基于图神经网络增强通信特征的僵尸网络异常通信检测

摘要

工业互联网中的传统工业设备存在大量安全漏洞，在联网过程中易受僵尸网络攻击，其通过恶意控制大量联网设备，实现对目标网络的大规模协同攻击.传统基于规则或阈值的检测方法过度依赖静态签名或人工阈值设定，很难适应动态变化的网络环境；传统机器学习技术对复杂网络高维通信特征的处理能力有限，导致检测能力受限；基于深度学习的检测技术通常将网络流量视为时间序列或空间数据进行处理，无法对设备拓扑依赖关系进行建模，因而难以识别僵尸网络协同攻击.为了解决上述局限性，本文采用图结构准确建模复杂通信网络拓扑结构，并提出一种基于图神经网络增强通信特征的僵尸网络异常通信检测技术.首先从网络流量数据中挖掘细粒度的节点特征与通信特征；然后通过图神经网络的信息传播与聚合机制，获得准确的节点聚合特征表示；再用节点聚合特征增强通信特征，实现准确的异常通信检测；最后在大型公开数据集CTU-13上进行了综合实验，验证所提出方法的有效性.实验结果表明所提出的方案与现有的卷积神经网络、长短时记忆网络及其融合模型等异常检测算法，以及最新提出的Bot-DM僵尸网络检测方法相比，能更准确地检测僵尸网络异常通信.

关键词

工业互联网安全 / 僵尸网络 / 异常通信检测 / 图神经网络 / 深度学习

基金资助

国家自然科学基金区域基金重点资助项目（U22A2005）; 北京科技大学青年教师学科交叉研究（中央高校基本科研业务费专项资金）资助项目（FRF-IDRY-24-015）