图中分别是洪范攻击、密码爆破、Web漏洞探测、和僵尸网络流量绘制的流量交互图。

准确度提升：我们采用DPDK完全实现本系统，我们重放了80种攻击流量测试其准确度，该方案相比于最先进方案提升了13.9%+的检测准确度

检测吞吐：高速网络实验平台上的结果显示，在线检测达到 28Gb/s 吞吐。

检测延迟：我们测量了检测延迟，结果显示平均延迟 低于1秒。