一种基于图结构学习的统一框架，用于在恶劣环境中检测经过加密的恶意流量

《IEEE Transactions on Network Science and Engineering》：A Unified Framework for Robust Encrypted Malicious Traffic Detection in Adverse Environments via Graph Structure Learning

加密流量中恶意活动的隐蔽性增强传统检测失效，基于图神经网络的RET A框架通过统一异构图结构学习，整合语义元路径与行为相似性，结合通道注意力聚合和贝叶斯推断修正噪声关联，迭代优化检测鲁棒性，并模拟真实对抗环境验证效果，实验表明其显著提升检测能力。

　　

摘要：

加密协议的广泛采用使得攻击者能够在加密流量中隐藏恶意活动，从而使传统的检测方法失效。图神经网络（GNNs）作为一种有前景的解决方案应运而生，它们通过图表示对网络对象及其交互进行建模，以捕捉复杂威胁活动的协作行为模式。然而，在不利环境中，GNNs的良好性能并不总是能够得到保持，导致其表现不尽如人意，主要存在三个关键问题：（1）信息分析不完整，网络对象之间的异构关系常常被忽视；（2）缺乏针对规避技术的解决方案，现有方法侧重于强大的表示学习，但无法纠正对抗性扭曲；（3）鲁棒性评估有限，依赖于合成特征扰动而非符合现实世界攻击的原始流量操作。为了解决这些问题，我们提出了RETA，这是一个基于图结构学习的统一框架，用于检测加密恶意流量。首先，RETA结合了捕获语义元路径的异构子图和模拟加密会话间行为相似性的同构子图，并采用定制的异构图注意力网络（HAN）编码器进行邻域信息聚合。然后，它利用统一的图结构学习框架，通过基于通道注意力的聚合和基于贝叶斯推理的估计来纠正由规避技术引起的噪声关系。通过迭代方式，RETA不断改进关系建模和检测的鲁棒性。最后，RETA通过修改原始流量数据来模拟各种现实的不利条件，确保在网络波动和对抗性攻击下的全面鲁棒性评估。大量实验表明，RETA具有出色的鲁棒性，显著提高了检测能力...

显示更多

引言

随着智能设备和互联网应用的迅速普及，全球网络流量呈爆炸性增长。为了确保数据传输的安全性，加密流量已成为网络通信的主要形式。然而，加密技术的广泛部署也扩大了攻击面，因为攻击者越来越多地在加密流量中隐藏威胁活动（例如，恶意负载传输、隐蔽通道构建和敏感数据窃取）。根据[1]的数据，2023年10月至2024年9月期间，Zscaler云拦截了321亿次嵌入在SSL/TLS加密流量中的攻击，占所有威胁的87.2%。