18、WebAD2：高效网络异常检测模型解析

WebAD2：高效网络异常检测模型解析

1. 网络异常检测现状与挑战

在当今的网络环境中，Web 应用攻击不断增加。数据显示，SQLI、LFI 和 XSS 等攻击占据了观察到的 Web 应用攻击的 93%，且与之前相比有显著增长。为了应对这些攻击，入侵检测系统中广泛使用了误用检测和异常检测两种技术。

1.1 误用检测与异常检测

• 误用检测 ：核心是模式匹配，通过将当前记录与已知攻击模式进行匹配来识别攻击。但它无法检测到未知攻击，如 0 日漏洞。
• 异常检测 ：通过学习良性网络流量建立正常行为模型，在检测阶段以该模型为基线识别异常。随着人工智能和机器学习的复兴，异常检测成为网络安全领域的热门研究方向。

1.2 异常检测方法分类

异常检测方法主要分为三类：
- 统计方法 ：旨在通过统计技术发现分布信息。例如，对 URI 进行统计分析，应用高斯分布和马尔可夫模型分析属性长度、字符分布等。但仅依赖权重计算会导致检测率较低。还有基于 URL 熵分析的方法，通过分割 URL 字符串计算熵，但可能忽略熵值小的异常。
- 数据挖掘方法 ：种类多样。如结合关联规则和模糊集理论实现高检测率；使用异常熵和随机森林识别流量以降低误报率；应用 KNN、贝叶斯网络和随机森林进行流量分类，并使用聚类识别未知应用；通过基于密度的聚类和子空间聚类聚合流量并通过排名检测异常。
- 机器学习方法 ：主要包括