信息安全顶级会议文章整理

type

status

date

slug

summary

IEEE Symposium on Security and Privacy (S&P)(CCF-A)

Machine Learning DDoS Detection for Consumer Internet of Things Devices 2018

IOT（物联网设备）往往和其他网络设备的网络行为不同，比如发送数据的目标总是固定而不是大范围web服务器，IOT设备往往是重复性的流量模式。

文章中的测试环境部署在家庭网关上，或者ISP控制交换机上。

对于家用网关环境下的异常检测系统三个性质：

轻量特征。路由器等设备有其他主要功能，所以算法是一种网络流量统计，而不是深度包分析

与协议无关。路由器处理各种类型的协议（如TCP、UDP、HTTP）所以需要找到这些包中的共同的特征

低存储要求。路由器如果增加缓存会加大网络的延迟，因此算法要么是无状态的，要么在段时间窗口内存储流信息。

流程：

捕获流量包。包括所有数据包的源IP，源端口，目标IP，目标端口，包大小，时间戳等信息。

按照设备和时间分类。根据源IP分类设备，数据包由时间戳分组。

特征提取。无状态特征：数据包头部区域生成（包大小、发包间隔）。有状态特征：短时间内解析包内容得到的信息（带宽、目的地址）。

分别使用以下算法构建模型进行检测并对结果分析。

k近邻算法(kNN)

线性支持向量机（LSVM）

使用基尼杂质指数的决策树（DT）

使用基尼杂质指数的随机森林（RF）

神经网络。4层全连接前馈神经网络（每层11个神经元），使用交叉熵损失训练100轮，批量大小32，在验证集上通过优化选择的超参数。（NN）

结论：数据集包级别机器学习DoS检测可以准确区分消费者物联网设备的正常和DoS攻击流量。使用了有限的特征限制计算开销，有助于部署在实际环境。得益于物联网设备的流量不同于非物联网设备，可以有效的选择特征。

DEEPCASE: Semi-Supervised Contextual Analysis of Security Events 2022

文章提出在研判事件时，取改事件的周边事件进行上下文分析，判定改事件的威胁程度，并且论文提供了可解释模块，可解释为什么某事件被判定为恶意事件。

核心观点：

在安全设备产生事件以后，将一个事件的前序事件取出，并结合该事件形成序列

利用深度学习模型进行向量化，再使用相似性方程对序列进行聚类

由安全运营人员对所得聚类打标签，而不是传统的对单个事件打标签

运营人员对同一类事件采取同样的措施即可。

Devil in the Detail: Attack Scenarios in Industrial Applications 2019

文章对工业网络上的攻击向量进行了分类，采用了两种机器学习的时间序列检测方法，Matrix Profiles比长短期记忆预测的更成功。

工业互联网中恶意软件由几个模块组成：

后门程序。

加载模块。远程执行命令或上传文件

wiper moduel。清除其存在的痕迹

Matrix Profiles 2016年被提出，提供一种方法来确定时间序列中序列与其他序列的相似性，它只有一个窗口大小超参数，并且无监督训练使其易于打包在应用程序域之间使用和兼容性。

常规的时间序列更倾向于让神经网络学习某些模式，而不是概括。上下文学习或机器学习的分类方法也可以解决这些问题。

Learning from Context: A Multi-View Deep Learning Architecture for Malware Detection 2020

传统机器学习分类器判断通常使用文件内容的数字表示，而忽略了文件的上下文信息，例如恶意文件经常伪装的路径信息。使用文件路径可以保持在最小结构下有非常高的吞吐量和更高的检测率。文章提出一种多视图深度神经网络架构，将文件的内容特征向量和文件路径作为输入并检测分数。然后使用LIME建模进行可解释性分析。

USENIX Security Symposium (CCF-A)

Phishpedia: A Hybrid Deep Learning Based Approach to Visually Identify Phishing Webpages 2021

使用机器学习方法，利用屏幕截图，检测钓鱼网站。过去的方法解释性低、准确率低，此方法都有改进，且不需要大量的钓鱼网站作为训练集。

检测分为两部：识别UI组件+识别商标brand。识别UI组件是通过HTML元素标签，识别商标是通过和目标网站做对比，识别所有商标很麻烦，所以作者只取了top100的网站商标，经研究表名大部分攻击者也确实选择知名网站来高仿。

其他人的做法是针对整个截图的相似性，但是钓鱼网站往往也是完全模仿，本文引入了对UI组件的检测和图片中的商标作为特征，所以获得了改进效果。

Dos and Don’ts of Machine Learning in Computer Security.2022

文章指出了机器学习技术在各个计算机安全领域的应用中的缺陷，认为不恰当的假设和实验偏差会导致不切实际的实验结果和安全性推断

数据采集与标记阶段

采样偏差：采集到的数据集可能无法展示真正安全场景下的真实数据分布。建议使用合成数据集或者使用迁移学习，但是过程中要避免数据来源不兼容。

标签不准确：数据的标签很少是完美的，研究人员必须去解决这些不确定性和噪声。建议通过观察假阳性样本、随机采样；使用更健壮的模型和损失函数；主动针对标签噪声建模、训练数据集去噪等方法加以处理。

系统设计和学习阶段

数据窥探：是指从数据中发现统计上显著但实际并不存在的关系。数据窥探包括测试、时间和选择性三个维度。测试窥探，即在最终评估前，模型接触到了测试集；时间窥探，即忽略了数据中的时间相关性；选择性窥探，即使用了实际场景中难以获取的数据，如实验的整个数据集。建议：训练集、验证集、测试集应该严格分开，但是大多在预处理阶段无意违反了这个情况。

虚假的相关性：模型在数据集上可以得到好的指标，但学习到的却是某些与安全无关的模式。建议：使用可解释性技术。

带偏差的参数选择：调参出现的过拟合等问题。建议：是一个特殊的数据窥探，用同样的方法解决。使用独立的验证集、参数调优

效果评估阶段

不恰当的基线方法：一个优于所有其它方法的通用ML算法。另外，与其只关注复杂模型间的对比，也应当关注该问题是否可以通过简单模型解决。因为简单模型可解释性更好，而且对计算资源要求更低，且可扩展。

不恰当的性能评估：比如样本非均衡场景下使用准确率是不够的，另外某些场景下误报会非常严重的影响，多分类任务下需要注意宏观平均与微观平均指标带来的影响。建议基于实际部署情况，设计有助于安全从业者的评估指标。

不恰当的基准率：当样本非均衡时，指标难以反应检测方法的实际能力。提倡使用精确率、召回率、MCC、ROC、AUC等指标弱化类别不平衡的影响。

部署与运行阶段

仅在实验环境下评估：检测方法仅考虑类别有限的封闭世界场景。建议在设计方法时考虑数据的时空维度及动态性。

不恰当的威胁模型：需要考虑模型自身的鲁棒性问题，建议假设一个自适应的对手，考虑ML工作流程中所有阶段可能存在的漏洞，并且关注白盒攻击，遵循Kerckhoff原则（密码系统应该就算被所有人知道系统的运作步骤，仍然是安全的。）和安全最佳实践。需要强调的是，对于模型对抗性的评估不只是一个附加部分，而是安全研究中的必要组成。

Network and Distributed System Security Symposium (NDSS)（CCF-B）

Nazca: Detecting Malware Distribution in Large-Scale Networks 2014

网络中的恶意软件也会通过一些措施绕过防御，例如不断变化混淆的恶意软件程序变体，以及不断变化的用于分发漏洞利用代码和僵尸网络的域和IP地址命令。文章分析了恶意软件作者的核心任务：将恶意软件程序分发并安装到尽可能多的受害计算机上。之前的大量工作都集中在检测drive-by攻击（将恶意软件隐蔽地插入到合法网站中）步骤和恶意软件程序产生的后续网络流量，但很少有人关注下载恶意软件二进制文件的中间步骤。文章中研究了真实网络中的客户端如何下载和安装恶意软件，并介绍了 Nazca，这是一种检测大规模网络感染的系统。Nazca 不对单个连接进行操作，也不查看下载程序的属性或托管它们的服务器的信任度。相反，它查看恶意网络架构的特征，这些架构在查看大型网络中许多用户产生的集体数据时变得显而易见（如果有很多用户在使用同一种应用程序或访问同一种网站，那么他们产生的传输数据就会非常庞大。当对这些数据进行集体分析时，针对恶意软件的网络结构就会变得显而易见，因为这些恶意软件需要从这个网络结构中下载和获取支持），这些数据表明恶意软件的安装都由这些网络架构控制。作为内容无关的工具，Nazca 不会因为黑名单的覆盖范围不足而出现漏洞，也不会因为代码混淆而受到影响。

ACM Conference on Computer and Communications Security (CCS)(CCF-A)

Cerberus: Exploring Federated Prediction of Security Events. CCS2022

当前网络安全防御手段越来越依赖主动方法，比如要预测攻击者的下一步行动。但建立准确的预测模型需要来自多个机构/组织的敏感信息，如网络架构、安全态势、防御策略等，这些信息难以获取且容易造成隐私泄露。

文章讨论了使用联邦学习技术进行安全事件预测的可行性，构建了基于RNN且可以多组织间协同训练的系统Cerberus。

结论：

参与方不同的情况下效果低于集中式。

拥有所有类别数据的参与方对联邦贡献较大，但是收益很少。

分布式投毒攻击能有效破坏该系统，当攻击者控制1%时，后门准确率达到0.94。

尝试了联邦RNN的方式进行安全事件预测，并且设计了恰当的指标进行各参与方贡献评估。在此基础上，该工作讨论了分布式后门投毒攻击和成员推理攻击以及对应的各类防御手段的有效性。

Large-Scale and Language-Oblivious Code Authorship Identification CCS2018

代码去匿名化

解决问题：检测代码作者身份。

编程语言的特殊性、作者可用代码的样本数量有限、每个文件的平均代码行数。

采用的深度学习架构包括基于TF-IDF的多重递归神经网络RNN层深度表示和用于作者归因学习的全连接层。采用随机森林分类器进行分类，该系统能够处理大规模数据集，无需考虑编程语言的特定性，该系统能够处理大规模数据集，无需考虑编程语言的特定性，并且可以抵御混淆攻击，具有较强的鲁棒性。该系统在GCJ数据集和GitHub公共代码库数据集上进行了实验。

RAID(CCF-B)

Cyber Threat Intelligence Modeling Based on Heterogeneous Graph Convolutional Network 2020

网络威胁情报(CTI，Cyber Threat Intelligence)被看作威胁参与者的形式化指标(IOC)，当前CTI局限性：

IOC提取准确率低

孤立IOC无法描述威胁事件的全面情况

异构IOC相互依存关系还为开发，无法获得深层次的安全知识

文章提出了基于异构信息网络（HIN， Heterogeneous Information Network）的网络威胁情报框架HINTI，目的在于建模异构IOC之间依赖关系，量化其相关性，对CTI建模分析。

文章贡献

基于多粒度注意力机制的IOC识别。可以从多源威胁文本中自动提取网络威胁对象，学习不同尺度的特征，提高准确率和召回率

异构威胁智能建模。使用异构信息网络建模不同类型的IOC，引入各种元路径捕获异构IOC之间的相互依赖关系，描述更全面的网络威胁事件概况。

威胁智能计算框架。提出网络威胁智能计算的概念，设计一个通用的计算框架。该框架利用基于权重学习的节点相似度来量化异构IOCs之间的依赖关系，然后利用基于注意力机制的异构图卷积网络来嵌入IOCs及交互关系。

威胁情报原型系统。实现了一个CTI原型系统。

Anomalous Payload-Based Network Intrusion Detection 2004

该方法通过分析网络流量中的数据载荷，识别异常行为并进行入侵检测。具体来说，该方法首先采集网络流量数据，并对每个数据包的载荷进行解析。然后，针对每个数据包的载荷，该方法使用自编码器进行特征提取和重构，以此来捕获异常行为。最后，该方法使用支持向量机分类器进行分类，将正常数据和异常数据进行区分，并实现入侵检测功能。

Anagram: A Content Anomaly Detector Resistant to Mimicry Attack 2006

该篇文章提出了一种名为Anagram的内容异常检测算法，它能够识别出网络流量中的异常行为，并且能够抵抗模仿攻击。Anagram算法基于两个关键思想：首先，将流量数据转换为文本形式，然后使用语言学上的技术来分析这些文本数据。其次，通过引入一些随机性，可以使模仿者难以伪造正常流量，从而减少误报率。具体来说，该算法将网络流量分割成基于时间的块，然后将每个块转换为单词序列。接着，为这些单词序列计算一些统计特征，例如单词频率和平均单词长度等等。使用这些特征，可以为每个块计算出一个分数，表示该块是否包含异常行为。最后，将这些分数汇总起来，就可以得出整个流量数据中异常行为的概率。 Anagram算法的优点在于它对各种类型的异常行为都具有很好的检测能力，并且能够抵抗模仿攻击。它也比其他基于统计的异常检测算法更加灵活和适应性强。