基于LSTM的卷积神经网络异常流量检测方法

陈解元

(国家计算机网络与信息安全管理中心，北京100032)

0 引言

信息技术的广泛应用和网络空间的兴起发展，极大促进了经济社会繁荣进步，同时也带来新的安全风险和挑战。网络安全威胁逐步从信息窃听、篡改、传播病毒等方式上升为更新颖的高强度DDoS攻击、0day漏洞利用、APT攻击等形式，造成的大规模数据泄露和网络黑产行业大规模增长严重危害信息系统运营者权益和用户个人隐私[1]。网络空间中信息传输与交互均以流量为载体，通过异常流量检测，及时发现网络异常情况和攻击行为，对于强化网络安全应急响应能力，维护网络空间安全具有重要意义[2]。

入侵检测[3]作为一种主动安全防护技术，从网络系统中的关键节点收集信息，即时监视并分析网络中是否有违反安全策略的行为。入侵检测系统(IDS)[4]按照信息来源的差异分为两类：基于主机IDS和基于网络IDS，其中主机IDS[5]数据来源主要为防火墙、主机、网络设备等产生的日志，但随着大数据和云计算技术的发展，海量安全事件给设备和安全运维人员带来了“感知”上的巨大压力。基于网络的入侵检测系统[6]数据来源是网络上传输的数据包和网络设备的告警日志，在发现蠕虫病毒攻击、DDoS攻击、未知行为攻击等方面的有效性逐步得到验证，异常流量检测技术也受到越来越多的关注。

迄今为止，国内外学者已提出了多种异常流量检测方法，目前主流的研究方向是基于机器学习或深度学习的方法。……