流交互图上无监督检测加密恶意流量

文章预览

工作来源 NDSS 2023 工作背景 互联网上加密恶意流量的占比在显著增长，超过所有恶意流量的七成。已知的检测方法无法同时检测加密恶意流量和非加密恶意流量，二者的特征存在显著差异。 使用  IP  地址作为顶点，传统的四元组作为边构建的稠密图不能反映流的交互模式。并且互联网上的大多数流都很短，而大量的包与超长流有关。 工作设计 实时加密恶意流量检测系统  HyperVision ，能够检测加密恶意流量与非加密恶意流量的攻击。由于单流的加密恶意流量与良性流量十分相似，但攻击者与受害者间交互模式的差异则更为明显。 图构建 HyperVision  首先将流量分为短流和长流。通过聚合海量相似短流来降低图的密度，再对长流的包特征分布进行拟合，尽可能地保留流交互信息。最终构建点边通联的流交互图。借此方法解决传统方法中流特征粒度过 ………………………………