面向APT网络监测的网络基因基础理论与关键技术研究

Currently, APT (Advanced Persistent Threat) poses a serious threat to the state's cyber security, in the background ofhuge and complicated network traffic, its unique high unpredictability, deep concealment and harmfulness make the traditional network monitoring technology facing unprecedented challenges. This project aimed for the urgent demand of APT network monitoring, relying on the rapid development of big data and cloud computing technology, draw lessons from biology gene concept, to depict the rich semantic behavior characteristics model of network application, putting forwardanew connotation of the networkgenes, through the organic combination of network protocol reverse analysis technology and the network data stream processing technology,establisheda set of network gene construction and calculation basic theories and technical achitecture, to support the network of distinguishing different capacity assault ecological environment regulation; Project will make breakthrough of key support technology such as network genes automated analysis extractionin the vast network applications, network genes real-time matching analysisunder the background ofhigh-speed network flow; Researchingdeep anomaly detection technologybased on the networkgenes, from the perspective of application to verify the effectiveness of the new theory offounding unknown network attacks. This project research results will provides new theoretical and technical support for APT network monitoring, can also be further used in situation awareness and other related fieldsofthe cyber security.

当前高级持续威胁APT对国家网络空间安全构成严重危害，在互联网巨大而又复杂多样的网络流量背景中，其特有的强未知性、深隐蔽性和高危害性使传统网络监测技术面临空前严峻的挑战。本项目针对APT网络监测的迫切需求，依托快速发展的大数据和云计算技术，借鉴生物学机理，以表示网络应用的富语义网络行为模式的数字片断及组合序列为内涵，提出网络基因的新概念，通过有机结合网络协议逆向分析与网络数据流处理技术，建立一套网络基因构建与计算的基本理论及技术体系，支撑构建辨异容侵的网络生态环境；项目将在海量网络应用的网络基因自动分析提取、高速网络流背景下网络基因实时匹配等关键支撑技术上取得突破；通过深度异常行为检测评估技术的研究，从应用角度验证网络基因新理论方法对发现未知网络攻击的有效性。本课题研究成果将为破解APT网络监测难题提供新的理论和技术支撑，也可进一步推广应用于态势感知等网络空间安全其它领域。

当前传统成熟的网络监测技术通常建立在对网络流量模式和攻击特征已知的基础上，难以发现手段未知、行为隐蔽和过程持久的APT威胁。随着移动互联网用户规模的迅猛发展，网络应用层出不穷、网络协议复杂多样、网络攻击花样翻新，网络空间中充斥着巨大而复杂的流量背景，使APT的发现愈加困难，因此，APT网络监测理论与关键技术的研究具有重要的应用价值与科学意义。.本项目借鉴生物学机制，提出网络基因新概念对复杂网络行为模式进行表示与处理，以网络基因自动构建为核心，以网络异常行为检测为目标，充分利用数据流处理的强大计算能力，从网络行为模式与网络基因表示、网络基因自动提取、基于数据流的网络基因实时处理、网络异常行为深度检测等四个方面研究网络基因构建与计算的基本理论及技术体系。在复杂网络攻击图构建方法、基于概率图模型的复杂网络威胁行为表示及其检测方法、基于二进制分析的网络协议模型推理技术、基于网络迹的类型感知网络协议逆向消息聚类方法、基于混合特征相似性分析的恶意代码变种检测算法、基于行为模式特征的恶意代码家族演化树构建算法、基于分割图的恶意代码家族世系网络自动构建算法、基于协议基因模型的网络行为异常检测方法、基于Storm的分布式数据流处理平台、“人在回路”的异常行为检测架构、基于传输层和应用层集成分析的网络异常检测模型、基于注意力机制的深度学习的应用层载荷异常检测算法、基于复杂特征值耦合关系学习的非独立同分布数据异常检测算法等方面取得了一系列创新性研究成果，为进一步提升APT网络监测与未知网络攻击检测能力提供了理论和技术支撑。.项目研究期间，在AAAI、CIKM等国内外核心期刊和学术会议上发表学术论文26篇，其中，在国际期刊发表论文6篇，在国际会议发表论文14篇， 7篇论文被SCI收录，11篇论文被EI收录，1篇论文在国际会议上获奖。项目组培养博士生3名、硕士生8名。