检测异常是指识别数据中不符合明确定义的正常行为概念的模

[Habib01]

威胁检测和预防
威胁检测和响应是指检测针对网络或系统的网络威胁，然后采取快速有效的缓解策略。此过程包括检测网络和系统中的异常行为、识别未经授权的入侵以及分析恶意软件样本以保护我们的系统。

异常检测

这一基本概念适用于各个领域，网络安全也不例外。我使用异常检 BC 数据泰国 测来识别各种恶意活动，例如检测数据泄露、分布式拒绝服务 (DDoS) 攻击、恶意软件感染等。用于检测异常的各种机器学习算法，例如局部异常值因子 (LOF)、隔离森林、一类支持向量机 (OC-SVM) 。然而，选择适当的技术来识别异常值是一项复杂的任务，需要仔细考虑多个因素，包括：

数据类型（例如，点、顺序、空间或图形结构数据）
异常的性质（例如，特定的、上下文的或集体的）
标记数据的可用性
所需的输出格式（例如，二进制标签或异常分数）
我们将探讨如何选择正确的机器学习技术，并解释它们如何检测恶意网络安全活动。我们将重点关注网络安全中的两个关键应用：入侵检测和恶意软件分析。

入侵检测系统（IDS）
入侵检测系统 (IDS) 是网络和计算机系统的眼睛和耳朵，监视和分析网络流量（基于网络的 IDS）和系统调用（基于主机的 IDS）的恶意活动。

在我的实验中，我亲眼目睹了这两个系统的异常检测方法在检测是否存在新的或以前未知的威胁方面的强大功能，这些威胁规避了基于签名的技术，这些技术依赖于预定义的攻击模式进行检测。

在深入研究基于主机的 IDS 之前，了解什么是系统调用非常重要。基本上，它们是程序向操作系统发出的执行特定任务的请求。假设您使用文本编辑器修改 Linux 操作系统上的文件。在幕后，您的文本编辑器请求使用系统调用打开文件open()，使用 写入更改write()，然后使用 关闭文件来保存它close()。

虽然文本编辑器的系统调用是直接且可预测的，但恶意行为者的系统调用序列通常具有欺骗性。恶意程序可以使用诸如open(),之类的字符串write()来删除隐藏文件，然后使用它execve()以提升的权限执行该文件。接下来是与网络相关的调用socket()，可能会设置命令和控制通道攻击。

为了解决这个问题，系统调用序列通常被转换为适合机器学习算法的特征的静态表示。但是，您可能想知道，在这种情况下哪种学习技术最适合训练机器学习模型？

学习技术的选择很大程度上取决于标签的可用性。如果您可以访问包含正常和异常系统调用序列的平衡数据集，我肯定会选择有监督的异常检测模型，例如支持向量机（SVM）。

相反，在没有标记数据的情况下，我可以使用无监督学习模型，例如隔离森林。对于训练数据中仅表示正常行为的场景，我会研究半监督学习技术，例如一类 SVM 或DBSCAN。

为网络安全选择正确的机器学习解决方案