36、网络安全与医疗诊断：深度学习的双重应用

网络安全与医疗诊断：深度学习的双重应用

一、CNN - LSTM模型检测僵尸网络攻击

在物联网时代，设备的网络安全面临着巨大挑战，僵尸网络攻击就是其中之一。攻击者以获取经济利益为主要目标，会建立僵尸网络即服务（Botnet - as - a - Service），为客户提供分布式拒绝服务攻击（DDoS）等服务。一旦物联网设备被纳入僵尸网络，它会通过C2服务器与攻击者保持持续联系。受感染设备的网络流量中会包含信标（beacons），这就像是向C2服务器发送的ping信号，表明该设备处于活跃状态且仍是僵尸网络的一部分。除了信标，攻击者发送的命令或C2服务器发送的恶意软件更新等网络流量指标，也有助于识别僵尸网络。

由于设备的网络流量巨大，手动查看网络流量中的异常情况既麻烦又耗费人力。因此，利用人工智能可以简化检测过程。这里提出的基于卷积神经网络（CNN）和长短期记忆网络（LSTM）算法构建的模型，在CTU - 13数据集上进行了训练、验证和测试，旨在通过分析网络流量来识别受感染的物联网设备。

1. CNN和LSTM算法原理

• CNN ：是一种前馈神经网络，主要用于处理图像和自然语言，也可用于时间序列预测。其权重共享和局部感知特性可大大减少训练模型所需的参数数量，降低训练阶段的空间和计算复杂度，提高整体效率。CNN的两个关键组件是卷积层和池化层。卷积层中卷积核的数量可根据要解决的问题而变化，计算公式为：$l_t = tanh(x_t * k_t + b_t)$。卷积操作提取的特征维度很高，因此在卷积层之后使用池化层来降低特征维度，减少训练模型的成本。
• LSTM