基于CNN和LSTM的網絡惡意流量識別研究

關鍵詞：卷積神經網絡；長短期記憶網絡；惡意流量

中圖分類號：TP393 文獻標識碼：A

文章編號：1009-3044（2024）28-0069-03

0 引言

近年來，隨著計算機技術和人工智能領域的迅猛發(fā)展，數字校園、智慧校園等概念日益深入人心[1]。高校紛紛順應時代潮流，依托校園網絡，構建起包括學校網站群、教務系統(tǒng)、后勤系統(tǒng)、人事系統(tǒng)、一卡通系統(tǒng)等在內的智能應用體系。這無疑極大地滿足了師生的工作學習需求，但同時也使得姓名、身份證、手機號等敏感信息暴露于網絡之上。不容忽視的是，受部分黑客群體利益驅使及國際形勢影響，網絡攻擊手段層出不窮，如勒索病毒、挖礦攻擊等，輕則導致系統(tǒng)癱瘓，重則引發(fā)機密信息泄露。若高校在網絡安全防護上存在疏漏，便會給不法分子以可乘之機。此外，黑客技術和網絡攻擊手段持續(xù)升級，如SQL注入、DDoS 攻擊、端口掃描、漏洞利用等，防不勝防。因此，若能運用技術手段對高校網絡流量進行深度分析，提前識別并攔截惡意流量，將有助于網安人員追溯攻擊源頭，及時阻斷攻擊，從而有效保護高校內部的網絡安全與信息安全，確保校園網絡的平穩(wěn)運行。

本文采用當前較為成熟的深度學習技術——卷積神經網絡（CNN） 與長短期記憶網絡（LSTM） ，對網絡流量進行建模分析，訓練出能夠精準識別網絡惡意流量的模型。該模型將助力網安人員更好地識別惡意流量，為高校信息資產的安全保駕護航。

1 卷積神經網絡（CNN）

早在20世紀80年代，科學家們便提出了人工神經網絡的概念，他們利用大量模擬的神經元構建模型，以模仿大腦的思考方式。然而，由于當時計算能力的不足和缺乏具體的應用場景，人工神經網絡并未得到廣泛應用。隨著近年來半導體技術的持續(xù)進步和神經網絡理論模型的不斷迭代更新，神經網絡已成為深度學習領域的關鍵組成部分，并被廣泛應用于圖形圖像處理、文本識別、金融分析、醫(yī)藥研究等多個與大眾生活息息相關的領域。同時，隨著網絡化時代的到來，各類豐富的數據得以便捷地流通，這為科學家們使用海量數據訓練出高效實用的模型提供了便利。

人工神經網絡根據其內部神經元之間的連接關系，可以分為前向網絡和反饋網絡兩大類。由于前向網絡中神經元之間的信息傳遞是單向的，且結構相對簡單，因此它特別適合于處理大規(guī)模、多維度的數據。卷積神經網絡（CNN） 便是前向網絡中的一個經典代表。CNN 的結構與典型的前向網絡相似，由輸入層、隱藏層（包括卷積層、池化層和全連接層）以及輸出層構成[2]。

在CNN中，輸入層負責接收原始數據。這些數據可以是圖像、文本、音頻等多種形式，根據數據類型的不同，它們會被轉換為相應的矩陣形式進行輸入。

進入隱藏層后，隱藏層中的卷積層會對輸入數據進行特征提取。通過使用卷積核與原始矩陣進行卷積操作，如公式（1） 所示，得到一個比輸入數據更小的矩陣，這個矩陣即被視為降維后的數據，同時也是從原始數據中提取出的關鍵特征。如圖1所示，即以二維矩陣為例進行卷積操作的過程。

卷積層輸出的特征矩陣中包含的特征數量往往過多，且通常可能伴隨過擬合的問題，因此會將特征矩陣輸入到池化層中進行進一步的處理[3]。常見的池化技術包括最大池化和平均池化，如圖2和圖3所示，通過選擇適當的池化窗口大小，依據其對應的算法降低特征矩陣的維度，最終將處理結果輸出至全連接層。

特征矩陣中存儲的均為局部特征，全連接層的作用是將這些特征矩陣轉換為一維向量，經過計算后，根據激活函數即可得到最終的輸出結果。

2 長短期記憶網絡（LSTM）

由于卷積神經網絡作為一種前向網絡，缺乏反饋機制，神經網絡在訓練時可能會過度依賴鄰近的訓練數據。而神經網絡通常需要大量數據進行訓練才能達到較優(yōu)效果，因此，為了避免卷積神經網絡因時序問題導致的模型局限性，需要引入長短期記憶網絡（LSTM） 。與卷積神經網絡不同，LSTM是一種反饋網絡，通過前向傳播和反向傳播等手段，使模型在訓練時具備記憶性，并持續(xù)動態(tài)地迭代參數[4]。普通的反饋網絡如循環(huán)神經網絡（RNN） 存在長期依賴問題，而LSTM是對RNN的改進，其核心結構包括記憶細胞、輸入門、遺忘門和輸出門，這些結構能夠按照時間順序對輸入數據進行篩選，從而具備處理時序數據的能力。

記憶細胞是貫穿LSTM網絡的關鍵結構，通過記憶細胞，LSTM能夠實現對信息的長期記憶。然而，網絡中的信息并非固定不變，在訓練過程中，通過輸入門、遺忘門和輸出門這三個結構來控制信息的流動與更新[5]。長短期記憶網絡的結構如圖4所示。

3 實驗及分析

3.1 實驗數據及環(huán)境

本文使用的數據集為CIC-IDS2017，是加拿大安全研究所提供的開源數據集[6]。鑒于以往數據集在覆蓋面及惡意流量攻擊類型豐富度上的不足，研究人員基于HTTP、HTTPS、FTP等協(xié)議，模擬了為期5天、涉及25個用戶的行為數據，包含了正常的數據流以及多樣化的攻擊方式，如DDoS、僵尸網絡、滲透和Web攻擊等。該數據集包含時間戳、源地址IP、目標地址IP、源端口、目標端口、協(xié)議等共計75種特征。提供的數據集形式多樣，既有pcap格式的數據包文件，也有經過預處理的csv格式文件。本文用于研究的數據集為其中的Thursday-WebAttacks、Thursday-Infilteration、Fridayn-PortScan、Friday-DDos，其數據分布如表1 所示。

本次實驗的硬件環(huán)境配置為Windows 10 64位系統(tǒng)，搭載Intel i5-7400 CPU 及NVIDIA GTX1660SUPER GPU，內存容量為16GB。軟件環(huán)境方面，采用Python 3.6版本，開發(fā)框架選用Pytorch，集成開發(fā)環(huán)境為PyCharm。

3.2 實驗流程

實驗流程如圖5所示。首先，讀取數據集后，對整體數據進行檢查，發(fā)現“每秒傳輸的字節(jié)數”和“每秒傳輸的數據包數”兩列中存在nan、infinity 等異常值（臟數據），需將這些包含臟數據的數據行予以剔除。鑒于數據樣本中部分攻擊行為的樣本數量較少，為防止模型訓練時出現過擬合現象，對含有惡意流量的數據進行重采樣處理。隨后，按照70%和30%的比例劃分訓練數據集和測試數據集。接著，利用卷積神經網絡（CNN） 進行特征提取，再通過長短期記憶網絡（LSTM） 構建模型，最后驗證測試集輸出結果。

3.3 實驗結果

實驗結果如表2 所示，本文提出的基于CNN 和LSTM 的分類模型對數據集中的Thursday-WebAttacks、Thursday-Infiltration、Friday-PortScan、Friday-DDoS均有不錯的預測效果，其中準確率依次達到96.03%、93.25%、94.48%和97.19%，精確率依次為98.58%、94%、97.62% 和98.25%，召回率依次為97.28%、93.19%、96.33% 和98.08%，F1值依次為97.93%、93.59%、96.97% 和98.16%。僅在Thursday-Infiltration這個樣本上，由于惡意流量類型為滲透的數據較少，可能會在訓練模型時導致過擬合而表現略有不佳，但在其余樣本上均能達到96%以上的準確識別率。通過以上結果可以得出結論，本文提出的基于CNN和LSTM的模型能夠有效地對網絡中的惡意流量進行分析和識別，從而幫助相關網絡安全人員更好地提前識別和預判風險，以保障校園網絡的安全和信息資產的安全。

4 結束語

本文首先介紹了當前嚴峻的網絡安全形勢以及防范和識別網絡惡意流量的必要性，隨后簡要介紹了卷積神經網絡（CNN） 和長短期記憶網絡（LSTM） 的背景和原理。接著，提出了一種基于CNN和LSTM的模型，該模型首先利用CNN對數據集進行特征提取，隨后通過LSTM進行建模，以此實現對網絡惡意流量的分析和識別。

在后續(xù)工作中，鑒于本文在訓練模型時遇到的部分攻擊樣本較少的問題，以及不斷出現的新型惡意流量攻擊形式，建議未來研究可以收集更多、更全面的數據集進行訓練。同時，面對海量數據時，如何解決機器性能與訓練效率之間的矛盾也將成為研究的重點。