网络空间对抗防御中的智能监测技术研究

01对抗防御及当前安全问题描述按照安全机理不同，网络空间防御可被划

分为内生防御、保护防御和对抗防御3种。其中，

内生防御是指依靠网络自身构造和运行因素而

产生及演进的安全效应和能力，来遏制和抗击

网络威胁或破坏行为。保护防御是指在网络空

间发生的，利用访问控制、入侵检测、应急响

应等方法，遏制和抗击网络空间威胁或破坏行

为。对抗防御是在网络空间发生的，发现、定位、

溯源、预警、处置、遏制和反击敌在或通过网

络空间产生的威胁或破坏行为的各类措施与活

动。其中，

对抗防御主要用于有效遏制国家级、大规模、高隐蔽攻击威胁，主要包括以下特点：（1）非合作或弱合作条件防御。合作指的

是被防御者与防御者之间的配合程度。一方面，

大量的被防御者出于政策、体制、思维模式等

考虑，不提供相应配合；另一方面，过度要求

被防御者的配合，也会影响到被防御者的正常

业务，为此，网络空间防御的大量业务会在非

合作或弱合作的条件下开展。这是思考和认识对抗防御的基本出发点。（2）网络空间状态可观测。在弱合作和非

合作条件下开展对抗防御，就必须对网络空间

的状态进行掌握，如何对庞大的空间状态进行

掌握，需要在现有监测手段的基础上，提出一

种新的空间观测思路，能够满足在带外对空间

状态掌握的需求。（3）融入网络空间防御大体系。对抗防御

是一种新的防御视角和模式，是现有防御体系

面对新威胁时必然产生的延展和加强，与现有体系相辅相成，互相支撑，共同见效。因此，我们认为网络空间需要建立完善的

对抗防御机制，将攻击、威胁、恶意行为进行针

对性刻画，

在弱合作网络中实现异常行为检测。0２网络流智能监测技术综述目前，各类机器学习、深度学习技术和统计方法常被用于构建不同类型的入侵检测系统来保护网络。根据关注的研究点不同，现有研究大体

可以归为3类：一是关注修改模型或方法，用于

提升数据集分类及检测准确率；二是关注应用场

景，例如小样本检测、非平衡数据、网络流数据

增强、特征筛选过滤等；三是关注技术方式，如

使用无监督、半监督、自监督等非完全监督式学习方式进行检测，具体内容如表1所示。表

1现有网络流监测研究工作汇总续表注：带

*

具有物联网等特殊应用特点，带

#

为多次测试的平均结果。

2.1基于模型及方法创新的网络流监测研究关注模型以及方法创新的网络流检测技术，

往往从模型的结构出发，对成熟的机器学习、

深度学习算法进行修改、优化、更新，以提升

模型鲁棒性、泛化性并最终提升检测性能和准确度。基于递归神经网络的检测系统的

二分类和多分类性能均优于传统分类方法，

提高

了入侵检测的准确性，为入侵检测提供了一种

新的研究方法。Wang等人

首次对加密的网络

流分类域应用端到端方法，提出了一种具有一

维卷积神经网络（One-DimensionalConvolutionalNeuralNetwork，1D-CNN）的端到端加密网络流分类方法，并在公开数据集上验证了其有效性。利用支持向量机和贝叶斯等

方法，对支持向量机的参数进行优化，

提高了

异常检测的精度和准确度。通过深度学习的方法提升了入侵检测的准确

性。提出了一种利用主成分分析和随机森林分类算法来开发高效入侵检测系统

（IntrusionDetectionSystem，IDS）

的

方

法。其

中，主成分分析（PrincipalComponentAnalysis，

PCA）将通过减少数据集的维数来帮助组织数

据集，可以获得更高的精度。设

计了基于图的物联网流分类方法（Group-basedInternetofThingsClassification，GBC-IoT），

能

够通过网络流分析识别连接的物联网设备，处理

开销更小，准确率更高。给出了基于深度神经网络（DeepNeuralNetwork，DNN）

的网络数据自动分类的初步结果，验证了DNN对网络数据分类的潜在有效性。文献

[10]

和文

献

[11]

分别提出了基于稀疏自编码的随机森林

检

测

方

法

和

优

化

卷

积

神

经

网

络（ConvolutionalNeuralNetwork，CNN）

和分层多尺度长短期记

忆网络（LongShort-TermMemory，LSTM）

统一

模型，提高了检测的准确率。基于模型及方法的网络监测绝大部分有着

较高的准确率、召回率等分类评估结果，但仍

然存在着资源消耗过大、模型过拟合以及应用

场景单一等问题。如Yin等人提出的递归神

经网络模型会花费更长的训练时间，通过GPU加速才能得到降低；文献

[3]

和文献

[4]

需要大

量的迭代计算才能确定向量机的参数，同时这

些方法在针对不同场景时往往无法迁移，其对

数据的要求较高，可迁移性不强。2.2基于特定应用场景的网络流监测研究由于现有方法普遍对特定数据集和场景有

效，对于广泛网络流检测效果有限，所以针对特定场景、特定应用问题的相关研究也被提出。有研究

针对物联网网络流进行分析，分别提出了新的基于深度学习模型的网络流分类（NetworkTrafficClassification，NTC）技术、合成少数类（SyntheticMinorityOverSamplingTechnique，SMOTE）技术以及进化神经网络（EvolutionaryNeural

Networks，

ENN）的模型机制，在数据集上的测

试结果表明，检测的准确率和精确率得到了提升。有研究针对网络流分类的问题，分别提出了基于分组字节的两级结构卷积神经网络、评

估

审

查

技

术（ProgramEvaluationandReviewTechnique，PERT）框架、基

于

网

络

仿

真

器

（Mininet）的简单网络拓扑仿真框架、基于虚

拟连接（VirtualConnection）

的智能系统原型、

深度学习模型以及二值分类的方法，在实际的

分类测试中对于相应的数据集均取得了较高的

准确率。

提出了一种基于混合深度

神经网络的低速拒绝式服务（Low-rateDenialofService，LDoS）攻击检测方法。对实际数

据集的测试结果表明，该方法只需要统计网络

流的时间就能够有效检测出波动HTTP网络流

下的LDoS攻击。Raikar实现了自动化的网

络资源管理，减少了人为对流量表征和分析的

干预。针对不同应用场景，网络流监测的模型及

方法在实验仿真中都有较好的分类效果，但在

实际应用中仍然存在性能较低的情况。以上提

出的流量监测方法绝大部分是在实验室环境内

使用公共数据集进行测试和验证，对于在现实

场景中的表现还不清楚。例如，就

明确提出面对更加复杂的应用环境，需要在现

实场景中进行进一步的测试与调整。而且某些低频攻击在实际场景中可能

会产生更大的威胁，但是目前的大部分方法对

其的检测性能较差。2.3基于学习方式的网络流监测研究网络流精准检测往往依赖大量的先验知识，

这导致必须要有大量的标注数据才能达到满意

的识别效果，所以大量研究者将无监督、半监督、自监督等非完全监督式学习方法用于数据流监测。可以根据协议、应用程

序和攻击类型等角度对这些网络流进行检测及

分类。将改进的条件变分自动编码

器（ImprovedConditionalVariationalAutoEncoder，

ICVAE）

与DNN相结合，

该方法在少数攻击和

未知攻击中也具有较高的检测率。文献

[26]、文

献

[27]

和文献

[28]

分别提出了基于卷积神经网络的有效载荷分类方法和基于递归神经网络的

有效载荷分类方法、DeepMAL模型以及无监督

学习聚类方法BiGkmeans，无需特征方程以及专

家的手工制作，即可实现网络入侵检测。有研

究

分别采用了基于信息增益和多层感知器

神经网络的轻量级网络IDS、基于相似度的模糊熵

加

权K最

邻

近（K-NearestNeighbor，KNN）

的网络流攻击检测方法、深度神经网络和关联

分析技术、深度并行网中网模型、深度聚类算

法与BIRCH聚类算法相结合、深度学习以及叠

加的深度神经网络，通过有监督学习方式对网

络流进行分类，提高网络入侵检测的准确性。基于网络流分类研究了各种有监督、半监

督和无监督学习方式。在该过程中，需要对数

据集进行测试和验证，要求模型采用的数据集

尽可能完善，包含所有的攻击类型，这将直接

影响其分类效果。然而，目前还存在及时完善

的数据集难以获取的问题。在模型测试中，都采

用了多种数据集进行模型的训练和测试，采用比KDD99数据集更全面的NSL-KDD数据集进行测试。但同时，全面数据集的构建

往往需要大量的资源和高水平的专家知识，可能会导致资源消耗过多的情况。从当前的研究内容和方法中可以得到，相

比于图像、语音、信号等数据，网络流的监测

往往需要对数据更高的理解程度；对数据的表

征性、泛化能力要求更好；对特定行为的刻画

能力要求更高，这也对设计一种新的网络流表

征与监测方法提出了更高的要求。2.4

公开科学问题分析网络流威胁检测是网络防御的重要内容，

而网络流的特征表征是完成网络流威胁检测的

基础性科学问题。分离度高、表征性强的特征

是网络行为检测分类的基础，

通过规则、模型、

方法、技术去弥补数据复杂性带来的不足所起

到的作用是十分有限的。对当前一些网络流

智能监测技术进行分析，可以看到这些方法在

特定数据集上已经有出色的表现，优化在原数

据流上进行分析的方法对任务带来的性能提升

比较有限。因此，本文考虑从频域、空频域的

变换域分析出发，构建流谱理论实现对网络流

的进一步表征，流谱理论将提供以下科学问题

的解决思路：（1）建立不同威胁行为的流特

征泛化模板，应对不同背景流量下威胁形式多

变性问题；（2）研究多场景应用中的表征矩

阵，

达到对网络流的本质性理解，

提升表征矩

阵的表达性、可解释性、可观测性；（3）构

建对训练数据依赖度低的网络流行为检测分类策略，减少对网络行为数据标注的数量及质量要求。0３流谱理论提出3.1流谱定义及变换域空间在网络空间中，可观测的复杂网络流按照某种时域到某变换域的映射方法，形成的可分

离、可解释、可计算的特征表示集合，称为网

络流谱，简称流谱。行为谱是以网络空间中的

网络行为作为表征的流谱，以正常网络行为的

行为谱作为基线，可以区分出异常网络行为的

威胁谱。流谱空间的构建过程，考虑将原数据

域网络流映射到新的变换域上，从变换域进行

分析，找到更加本质性的网络空间行为分析谱，基于流谱理论刻画网络行为谱、威胁谱。域，一

般指数域，设

是由一些复数组成的集合，

其中包括

0

与1，

如果

中任意两

个数的和、差、积、商（除数不为

0）

仍是中的数，则称为一个数域。常见的数域包

括复数域、实数域、有理数域等。在数域的

基础上，扩展衍生出许多其他域，例如，描

述数学函数（物理信号）

对时间关系的时域、

描述二维图像的空间域以及描述信号随频率

变

化关系

的频

域等。本文

提出了面

向网

络流时域、空域、频域、空频域的流特征表达及分析过程，如图1所示。图

1

流谱理论中的网络流分析域变换框架

网络流一般由不同数目的网络包组成，其

与信号、光、图像的表示都有一定的差异，在

这里，

定义网络流的原域空间为

，

其表示了网

络流最基本的表示形式，而流谱空间则是原始网络流的变换域空间，

用

表示。针对不同的网络威胁、攻击或行为，本文提到的流谱空间变

换可以分为一维时域变换、二维空域变换，其

分别针对网络流的一维时域输入f(t)

以及二维

空域输入f(x,y)，

那么流谱空间的变换描述如

表2所示。表

2

流谱空间变换描述其中，f(t)是输入网络流时间特征矩阵（一

维矩阵，向量），

f(x,y)是输入网络流空域特征

矩

阵，

r(t,v)、r(x,y,u,v)

为正变换核，

s(x,y,u,v)

为反变换核，

t表示网络流特征的时间变化序列，v表示变换域上的映射序列，

N表示离散时间序

列的数目上限。

T(u,v)

为f(x,y)

的正变换，

给定

T(u,v)后，

可以用T(u,v)

的反变换还原f(x,y)。由此，就可以完成不同情况下的网络流原域空间向变换域空间的变换，如果有：则变换过程是可分的，同时，如果有：那么变换过程就是对称的。3.2

网络流特征矩阵在对网络流进行流数据清洗、网络流切片

等数据预处理后，对于不同攻击技术，分析各

种攻击技术特征，可以构建其特征矩阵。下面

完成了对网络威胁特征矩阵F的构建。（1）攻击战术矩阵a：首先，对网络威胁

进行攻击战术划分，构建攻击战术行向量。将

涉及的攻击战术置1，不涉及的置

0，可以得到攻击战术行向量为a。（2）攻击技术矩阵t：其次，进行攻击技

术关联，构建攻击技术矩阵。对照攻击战术与

攻击技术表，将涉及技术置1，不涉及的置

0，

即可得到攻击技术矩阵为t。（3）

网络流特征矩阵s：

通过分析数据集

的报文，

可以提取网络流数据的五元组、包大小、

包持续时间，然后进行流数据清洗，去除无关

数的数据，并对不同网络包重复上述过程构成

包序列特征集合，最后，经过特征提取和排列得到网络流特征矩阵。将网络流包按时间划分

为n个阶段，其中n即为矩阵的t列数，通过观

察包头元素熵变情况等方法，提取每个阶段的

网络流包组的原子攻击行为，得到网络威胁的

流特征矩阵s。最终，结合得到的攻击战术行向量

α、战术

关联的攻击技术矩阵t和网络流特征矩阵s，通

过网络威胁表征矩阵的计算公式创建最后的目标矩阵，计算过程为：上述求解过程中，

a·t代表网络威胁的隶属

关系，

s代表网络威胁的流特征，

F代表对威胁

攻击的表征。将网络威胁的攻击战术与攻击技

术进行关联，从可拓展的攻击技术池中提取攻

击战术对应的攻击技术，构建有映射关系的攻

击技术矩阵。通过提取的网络攻击流特征，可

以使每种攻击技术映射到相应的技术特征，构

建技术特征矩阵。通过3个矩阵的构建，可以

完整地表征出网络威胁的攻击战术，以及每种

攻击战术所对应的攻击技术，每种攻击技术所

产生的特征表现。最终得到的网络威胁表征矩

阵反映了该攻击对于网络流特征的影响，作为

区分该攻击与其他网络威胁的依据。3.3流谱变换首先，对流谱变换的过程进行介绍。假设

在原数据空间中，一个网络流特征向量表示为Xe，在当前空间域下进行空间变换（平移、翻转

或其他复杂操作）映射到新的空间上，在新的

空间上，其被表示为Xe'

，那么从原空间上的表

示Xe

映射到新的空间上的表示Xe'

的过程就称为

基变换。假设变换空间上基向量e'

使用原域二维空间中的基向量e可以表示为：则可以通过基向量的映射关系，求得：那么这个变换过程就可以用上式中的矩阵

表示，其包含了由原向量空间向变换域空间映

射的过程，

可以称为原域到变换域的变换矩阵。

也就是说，对于二维空间中的一种变换过程，

可以通过矩阵表示出来，实质上是两个基向量

的系数组成的矩阵，可以称为系数矩阵或表征

矩阵。同理，将基于基向量的变换映射到基于矩

阵的变换上，就可以找到矩阵的变换基。其变

换的目的是：改变原数据的表现形式，原数据

并没有发生改变。针对矩阵的变换域空间，可

以从线性映射变换给出定义。假设有M个N维

向量，将其变换为由R个N维向量表示的新空

间（空间变换域）中，则可以将原空间向量表

示为一个矩阵F，而新空间的变换核表示为：

其中，pi是一个行向量，

表示新的变换域空

间上的第i个基向量，

qj是组成原矩阵的列向量，

那么就可以实现式（8）描述的映射关系，这样

矩阵F就完成了从一个变换域映射到新的空间的过程：由于其变换过程中的算子为相乘，完成了

矩阵的基本线性映射，也就是说，对于一个原

域空间上的矩阵，

都可以看作由n个列向量组成，

那么对矩阵的变换映射实际上就是对每一个列

向量做新的空间

上的基变换映射，任意一个

网络流（表征为矩阵形式）都可以被表征到另一个空间中，而对于更复杂的情况，定义一个新的算子

，对于网络流矩阵：其中，

F表示原始网络流特征矩阵，

Score表

示新的空间S上的一组基，

S就是矩阵在变换域

上的系数矩阵，通过系数矩阵可以对原域空间

上的行为进行表达。在现有网络流监测研究工作中，涉及变换

域的绝大多数为时域变换，应用卷积神经网络

对网络流进行监测时，多基于二维时域变换，

采用二维卷积核来提取特征。文献

[20]

将多个

卷积池模块与具有字节友好大小的多个过滤器

进行级联，形成两层架构：第一层堆叠多个卷

积池模块，以从每个分组的字节中提取特征；

第二层使用一层二维卷积滤波器将在包数的维数上执行卷积操作的滑动，提取包级的特征。文献

[26]

提出了一种基于卷积神经网络的有效

载荷分类方法，其结构中包含3个卷积层：第

一卷积层从原始数据中提取底层特征；第二卷

积层从低级特征中提取高级特征，其卷积核大

小逐渐减小；第三卷积层重新调整卷积核尺寸

后提取更精细的特征。由此可见，每个卷积层

都包含不同维数大小的二维卷积核，从单个角

度提取特征。0４面向流谱变换的指标评估体系针对

流

谱

构

建过

程

中

的

变

换

映

射

过

程，

需

要构建

一个合理

有效

的评

估体

系，完

成流

谱

空间同

构过

程的

可靠

性判

断，以

提高

流谱

对网络流的表征性，并提升检测的准确率，降

低冗余

度。本

节将对流

谱理

论指

标评

估体

系

进行讨

论，主

要从可分

离性

和表

征性

两个方面展开。（1）可分离性：可分离性描述了在一个拓

扑空间里，任意的点、子集等彼此之间能被不

相交的开集分开的程度。在流谱理论中，主要

讨论基底表征矩阵的可分离性，可以分为面向

数据和面向结果的可分离性问题。①面向数据的可分离性：针对数据的可分

离性，高维数据通过数据压缩后映射到低维子

空间，此时针对低维数据进行可分离性的分析

更直观。可分离性可以从两种分布来考虑：一

是同类特征空间压缩类内间距尽可能小；二是

不同类特征空间拉伸类间空间尽可能大。为了度量这种特征占据空间的大小，可以采用编码

长度公式来进行测量。常见的编码长度测量方法如表3所示，其中，

A和B为两点，其坐标为A(x1,y1

)，B(x2,y2)。表

3

常见编码长度测量方法②面向结果的可分离性：面向结果的可分

离性是指将基底矩阵数据送入单层感知机、循

环网络等可分类网络中，依据精确率、准确度

等度量指标直接从分类结果上判断数据是否存在可分性，常见的分类度量指标如表4所示。表

4

常见分类度量指标其中，

TP表示被正确分类的正例的数量，FP表示负例被错分为正例的数量，

FN表示正例

被错分为负例的数量，

TN表示被正确分类的负

例的数量。精确率是针对预测到的向量化的特征而言

的，指在所有被预测为正的样本中实际为正的

样本概率。召回率是针对原始数据而言，在实际的特征提取并向量化后，得到的结果与预测所能向量化的结果的概率。准确率是指对于给

定的测试数据集，分类器正确分类的样本数与

总样本数之比，代表分类器对整个样本判断正

确的比重。

F1分数是精确率和召回率的调和平

均数，综合对精确率、召回率进行评估。精确率、召回率和准确率是机器学习、深度

学习研究领域中最为常用的评估指标。Anish等

人

[4]

对比了入侵检测系统采用不同分类方法下

的检测性能，

选取准确率作为评估指标，

对比分

析后发现支持向量机（SupportVectorMachines，SVM）

算法相比朴素贝叶斯算法对于恶意网络流

的分离度更好。Bendiab等人

提出了一种新的

物联网恶意软件流分析方法，选取精确率、召

回率和准确率进行评估，证明了其检测恶意软

件流的有效性。在流谱理论中，基底矩阵的分离结果将直

接影响空域上对于网络流行为的表征。从分离

结果来看，可以将基底矩阵送入分类模型中，

根据精确率、召回率、准确率、

F1

分数等分类度量指标评估可分离性。（2）表征性：表征性是指在将原始数据转

换成应用数据的过程中，应用数据更容易被有

效分析利用的程度。流谱理论旨在将网络空间“流”从“时域”

映射到“频域”，将不同类型的业务行为固化

成“谱”，然后在流谱空间上对网络空间流进

行有效直接的观测、分析，从而对所有行为进

行归类表达，

凸显异常行为，

把握整体安全态势。

在这个转换映射过程中，流谱空间信息流的表

征性将直接影响业务行为归类的准确性，

由此，需要综合评估流谱空间信息流能够被理解、能够使用可认知方法进行解释呈现的程度，可解释性越高，表征性也就越高。机器学习算法可以看成是一个黑盒子模型，

训练数据流入黑盒子，

训练出一个函数（模型），

输入新的数据到该函数得出预测结果。关于模

型的可解释性，可以通过一些与模型无关的可

解释模型，对原本的黑盒模型进行解释，并生

成度量值作为度量空间的组成部分。常用的评估方法如表5所示。表

5

常见可解释评估方法a(i)为样本i到同簇其他样本的平均距离，b(i)为样本i到其他某簇的所有样本的平均距

离，

Jcv(θ)

为高偏差时交叉验证集代价函数，Jtrain(θ)为测试集代价函数，

M是针对树模型分析中树的数量。0５流谱理论在对抗防御中的可行性验证本

节

在

网

络

威胁

数

据

集

上，

对

流

谱

理

论

在面向针对性威胁的对抗防御场景中的应用

可行性进行验证。实验中，选取了包含不同攻击类别的网络流数据集进行流谱映射实验。通过应用可行性分析证明利用流谱理论构建

网

络对抗

防御

体系

的有

效性。

使用

的数

据集

中包含了普通的和常见恶意网络流，以PCAP

包的形式存储，实现的攻击包括暴力FTP、

暴力SSH、DoS、Heartbleed、Web攻击、渗透、

僵尸网络和DDoS。每个样本数据包含80

多

个特征。

从优化目标出发，在划分的训练集上显式

构建多层映射网络，正向构建可解释模型并将

原始特征映射到新的变换空间，完成500

次迭

代过程。在多层映射网络模型构建完成后，将特征

矩阵同构到新的变换空间中，其数据的分离性得到了明显的提升，如图2所示。

图

2

流谱热力图

在原始网络流热力图中，不同类别的流之

间存在不同程度的相似度，在经过流谱的同构

映射后，不同类别网络流间的相似度被削弱，在图2中表现为只剩下对角线上的网络流（同

类间）存在相似性。