山石網(wǎng)科立足2022技術(shù)發(fā)展，洞見2023網(wǎng)絡(luò)安全技術(shù)趨勢
2022年是極不平凡的一年，外部的世界局勢逐步惡化，內(nèi)部的新冠疫情邁向新階段。2022年也是偉大的一年，黨的歷史上第一次把國家安全提到中華民族偉大復(fù)興的戰(zhàn)略全局高度，將其作為中國式現(xiàn)代化的有機(jī)組成部分。明確提出要“推進(jìn)國家安全體系和能力現(xiàn)代化，堅(jiān)決維護(hù)國家安全和社會穩(wěn)定”。“國家安全是民族復(fù)興的根基，社會穩(wěn)定是國家強(qiáng)盛的前提?！?/span>
網(wǎng)絡(luò)安全作為國家安全的重要組成部分，也肩負(fù)起更艱巨的使命。山石網(wǎng)科新技術(shù)研究院作為公司技術(shù)研究部門，在2022年開展了一系列前沿技術(shù)的探索和預(yù)研，立足2022年的技術(shù)發(fā)展現(xiàn)狀，展望和預(yù)測了2023年的技術(shù)趨勢。
一、分析方法論
從科學(xué)技術(shù)哲學(xué)的角度，新技術(shù)的出現(xiàn)往往不是突然的、隨機(jī)的、不確定的，而是漸進(jìn)的、確定的。因此，通過對于技術(shù)發(fā)展現(xiàn)狀的梳理，可以對未來的發(fā)展趨勢進(jìn)行判斷和預(yù)測。
山石網(wǎng)科新技術(shù)研究院對2022年計(jì)算機(jī)、網(wǎng)絡(luò)安全、密碼學(xué)等領(lǐng)域的頂級學(xué)術(shù)期刊（見下表）的約900篇論文進(jìn)行了梳理，對論文所研究的技術(shù)領(lǐng)域進(jìn)行歸類統(tǒng)計(jì)。
·IEEE Transactions on Dependable and Secure Computing
·IEEE Transactions on Information Forensics and Security
·Journal of Cryptology
·ACM Transactions on Information and System Security
·Computers & Security
·Designs, Codes and Cryptography
·Journal of Computer Security
對于相關(guān)的論文，從產(chǎn)品戰(zhàn)略匹配度、技術(shù)創(chuàng)新度、工程實(shí)現(xiàn)難度三個維度進(jìn)行更細(xì)粒度的分析。
二、技術(shù)研究熱點(diǎn)分布
從2022年的學(xué)術(shù)界研究論文的數(shù)量分布情況來看，技術(shù)研究領(lǐng)域的熱點(diǎn)降序排列為：
·物聯(lián)網(wǎng)安全
·惡意軟件檢測
·入侵檢測
·機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全的創(chuàng)新應(yīng)用
·DDoS檢測與防護(hù)
·惡意行為分析
·釣魚攻擊檢測
·APT攻擊檢測
·工業(yè)控制系統(tǒng)安全
·XSS檢測
·DGA檢測
·DNS安全與防護(hù)
·威脅情報
·勒索軟件檢測
·惡意URL檢測
·車聯(lián)網(wǎng)安全
·加密流量檢測
三、十大技術(shù)趨勢
1，技術(shù)研究聚集特征與分散特征顯著，四大方向占據(jù)半壁江山
2022年技術(shù)研究具備顯著的頭部聚集特征。近半數(shù)的研究論文均集中于物聯(lián)網(wǎng)安全、惡意軟件檢測、入侵檢測、機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全的創(chuàng)新應(yīng)用這4個研究方向，且旗鼓相當(dāng)。既有物聯(lián)網(wǎng)這樣的新場景，也有惡意軟件檢測、入侵檢測這類的傳統(tǒng)問題，還有機(jī)器學(xué)習(xí)新方法的探索創(chuàng)新。
同時，另一半的研究論文卻呈現(xiàn)了碎片化的分散特征。說明網(wǎng)絡(luò)安全領(lǐng)域涉及的研究方向眾多繁雜，且都有研究價值。
2023年，可以預(yù)見上述特征將持續(xù)存在。
2，舊瓶裝新酒是網(wǎng)絡(luò)安全研究的主要方法特征
縱觀科學(xué)技術(shù)發(fā)展史，產(chǎn)生的問題和解決問題的方法往往具備下列組合，并形象地賦予一個名字：
·老問題+老方法：舊瓶裝舊酒
·老問題+新方法：舊瓶裝新酒
·新問題+老方法：新瓶裝舊酒
·新問題+新方法：新瓶裝新酒
網(wǎng)絡(luò)安全領(lǐng)域的研究問題，從長時間維度（10年）來看，依然離不開入侵檢測、惡意軟件檢測這類古典傳統(tǒng)的老問題。這類老問題之所以長期存在，主要原因是網(wǎng)絡(luò)安全領(lǐng)域技術(shù)攻防對抗螺旋上升的特色，使得當(dāng)時有效的檢測技術(shù)在新型攻擊技術(shù)出現(xiàn)后變得低效或無效。比如，10年前針對主機(jī)的入侵行為，在今天依然是大量存在，這個過程里無論是入侵技術(shù)還是檢測技術(shù)都一直推陳出新。另外，這些老問題從歷史上看，也是從來沒有徹底得到過解決，所以遺留至今。比如，從未有任何一種通用方法可以有效檢測任何新型的惡意軟件。
以機(jī)器學(xué)習(xí)為代表的新方法正在試圖改變上述局面，因而吸引了大量的研究人員開展研究。在取得根本性突破之前，老問題+新方法“舊瓶裝新酒”將持續(xù)成為網(wǎng)絡(luò)安全研究的主要方法特征。
3，物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)兩類場景的安全問題值得高度關(guān)注
2022年物聯(lián)網(wǎng)領(lǐng)域的研究占比為15%，工業(yè)控制系統(tǒng)（工業(yè)互聯(lián)網(wǎng)）研究占比5%。根據(jù)一些學(xué)者的定義，工業(yè)互聯(lián)網(wǎng)也可以納入物聯(lián)網(wǎng)范疇，因而兩者的綜合總比達(dá)到了1/5。這兩類新場景的安全問題值得高度關(guān)注，其面臨的主要挑戰(zhàn)和研究機(jī)遇如下圖所示。
4，小樣本學(xué)習(xí)在惡意軟件檢測中的嘗試
巴西的一個研究團(tuán)隊(duì)[1]提出了一種稱為“Malware‐SMELL”的小樣本學(xué)習(xí)方法，用于檢測0day惡意軟件。論文的核心是提出了一種基于視覺表征的相似性度量方法，包括了兩種表征：潛在特征空間和S空間。Malware-SMELL可以在沒有先驗(yàn)知識的情況下檢測惡意軟件，即廣義小樣本學(xué)習(xí)ZSL，準(zhǔn)確率為84%。
5，應(yīng)對高速流量的入侵檢測新技術(shù)
現(xiàn)有IDPS難以應(yīng)對越來越高的網(wǎng)絡(luò)流量，隨著Internet Protocol Flow Information Export (IPFIX)標(biāo)準(zhǔn)的推進(jìn)，德國Paderborn大學(xué)的Felix團(tuán)隊(duì)[2]提出應(yīng)對高速流量的IPFIX-based Signature-based Intrusion Detection System (FIXIDS)；在不丟包的情況下，可比Snort能處理的流量高出4倍。
6，深入窺探加密的流量
根據(jù)google的網(wǎng)絡(luò)監(jiān)測數(shù)據(jù)，流經(jīng)google服務(wù)器的流量中，加密流量占比已經(jīng)高達(dá)95%以上。
伴隨著越來越多互聯(lián)網(wǎng)應(yīng)用在網(wǎng)絡(luò)層、傳輸層、應(yīng)用層進(jìn)行各式各樣的加密，從網(wǎng)絡(luò)流量視角來看，一個隱蔽的、不透明的互聯(lián)網(wǎng)世界正在被構(gòu)建。傳統(tǒng)的基于有效負(fù)載內(nèi)容分析（如DPI）的手段顯得越來越蒼白無力，機(jī)器學(xué)習(xí)手段正在得到普遍的重視。
新加坡網(wǎng)絡(luò)空間技術(shù)中心的研究團(tuán)隊(duì)[3]發(fā)表了一篇重要的綜述論文，提出了一種通用的基于機(jī)器學(xué)習(xí)的加密惡意流量檢測技術(shù)框架。
此外，由于缺乏公認(rèn)的數(shù)據(jù)集和特征集，目前的研究采用不同的數(shù)據(jù)集來訓(xùn)練模型。因此，它們的模型性能無法進(jìn)行可靠的比較和分析。文獻(xiàn)[3]分析、處理和組合了來自5個不同來源的數(shù)據(jù)集，生成一個全面而公平的數(shù)據(jù)集，為該領(lǐng)域未來研究奠定了基礎(chǔ)。在此基礎(chǔ)上，實(shí)現(xiàn)并比較了10種加密惡意流量檢測算法，給業(yè)內(nèi)研究人員作為一個重要的啟發(fā)和參考。
7，不斷突破APT攻擊檢測的難題
高級可持續(xù)攻擊（APT）和檢測是網(wǎng)絡(luò)攻防領(lǐng)域的皇冠，APT攻擊手法多樣、涉及技術(shù)復(fù)雜，加上高度定制化攻擊工具，使得APT攻擊檢測極為困難，漏報誤報雙高。各種結(jié)合上下文信息和來源圖的實(shí)時檢測機(jī)制已經(jīng)被提出來防御APT攻擊。然而，現(xiàn)有的實(shí)時APT檢測機(jī)制由于檢測模型不準(zhǔn)確和來源圖尺寸不斷增大而存在準(zhǔn)確性和效率問題。
為了解決準(zhǔn)確性問題，浙江大學(xué)的一個研究團(tuán)隊(duì)[4]提出了一種新穎而準(zhǔn)確的APT檢測模型，稱為CONAN。
該模型提出了一個基于狀態(tài)的框架，在這個框架中，事件作為流被消費(fèi)，每個實(shí)體都以類似于FSA的結(jié)構(gòu)表示。此外，通過在數(shù)據(jù)庫中僅存儲千分之一的事件來重建攻擊場景。該模型已經(jīng)在Windows上實(shí)現(xiàn)，并在現(xiàn)實(shí)攻擊場景下進(jìn)行了全面的測試，可以準(zhǔn)確有效地檢測到評估中的所有攻擊。隨著時間的推移，CONAN的內(nèi)存使用和CPU效率保持不變，使CONAN成為在現(xiàn)實(shí)場景中檢測已知和未知APT攻擊的可參考借鑒的模型。
8，針對機(jī)器學(xué)習(xí)的隱私保護(hù)
人有隱私，機(jī)器學(xué)習(xí)也有隱私。深度學(xué)習(xí)模型的梯度信息就是最重要的隱私。梯度泄漏攻擊被認(rèn)為是深度學(xué)習(xí)中最嚴(yán)重的隱私威脅之一，攻擊者在迭代訓(xùn)練期間秘密地監(jiān)視梯度更新，而不影響模型訓(xùn)練質(zhì)量，但使用泄漏的梯度秘密地重建敏感的訓(xùn)練數(shù)據(jù)，具有很高的攻擊成功率。
喬治亞理工大學(xué)的一個團(tuán)隊(duì)[5]分析了現(xiàn)有的具有差分隱私的深度學(xué)習(xí)實(shí)現(xiàn)，這些使用固定的隱私參數(shù)向所有層的梯度中注入恒定的噪聲。盡管提供了差分隱私保護(hù)，但這類方法精度較低，容易受到梯度泄漏攻擊。團(tuán)隊(duì)提出了基于動態(tài)隱私參數(shù)的防梯度泄漏的彈性深度學(xué)習(xí)方法，引入自適應(yīng)噪聲方差。在六個基準(zhǔn)數(shù)據(jù)集上的大量實(shí)驗(yàn)表明，具有動態(tài)隱私參數(shù)的差分隱私深度學(xué)習(xí)優(yōu)于使用固定差分參數(shù)的深度學(xué)習(xí)和現(xiàn)有的自適應(yīng)剪輯方法。
9，讓暗網(wǎng)不暗
暗網(wǎng)一直是互聯(lián)網(wǎng)時代數(shù)字治理的頑疾，不僅成為違法犯罪的溫床，也是危害國家安全的重要源頭。暗網(wǎng)流量分類是識別匿名網(wǎng)絡(luò)應(yīng)用和防范網(wǎng)絡(luò)犯罪的關(guān)鍵。盡管將機(jī)器學(xué)習(xí)算法和精心設(shè)計(jì)的特征相結(jié)合對暗網(wǎng)流量進(jìn)行分類的研究取得了顯著的成果。但目前的方法要么嚴(yán)重依賴手工制作的特征，要么忽略了從不同數(shù)據(jù)位置自動提取的局部特征之間的全局內(nèi)在關(guān)系，導(dǎo)致分類性能有限。
為了解決這一問題，北京航空航天大學(xué)的一個研究團(tuán)隊(duì)[6]提出了一種新的暗網(wǎng)流量分類和應(yīng)用識別的自關(guān)注深度學(xué)習(xí)方法DarknetSec。DarknetSec還可以從有效載荷統(tǒng)計(jì)信息中提取側(cè)信道特征，以提高其分類性能。在CICDarknet2020數(shù)據(jù)集上評估，實(shí)現(xiàn)了92.22%的多分類精度和92.10%的f1評分。此外，DarknetSec在應(yīng)用于其他加密流量分類任務(wù)時保持了較高的準(zhǔn)確性。
10，拒絕被勒索軟件勒索
勒索軟件在過去幾年對政府、金融、關(guān)鍵基礎(chǔ)設(shè)施構(gòu)成了嚴(yán)重危害。對勒索軟件進(jìn)行快速、準(zhǔn)確地檢測是該領(lǐng)域的重要研究課題。
采用深度神經(jīng)網(wǎng)絡(luò)檢測勒索軟件是現(xiàn)在的技術(shù)趨勢，但是勒索軟件的訓(xùn)練數(shù)據(jù)稀缺導(dǎo)致深度神經(jīng)網(wǎng)絡(luò)的使用存在挑戰(zhàn)。新西蘭的一個研究團(tuán)隊(duì)[7]提出一種基于少樣本元學(xué)習(xí)模型的Siamese神經(jīng)網(wǎng)絡(luò)，不僅可以檢測勒索軟件，還能對其進(jìn)行分類。主要原理是通過勒索軟件二進(jìn)制文件獲得與其他勒索軟件簽名相關(guān)聯(lián)的熵特征。通過實(shí)驗(yàn)，該方法檢測勒索軟件的F1值超過0.86。
四、結(jié)語
未來，山石網(wǎng)科將用遠(yuǎn)見超越未見，用網(wǎng)絡(luò)安全的技術(shù)創(chuàng)新，持續(xù)護(hù)航國家安全。
參考文獻(xiàn)：
[1] Barros, Pedro H., Eduarda T. C. Chagas, Leonardo B. Oliveira, Fabiane Queiroz, and Heitor S. Ramos. “Malware‐SMELL: A Zero‐shot Learning Strategy for Detecting Zero‐day Vulnerabilities.” Computers & Security 120 (September 1, 2022): 102785. https://doi.org/10.1016/j.cose.2022.102785.
[2] Erlacher, Felix, and Falko Dressler. “On High-Speed Flow-Based Intrusion Detection Using Snort-Compatible Signatures.” IEEE Transactions on Dependable and Secure Computing 19, no. 1 (2022): 495–506. https://doi.org/10.1109/TDSC.2020.2973992.
[3] Wang, Zihao, Kar Wai Fok, and Vrizlynn L. L. Thing. “Machine Learning for Encrypted Malicious Traffic Detection: Approaches, Datasets and Comparative Study.” Computers & Security 113 (February 1, 2022): 102542. https://doi.org/10.1016/j.cose.2021.102542.
[4] Xiong, Chunlin, Tiantian Zhu, Weihao Dong, Linqi Ruan, Runqing Yang, Yueqiang Cheng, Yan Chen, Shuai Cheng, and Xutong Chen. “Conan: A Practical Real-Time APT Detection System With High Accuracy and Efficiency.” IEEE Transactions on Dependable and Secure Computing 19, no. 1 (2022): 551–65. https://doi.org/10.1109/TDSC.2020.2971484.
[5] Wei W , Liu L . Gradient Leakage Attack Resilient Deep Learning[J]. IEEE transactions on information forensics and security, 2022(17-):17.
[6] Lan, Jinghong, Xudong Liu, Bo Li, Yanan Li, and Tongtong Geng. “DarknetSec: A Novel Self-Attentive Deep Learning Method for Darknet Traffic Classification and Application Identification.” Computers & Security 116 (May 1, 2022): 102663. https://doi.org/10.1016/j.cose.2022.102663.
[7] Zhu, Jinting, Julian Jang-Jaccard, Amardeep Singh, Ian Welch, Harith AI-Sahaf, and Seyit Camtepe. “A Few-Shot Meta-Learning Based Siamese Neural Network Using Entropy Features for Ransomware Classification.” Computers & Security 117 (June 1, 2022): 102691. https://doi.org/10.1016/j.cose.2022.102691.
