53、智能互联网探测：利用自适应机器学习进行扫描

智能互联网探测：利用自适应机器学习进行扫描

1. 主要贡献概述

在网络扫描领域，传统扫描方式在获取信息时会显著增加计算量，且仅基于端口响应进行预测效果不佳。为解决这些问题，提出了以下主要贡献：
- 开发两种智能网络扫描方法 ：
- 并行扫描 ：利用主机的先验属性（如位置和自治系统信息）作为特征进行预测。
- 顺序扫描 ：利用跨协议依赖关系，将一次扫描的结果作为特征，自适应调整后续扫描的探测。
- 为顺序扫描开发最优端口扫描顺序技术 ：先训练一组分类器，测量一个端口对预测其余端口响应的贡献，然后按重要性降序探测端口。
- 评估框架性能 ：通过对 2019 年 1 月至 5 月公共互联网的全局扫描进行模拟评估，结果显示，使用并行（顺序）扫描可减少 26.7 - 72.0%（47.4 - 83.5%）的探测次数，同时保持 90 - 99%的真实阳性率，用于发现所有端口的活动设备。此外，在扫描易受攻击/配置错误的 IP 地址时，也观察到了较高的真实阳性率（>98.5%），表明该方法可用于发现易受攻击的设备和评估网络安全态势。

2. 数据集

2.1 全球互联网扫描

为获取公共互联网的扫描数据，使用了 Censys 数据库。该数据库包含 2019 年 1 月至 5 月期间对 IPv4 地址空间 37 个不同端口的全球扫描结果。每个快照包含可发现主机的记录（以 JSON 文档存储），即至少对一个发送的探测做出响应的主机。本研