Page 308 - 《软件学报》2021年第5期

1532 Journal of Software 软件学报 Vol.32, No.5, May 2021

力、自学习能力、复杂分类功能、联想记忆功能、快速优化计算能力以及高度并行分布信息存贮方式带来的
强鲁棒性和容错性等优点,在处理非线性问题方面具有无法比拟的优势 [54] .智能攻击本身基于 AI 技术,例如应
用神经网络算法训练深度模型进行攻击,或是针对神经网络的特点绕过安全检测机制等.将基于神经网络的算
法应用于智能攻击的行为预测中,不仅可以发挥上述神经网络本身的优势,也可以对智能攻击做出针对性的防
御措施.
静态代码分析易受代码混淆技术的影响,在文件执行期间收集的行为数据容易区分,但捕获时间相对较长,
恶意有效负载可能在被检测到时已经修改和传递.Rhode 等人 [55] 根据行为数据的简短快照,使用循环神经网络
(recurrent neural network,简称 RNN)预测可执行文件是否为恶意软件的可能性.他们在研究中发现,一组循环神
经网络能够以 94%的准确度预测可执行文件在执行的前 5s 内是恶意的还是良性的.这是首次在执行期间对一
般类型的恶意文件进行预测,而不是在执行后使用活动日志文件预测,有效增强了网络安全端点保护.
长短期记忆网络(long short-term memory,简称 LSTM)解决了一般的 RNN 存在的长期依赖问题,一般应用
在自然语言处理领域,通过结合上下文信息理解语义,预测文本输出等 [56] ,最近几年,研究人员开始尝试将 LSTM
在自然语言处理中的语义模型迁移至安全防护领域.Shen 等人 [33] 认为:对于网络安全事件的预测,不仅是预测
事件是否会发生(即二分类任务),而是去预测在进行攻击时攻击者会采取的具体行为,比如在多步攻击中攻击
者会使用的 CVE(common vulnerabilities & exposures),或者在早期的攻击发生时刻就评估攻击的潜在严重性.
因此,他们提出一种基于 LSTM 模型的预测系统,按照安全事件发生的时间顺序建立安全事件序列,使用已知的
安全事件序列来预测未来将发生的可能事件,并在模型训练过程中加入性能监控模块,设定阈值迭代训练,以提
高模型的准确率.
此后,研究人员开始对 LSTM 模型进行更多的尝试.Fang 等人 [57] 通过利用具有长短期记忆的双向循环神经
网络(BRNN-LSTM)开发了深度学习框架,该框架可以容纳数据集展现的复杂现象,包括长期依赖性和高度非线
性,实现了更高的预测准确性.为了提高 LSTM 的抗噪能力和序列关联分析能力,Fan 等人 [58] 提出了一种称为
ALEAP 的方法,将事件嵌入和注意机制纳入 LSTM 模型,并从多源安全设备收集的数百万个安全事件进行测试,
证明了该方法在网络安全事件预测中的有效性.
此外,其他神经网络在智能攻击的行为预测中也有较好的表现.Kishioka 等人 [34] 提出了一种使用卷积神经
网络(convolutional neural networks,简称 CNN)的动态预测方法,通过使用主机日志的邻接矩阵作为 CNN 的输入
数据,来预测自演化僵尸网络的传播程度.Lu 等人 [35] 为恶意软件动态行为分类任务构建了基于深度学习的家庭
聚类算法和名为 MalDeepNet 的特殊深度神经网络,该模型可以检测通过恶意生成对抗网络(Mal-GAN)实现的
未来恶意软件.Hasan 等人 [59] 采用深度卷积神经网络(deep convolutional neural networks,简称 DCNN)模型和 Ali
等人 [36] 提出的深度神经网络(deep neural networks,简称 DNN),同时结合遗传算法,在预测智能 APT 攻击中的网
络钓鱼也有较好的表现,实现了更高的分类准确性和敏感性.

2.2 基于博弈论的行为预测
基于博弈论的攻击行为预测方法类似于前面讨论的图形模型检查方法,博弈游戏被用作攻击者和防御者
之间交互的模型.与图形模型检查方法相反,博弈论方法旨在为“玩家”(参与者)找到最佳策略,而不是通过历史
数据观察找到最频繁的攻击和预测未来可能发生的概率 [60] .因此,博弈论方法对于高级攻击者活动的预测具有
较广泛的应用前景.
智能攻击一般具有复杂的攻击意图,和防御者之间存在一定的对抗性.基于博弈论的预测方法通过建立博
弈论模型,可以根据攻击“动作”推理攻击意图,做出针对性防御“动作”,使防御者收益达到最大化.例如,在垃圾
邮件和恶意软件检测中,攻击者利用随机化来混淆恶意数据并增加其在测试时逃避检测的几率,通常使用随机
字符串或字节序列来混淆恶意软件代码以隐藏已知漏洞.对此,Bruckner 等人 [37] 将对抗性学习形式化为非零和
博弈,提出一种游戏理论公式,模拟不同的规避攻击并相应地修改分类功能来学习安全的分类器,称为静态预测
博弈.他们假设玩家同时行动,设计了满足该游戏独特 Nash 平衡的条件,并开发了用于学习相应鲁棒分类
器——NashSVM 算法.