大数据环境下基于深度信念网络的变态蠕虫特征自动提取研究

With the aid of mutation mechanisms, the signature of metamorphic worms represents combined properties, which is difficult to describe them using some traditionally single signature-based methods. Metamorphic worms make some traditionally defending methods face great challenges. Moreover, they hide in the big data, which cause more severe challenges to generate effective signatures. In response to such challenges, this project plans to study the automatic signature generation framework and model for metamorphic worms, combination with metamorphic mechanisms, effective traffics and signatures. Enlightened by the study of social behaviors, this project study attack traffic models and sensitive factors of characterizing metamorphic worm breakout, and extract effectively suspicious traffics, which overcomes the effect of noises on the subsequent signature accuracy. Furthermore, under the condition of collecting some samples of metamorphic worms, we use Restricted Boltzmann Machine to implement the dimensionality reduction of invariant sets of worm samples. With the help of deep brief networks in machine learning theory, we plan to fast and accurately generate signatures of metamorphic worms, and solve the problem of the false positive and false negative caused by inaccurate signatures. Finally, we adopt the Gaussian Mixture Model to compute the similarity among worm signatures, classify them, and construct their guide tree, which is used to solve the problem of low matching efficiency. By combining these two aspects, we expect to achieved a major breakthrough on suspicious traffic collection and automatic signature generation, and provide new ideas and new techniques for defending against metamorphic worms in big data era.

借助变异技术，变态蠕虫特征呈现可组合特性，用传统单一特征技术难以刻画，传统防御方法面临巨大挑战。同时变态蠕虫隐藏于大体量、多样性的大数据流量中，增加了特征提取的难度。本项目针对变态蠕虫所采用的变态机制的特点，综合数据和特征的有效性，研究大数据环境下变态蠕虫特征自动提取框架模型。借鉴社会行为学研究能表征变态蠕虫的流量模型和敏感指标，分离出有效可疑流量，解决噪声对后期特征提取准确性的影响。在保证样本信息足够完整的条件下利用受限玻尔兹曼机对不变量集合降维，借助机器学习理论中的深度信念网络方法准确快速提取变态蠕虫特征，解决因特征不准确而导致的误报和漏报问题。利用高斯混合模型计算多态蠕虫特征间的相似度，对其分类，构建向导树，解决匹配效率低的问题。本项目预期在针对变态蠕虫的可疑流量采集、特征自动提取方面取得突破，为大数据环境下变态蠕虫的防御提供理论与方法支撑。

借助生物学思想，结合变态技术， 如加密、语义保持性代码机制等，变态蠕虫能够在传播过程中改变其形态，使得同一类蠕虫展现不同的形态，从而躲避基于单一特征和基于异常的入侵检测系统的检测，是未来威胁网络安全的一个重大隐患。数据来源多样性、内容多样化、需求多元化、计算复杂化等问题，这些对变态蠕虫特征提取的准确性带来了巨大的挑战。主要研究了变态蠕虫的变形机制、传播模型及稳定性，并针对变态蠕虫所采用的变态机制的的特点，设计了一个大数据环境下变态蠕虫特征自动提取框架模型。在此基础上，研究了可疑数据采集的行为监测、评价方法等，保证了数据的正确性和完整性，解决了因噪声的存在影响后期特征提取准确性的问题；研究了变态蠕虫特征提取的模型和方法，提高蠕虫特征的有效度和健壮性，构建向导树，对变态蠕虫进行精准分类，解决了因特征不准确而导致的误报率和漏报率高的问题。(1)提出了基于饱和感染率和局部免疫的变形蠕虫传播模型SVEIR，并研究了无蠕虫平衡点和地方病平衡点的全局稳定性，为特征提取提供理论支持；(2)为解决噪声干扰下无法产生准确特征的问题，提出一个基于改进词频-逆文档频率的变形蠕虫特征提取方法；(3)提出一种基于改进平滑N-gram算法的多态蠕虫特征提取模型，能够在消耗较少计算机资源前提下快速准确地提取出多种类多态蠕虫行为特征，性能优于目前算法；(4)采用混合专家（MOE）神经网络进行分析和研究对物联网恶意软件家族进行了分类，提出了一种基于混合专家神经网络的框架，准确率为96.32%，高于同类方法。借助深度信念网络方法准确且快速提取了变态蠕虫特征，解决了因特征不准确而导致的误报和漏报问题。建立变态蠕虫特征自动提取的模型和方法，是网络能够广泛应用的基础，也是物联网产业发展的关键技术难题，对提升网络防御系统的安全性和健壮性具有重要的意义。