新聞中心
誤報(bào)率太高？AI+流量安全分析，讓網(wǎng)絡(luò)運(yùn)維更輕松
誤報(bào)率是衡量網(wǎng)絡(luò)安全設(shè)備的重要技術(shù)指標(biāo)，但如何正確檢測(cè)和計(jì)算這項(xiàng)指標(biāo)，沒(méi)有統(tǒng)一科學(xué)的方法。安博通基于自主研發(fā)的網(wǎng)絡(luò)流量安全分析系統(tǒng)，總結(jié)自身技術(shù)和經(jīng)驗(yàn)，得出了一套安全設(shè)備誤報(bào)率的檢測(cè)計(jì)算方法，并基于深度學(xué)習(xí)技術(shù)將誤報(bào)率降到業(yè)界較低水平，可減少企業(yè)機(jī)構(gòu)安全運(yùn)維的人力和時(shí)間投入。
誤報(bào)率是什么？
· 誤報(bào)：在網(wǎng)絡(luò)安全設(shè)備報(bào)警規(guī)則集合C中，事件A觸發(fā)報(bào)警時(shí)，發(fā)生了B事件報(bào)警或未發(fā)生報(bào)警。
· 誤報(bào)率：在規(guī)則集C中，由于算法或事件定義導(dǎo)致安全設(shè)備產(chǎn)生誤報(bào)的概率。
通用的誤報(bào)率計(jì)算方法是，以設(shè)備規(guī)則集為出發(fā)點(diǎn)，對(duì)規(guī)則集事件進(jìn)行加權(quán)處理，但業(yè)界暫無(wú)統(tǒng)一的權(quán)值標(biāo)準(zhǔn)，因此造成計(jì)算困難。
由于安全設(shè)備規(guī)則集較多，全面覆蓋往往不現(xiàn)實(shí)。在實(shí)踐中，通常以抽樣測(cè)試方法來(lái)統(tǒng)計(jì)誤報(bào)率，即隨機(jī)挑選事件庫(kù)中的部分事件，使用攻擊工具觸發(fā)這些事件，或以抓包工具對(duì)捕獲的包進(jìn)行回放，分析報(bào)警結(jié)果，從而得出安全設(shè)備的誤報(bào)率。
基于深度學(xué)習(xí)技術(shù)的流量安全分析，降低誤報(bào)率
安博通網(wǎng)絡(luò)流量安全分析系統(tǒng)在傳統(tǒng)流量采集、流量分析、流量回溯的基礎(chǔ)上，集成自研的威脅情報(bào)技術(shù)，并應(yīng)用深度學(xué)習(xí)技術(shù)，降低誤報(bào)率。
深度學(xué)習(xí)技術(shù)是機(jī)器學(xué)習(xí)技術(shù)的一種，而機(jī)器學(xué)習(xí)是實(shí)現(xiàn)人工智能的必經(jīng)路徑。深度學(xué)習(xí)概念源于人工神經(jīng)網(wǎng)絡(luò)的研究，其通過(guò)組合低層特征形成更加抽象的高層表示屬性類(lèi)別或特征，并以發(fā)現(xiàn)數(shù)據(jù)的分布式特征表示。研究深度學(xué)習(xí)的動(dòng)機(jī)在于建立模擬人腦學(xué)習(xí)分析的神經(jīng)網(wǎng)絡(luò)，它模擬人腦機(jī)制解釋數(shù)據(jù)，如圖像、聲音、文本等。
基于深度學(xué)習(xí)的惡意文件、惡意URL、DGA域名等檢測(cè)技術(shù)無(wú)需沙箱環(huán)境，可以直接將樣本文件轉(zhuǎn)換為二維圖片，進(jìn)而應(yīng)用改造后的卷積神經(jīng)網(wǎng)絡(luò)Inception V4進(jìn)行訓(xùn)練和檢測(cè)。
Step 1：二進(jìn)制文件轉(zhuǎn)換
將樣本文件初步處理后轉(zhuǎn)換為二進(jìn)制文件，轉(zhuǎn)換后每個(gè)字節(jié)范圍在00-FF之間，對(duì)應(yīng)灰度圖像素在0-255之間（0為黑色，255為白色）。將二進(jìn)制文件轉(zhuǎn)換為矩陣，矩陣又可以轉(zhuǎn)換為灰度圖。
Step 2：CNN圖像識(shí)別
單靠觀看很難區(qū)分惡意樣本與白樣本在紋理上存在的細(xì)微差異，采用成熟的CNN圖像識(shí)別算法可以進(jìn)行圖像分類(lèi)。
CNN（卷積神經(jīng)網(wǎng)絡(luò)）是一類(lèi)包含卷積計(jì)算且具有深度結(jié)構(gòu)的前饋神經(jīng)網(wǎng)絡(luò)，是深度學(xué)習(xí)的代表算法之一。它的構(gòu)成包括：
· 輸入層（Input Layer）
用三維矩陣代表一張圖片，矩陣的長(zhǎng)寬表示圖片的大小，矩陣的深度表示圖像的色彩通道，黑白為1 。
· 卷積層（Convolution Layer）
這一層的輸入是上一層神經(jīng)網(wǎng)絡(luò)的一小塊，它試圖對(duì)神經(jīng)網(wǎng)絡(luò)的每一小塊進(jìn)行更深入分析，以得到抽象程度更高的特征。一般來(lái)說(shuō)，本層處理后的結(jié)點(diǎn)矩陣深度會(huì)增加。
· 池化層（Pooling Layer）
不改變?nèi)S矩陣的深度，但能夠縮小矩陣的大小，達(dá)到減少參數(shù)的目的?？梢钥醋鍪菍⒎直媛瘦^高圖片降低分辨率的過(guò)程。
· 全連接層（Fully Connecced）
經(jīng)過(guò)多輪卷積和池化后，經(jīng)過(guò)1-2個(gè)全連接層進(jìn)行輸出?？梢詫⒕矸e層、池化層看做特征提取，最后由本層進(jìn)行分類(lèi)。
· Softmax層
轉(zhuǎn)化為概率分布。
這一技術(shù)簡(jiǎn)化了檢測(cè)流程，速度也優(yōu)于沙箱技術(shù)，可將誤報(bào)率控制在10%以?xún)?nèi)，最低降至1%。
以下是最近一次惡意文件訓(xùn)練后在測(cè)試集上評(píng)估的結(jié)果：
· 各項(xiàng)指標(biāo)在97-98%左右，優(yōu)于以往模型。
· 表現(xiàn)較差的幾種格式，主要原因?yàn)檎龢颖局袠颖緮?shù)較少。
· dex是一種特殊的安卓文件格式，在負(fù)樣本中沒(méi)有收集到，導(dǎo)致測(cè)試結(jié)果可能偏向正樣本。
· rar、zip壓縮后對(duì)檢測(cè)有一定影響。
以下是DGA和惡意URL檢測(cè)在驗(yàn)證集上的結(jié)果，可以看到誤報(bào)率最低降至1%（1-準(zhǔn)確率）。
創(chuàng)新提出全棧分析概念
安博通網(wǎng)絡(luò)流量安全分析系統(tǒng)集成了會(huì)話(huà)分析、WAF、IDS告警、威脅情報(bào)分析、未知威脅分析、全流量溯源、文件還原取證等功能，并創(chuàng)新性地提出了全棧分析概念。
除了基于深度學(xué)習(xí)從技術(shù)層面量化降低誤報(bào)率外，還可以從實(shí)際操作層出發(fā)，根據(jù)實(shí)踐經(jīng)驗(yàn)，應(yīng)用這些措施降低誤報(bào)率：
1、 應(yīng)用自研威脅情報(bào)，可實(shí)時(shí)更新離線(xiàn)庫(kù)，保障準(zhǔn)確率。
2、 應(yīng)用未知威脅分析，通過(guò)加白名單操作排除誤報(bào)。
3、 應(yīng)用異常流量檢測(cè)、網(wǎng)絡(luò)攻擊檢測(cè)，通過(guò)配置審計(jì)的精確IP，降低誤報(bào)率。
4、 應(yīng)用內(nèi)置的WAF功能，也可以通過(guò)減少配置審計(jì)的IP降低誤報(bào)率。
在技術(shù)發(fā)展日新月異的今天，將先進(jìn)技術(shù)應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域，不斷提升產(chǎn)品功能精度，是安博通自主創(chuàng)新的不懈追求。未來(lái)，公司將繼續(xù)以人工智能技術(shù)賦能網(wǎng)絡(luò)安全產(chǎn)業(yè)，切實(shí)保障在等保合規(guī)、紅藍(lán)對(duì)抗、日常運(yùn)維中的安全需求，為各行業(yè)用戶(hù)創(chuàng)造安全業(yè)務(wù)價(jià)值新體驗(yàn)。
