网络流量中基于数据控制流的漏洞利用程序检测方法研究

The detection of vulnerability exploit is always a research hotspot in the field of network security. The existing detection technologies have suffered from the problems of accuracy and efficiency in the network traffic. In order to find out how to identify and classify the existing exploits in network traffic, we first analyze the existing exploit detection techniques based on the attack ways and characteristics of exploits in network traffic. We will present a new pattern used to represent exploits based on data control flow, and design a lightweight classification method for vulnerability exploits based on event protocol mechanism. We also will address some methods including the rapid identification, classification and feature extraction for vulnerability exploits in network traffic with the new pattern. Secondly, we will research on property matching method for vulnerability exploits based on semantic annotation, and build a semantic vulnerability exploit database based on mapping model. Then the method of identifying the vulnerability of attack program based on fuzzy decision will be put forward. Thirdly, we work on the feature extraction of those unknown exploits based on the higher interactive honeypot system, as well as the gray box method of host feature extraction based on deep learning technology. By using the machine learning technology, the extracted features are analyzed to determine whether they belong to one specific exploit application or not, and its type can also be identified and will be stored into the vulnerability attack database after classifying and identifying. An exploit detection system will also be developed based on data control flow in this project, which can be applied to analyzing and detecting some common exploit programs. In this project the proposed approaches will further promote the development of the detection theory and technology for the vulnerability exploiting application in the field of network security.

漏洞利用程序的检测一直是网络安全领域的研究热点，现有检测技术在网络流量环境下对漏洞利用程序的识别遭受了准确性和效率的问题。为了研究出更有效的网络流量中的漏洞利用程序的识别和分类方法，本项目首先研究网络流量中漏洞利用程序的攻击方式及特点，提出基于数据控制流的漏洞利用程序表示模型，设计一种基于事件协议的轻量级漏洞利用程序分类方法，从而研究出基于数据控制流的漏洞利用程序特征提取方法和快速识别方法。接着研究基于语义标注的漏洞利用程序属性匹配方法，实现基于映射模型的语义漏洞攻击数据库的构建，进而提出基于模糊决策的攻击程序漏洞识别方法。最后针对未知漏洞利用程序研究基于高交互蜜罐技术的特征捕获和分析方法，进一步研究基于深度学习主机特征提取的灰盒方法，通过机器学习技术对特征进行匹配，识别漏洞利用程序及其类型，并存入漏洞攻击数据库。项目的研究成功将进一步促进网络安全领域中漏洞利用程序检测理论与技术的发展。

漏洞利用程序的检测一直是网络安全领域的研究热点，现有检测技术在网络流量环境下对漏洞利用程序的检测遭受了准确性和效率的问题。为了研究出更有效的网络流量中的漏洞利用程序的检测和分类方法，本项目首先研究采用基于主动防御策略的蜜罐技术来收集网络流量，以解决异常流量数据远远小于正常流量数据所导致的数据集不平衡问题。然后，研究利用核主成分分析技术将流量数据过滤并在新的特征空间中利用线性判别分析方法进行二次特征提取，以获得更为精准的特征属性。提取到特征属性后，将生成的特征利用非对称卷积自编码器结合随机森林算法共同构建检测模型。接着，研究基于相似性度量的漏洞攻击数据库构建算法，构建了一个面向网络流量的漏洞攻击数据库，将数据库中的数据作为训练集，通过快速决策树算法构建决策树形成分类模型，实现对待识别的攻击程序的分类，同时也可以为其他的分类方法改善误差，提高准确性。此外，考虑到现有漏洞利用程序可能通过传输二进制恶意文件进行网络流量攻击，故研究二进制文件生成基于跳转的控制流图，接着针对异常跳转的漏洞利用程序的漏洞利用程序特征，提出了相关定义及基于控制流图的漏洞利用程序检测方法。进一步，项目研究基于深度学习的恶意网络流量分类方法及漏洞利用程序检测方法，通过研究时序卷积网络的特性学习流量数据包的字节序列特性提取数据集中的关键特征，训练出的检测模型在较短训练时间内可获得更高的准确率。考虑到加密流量分类的重要性，项目研究了深度信念网络分析加密流量TLS证书的特征，实现对漏洞利用程序加密流量的分类。最后，将上述研究技术整合开发了一套网络流量中漏洞利用程序检测原型系统，该原型系统能有效检测网络流量中典型的漏洞利用程序。项目研究成果进一步促进了网络安全领域中漏洞利用程序检测理论与技术的发展。