網絡安全領域智能語義分析技術研究

◆孫強強 丘恵軍 陳昊

（深圳供電局有限公司 廣東 518000）

1 語義分析

語義分析是人工智能的一個分支，也是自然語言處理技術的核心技術，涉及的學科有：機器學習、認知語言、語言學、計算語言學等。語義分析技術的進步有助于促進其他自然語言處理任務的快速發展。近年來，人工智能中的語義分析技術，特別是深度學習技術發展迅速。例如：在自動駕駛、語音識別、圍棋游戲、圖像識別等眾多領域都取得了突破。

語義分析通過各種方法，識別和理解一段文本內容所表達的語義內容，這種對任何語言的理解都可以歸為語義分析的范疇。通常，一段文本內容由詞、句和段落組成。詞匯語義分析的重點是如何獲得或區分詞的語義。簡單來說，語義分析是通過建立有效的模型和系統，實現對各種語言的自動語義分析，達到實現對整個文本所表達語義的理解。

語義分析技術在詞匯層面上的意思是如何理解詞義，包括詞義消歧和詞義表示。

1.1 詞義消歧

詞匯歧義作為自然語言固有特征。詞義消歧是根據一個多義詞在文本中出現的上下文聯系來確定其在該文中的詞義，是各項自然語言處理的基礎步驟和必經階段。詞義消歧包括兩個必要的步驟：（1）在詞典中描述詞義；（2）在語料庫中進行詞義自動消歧。詞義消歧要克服的兩個關鍵問題是：（1）詞典構建、（2）上下文建模。

1.2 詞義表示和學習

早期詞匯表示的實踐，是把詞義表示由網絡中的詞義位置，連接到網絡根節點的路徑的信息。然而詞義的數字化則是另一個表示方式。

一種最直觀、最通用的表達單詞的方法是一個hot，此方法把每個單詞都表示成一個長長的向量。因此，詞向量的維度數就是詞匯表的大小。其中，大部分元素用0表示，僅有一個維度值用1表示。該“維度”表示的就是當前的單詞意思。但是，此表述的方式是存在問題的，主要問題點是：對于任意兩個詞來說，它們的關系是孤立的。

機器學習算法和技術水平的不斷發展，出現了比較流行的表達詞義的方式，如：詞的嵌入（注：也叫詞向量）。通俗來講，這種方式的基本思路：用訓練的方式撥開語言中的每一個詞，如通過JIEBA分詞，每個詞被映射成為固定的維度向量，通過計算將這些向量匯聚、組合在一起從而形成詞向量空間，每個向量其實也是空間中的一個小點。假如在這個空間中引入“距離”（distance），根據比較“距離”的大小，用來判斷詞與詞之間的擬合程度（也即是詞匯或語義上的相似性）。

2 網絡安全領域

為了防止這些類型的攻擊，重要的是對釣魚郵件有明確的理解。釣魚郵件的真正困難在于如何發現它，本文將研究智能語義分析技術如何抵御這類攻擊。

釣魚郵件指攻擊者發送偽裝的電子郵件，包括惡意文件、惡意鏈接、病毒木馬等，欺騙用戶輸入賬號、密碼、銀行卡號等敏感隱私信息，竊取用戶敏感信息，或者把中病毒、木馬的設備作為跳板，實施進一步的攻擊行為。

近幾年來，隨著人工智能技術的快速發展，在網絡安全領域機器程序模仿人的功能不斷增強，現在已有攻擊者利用先進的人工智能技術，收集各種維度的數據，如公共網站數據、社交網絡數據、郵件數據等，通過對大數據的進一步挖掘，從中提取用戶的出生日期、性別、常住地、電話號碼、電子郵件地址等個人信息，通過AI語言模型批量化為社會工程攻擊創建連貫的令人信服并具備針對性的網絡釣魚郵件，并利用機器學習來分析大量被盜記錄，以識別潛在受害者，構建能夠更加有效針對這些人的內容詳盡的釣魚類電子郵件。深度偽造（deep fake）技術制作的假文本、假視頻，已經很難讓人區分，它能夠騙過當前的一些反釣魚郵件遙測技術。它自身能夠不停地增強學習，假如攻擊有效果，有效信息將會反饋到樣本模型中，從而進一步增強攻擊樣本的準確性；而且，即使失敗的無效數據也會得到反饋利用，使機器程序能夠分辨哪些信息是無效的。所以，攻擊者越來越善于學習目標的特性，發送出看似合法的郵件，通過對外部技術和資源的整合使其網絡釣魚的成效變得越加突出。

3 網絡安全領域智能語義應用

我們的研究內容主要集中在硬件的設計與測試，通過使用自然語言處理（NLP）的方式來設計硬件的組件，因為我們認為這種方式對防范釣魚郵件具有一定作用。根據一段時間的研究和測試，我們總結得出，一是攻擊者通常會根據傳統已存在的釣魚檢測方法，改進釣魚的策略和手段，從而實現規避檢測的目的；二是網絡釣魚的活動具有存活時間短暫、時效性較強、偽裝水平較高和釣魚目標較廣泛等特點，往往很難有效地識別。舉個例子，跟合法目標網站相似的域名名稱、頁面內容排版和圖片布局相似的內容等，以此欺騙用戶獲取敏感信息。AI生成的文本內容具有通用性和大眾化的特定，通常是將釣魚郵件批量發出，有目的、有針對、有方向地發向特定人群，其個性化非常靈活。然而，真正具有高危害的攻擊，往往是通過電話來交談關于你的事情，攻擊者可以根據交談的內容調整自己的講話，因此理解句子的語義是理解釣魚郵件的最佳方式，也即是通過機器讀懂釣魚郵件的文本的字面內容。通過對文本內容的關注了解，這種策略用來防御釣魚郵件的攻擊。

通過語義分析，建立郵件庫的樣本模型，檢測郵件中的問題或命令，或評價句子中主要動詞和賓語的整體意義。

“動詞+賓語”的組合邏輯，與黑名單模型中描述禁止動作的“動賓”，進行比較可得出批量電子郵件內容中是否存在惡意的命令執行。我們實踐過程中，隨機從一批釣魚郵件選出一些，首先是進行內容的識別和訓練，標識每個單詞是否有同義詞，排除歧義的單詞，避免出現歸類失誤的情況。

我們研究總結得出，開展此類工作（即通過釣魚郵件獲取黑名單）的難點部分是獲取攻擊樣本。檢測的精準度，與模型訓練中的攻擊樣本的精準度，息息相關。為確保精準度，我們提高了樣本的數量，數量總數超過380，000個釣魚郵件和正常電子郵件。最后的檢測數據表明，樣本模型識別率達到預期。這也說明本文的工作不僅在理論上具有創新性，也具有一定的落地應用的價值。

4 結語

互聯網技術的快速發展，網絡電子郵件作為人與人、業務與業務之間交流的重要工具之一，已經是黑客攻擊的主要目標，為欺詐、勒索病毒的傳播提供了溫床。郵件安全是網絡安全中的風險點之一，打破了傳統的邊界架構安全的防御，所以郵件安全的防御十分重要。根本的解決方案，不僅僅要依賴各種的邊界設備、檢測系統和人員安全意識的提升，更重要的是要用新的技術來對抗，充分發揮人工智能技術中語義分析技術的優勢，通過對郵件內容的檢測和管控，杜絕釣魚郵件的傳播，如果發現釣魚郵件及時切斷釣魚郵件的傳播，保護自身資產的安全，確保網絡用戶的上網的安全。