40、基于多模态深度学习的加密恶意软件流量检测技术

基于多模态深度学习的加密恶意软件流量检测技术

1. 引言

在网络安全领域，加密恶意软件流量检测一直是一项极具挑战性的任务。恶意软件，如病毒、僵尸网络、特洛伊木马等，会对互联网用户的财产和隐私造成严重损害。随着加密技术的广泛应用，恶意软件利用传输层安全（TLS）协议来隐藏其恶意行为，这使得检测恶意软件流量变得更加困难。

为了应对这一挑战，研究人员采用了机器学习（ML）和深度学习（DL）算法。基于ML的检测方法通过人工设计统计特征（如最大数据包长度）并选择合适的ML模型（如逻辑回归）来对加密流量进行分类。然而，这种方法存在一些局限性，它将加密流量分类问题分解为特征工程和模型训练两个子问题，每个子问题的结果都会直接影响最终的分类性能，而且需要专家经验。近年来，DL技术逐渐兴起，它可以将特征设计和模型训练结合在一个端到端的模型中，自动学习复杂的特征表示。但目前基于DL的加密恶意软件流量检测方法大多只使用一种模态的加密流量数据，如数据包有效负载字节或头部字段，而忽略了流量数据的异构性。

实际上，网络流量可以转换为多模态数据，如TLS握手有效负载字节（HPBs）、数据包长度序列（PLS）和数据包到达时间间隔序列（PAIS）。这些多模态数据可以为加密恶意软件流量检测提供更丰富的信息。因此，多模态DL方法更适合用于提取特征和对加密网络流量进行分类。

2. 相关工作

2.1 ML 基于的检测方法

随着ML技术的出现，研究人员尝试在不进行解密的情况下对加密流量进行分类。例如，Anderson等人首次提出可以将未加密的TLS头部与数据包统计信息结合作为加密流量的特征，使用l1 - 多项式逻辑回归来识别恶意软件家族。Shekhawat等