ERFS：基于流语义关联的入侵检测高效特征图表示方法

《IEEE Transactions on Cognitive Communications and Networking》：ERFS: Efficient Feature Graph Representation for Intrusion Detection Based on Flow Semantic Association

基于流语义关联的入侵检测方法ERFS通过构建不依赖拓扑的语义关联图和小窗口全局学习机制提升效率，在五个数据集上达到97.87%-100%的检测准确率。

　　

摘要：

网络威胁的检测仍然是网络安全防御中的基本任务。图能够捕捉丰富的结构信息并保留内容信息，在威胁检测领域具有广泛的应用。然而，现有的基于图的威胁检测方法计算复杂，且在现实世界的网络环境中应用起来具有挑战性，因为网络拓扑可能不完整或难以观察。为了解决这个问题，我们提出了ERFS，这是一种基于流语义相关性的高效特征图表示方法，用于入侵检测。该方法旨在增强网络行为的特征表示。首先，该方法构建了一个语义相关性图来描述网络流内部及流之间的固有语义关系，然后利用消息网络更新和学习图节点的信息。更新后的节点被聚合成流级语义特征表示，从而实现威胁检测。该方法的关键创新在于图构建和学习过程：语义相关性图是基于上下文相关特征构建的，不依赖于拓扑信息，解决了传统图构建方法对网络拓扑的依赖性问题。同时，它引入了小窗口学习机制和全局边权重共享机制，使得在较小窗口范围内进行图学习的同时，能够全局共享相同节点和边权重的表示。此外，该方法还解决了当前图构建方法中存在的计算复杂度高和效率低的问题。评估结果显示，该方法在五个公共数据集（CIC IDS2017、CIC DOS2017、CIC DDoS2019、USTC-TFC2016和ISCX VPN-nonVPN）上的分类准确率分别达到了99.99%、98.81%、100%、97.87%和99.64%...

显示更多

引言

网络空间已成为人类存在的第二个领域，其安全问题已成为国家利益的新焦点。随着互联网的迅速发展和信息技术的广泛应用，企业、组织和个人越来越多地面临网络安全威胁。这些威胁包括黑客入侵、网络钓鱼攻击、恶意软件感染、数据泄露等多种恶意活动，给受害者带来了巨大的财务和声誉损失。因此，检测和揭露威胁行为对于保护网络空间至关重要。在网络活动所承载的海量数据流中，其显著特点是规模庞大、时间和空间跨度广泛以及分布广泛。同时，恶意行为利用加密、分片、混淆和伪装等手段在海量数据中隐藏自己，这使得仅通过原始网络流数据分析直接识别威胁行为变得极其困难。