独家 | 一文读懂如何用深度学习实现网络安全

作者：Guest Blog

翻译：张玲

校对：丁楠雅

本文约4700字，建议阅读10+分钟。

本文简要介绍深度学习以及它支持的一些现有信息安全应用，并提出一个基于深度学习的TOR流量检测方案。

简介

我们看到的大多数深度学习应用程序通常面向市场、销售、金融等领域，但在使用深度学习来保护这些领域的产品和业务、避免恶意软件和黑客攻击方面，则鲜有文章或资源。

像谷歌、脸谱、微软和SalesForce这样的大型科技公司已经将深度学习嵌入他们的产品之中，但网络安全行业仍在迎头赶上。这是一个具有挑战性的领域，需要我们全力关注。

                           

本文中，我们简要介绍深度学习（Deep Learning，DL）以及它支持的一些现有信息安全（此处称为InfoSec）应用。然后，我们深入研究匿名TOR流量检测这个有趣的问题，并提出一个基于深度学习的TOR流量检测方案。

本文的目标读者是已经从事机器学习项目的数据科学专业人员。本文内容假设您具备机器学习的基础知识，而且当前是深度学习和其应用案例的初学者或探索者。

为了能够充分理解本文，强烈推荐预读以下两篇文章：

• 《使用数据科学解开信息安全的神秘面纱》

• 《深度学习的基础知识-激活功能以及何时使用它们》

目录

一、信息安全领域中深度学习系统的现状

二、前馈神经网络概述

三、案例研究：使用深度学习检测TOR流量

四、数据实验-TOR流量检测

一、信息安全领域中深度学习系统的现状

深度学习不是解决所有信息安全问题的“灵丹妙药”，因为它需要广泛的标注数据集。不幸的是，没有这样的标记数据集可供使用。但是，有几个深度学习网络对现有解决方案做出重大改进的信息安全案例。恶意软件检测和网络入侵检测恰是两个这样的领域，深度学习已经显示出比基于规则和经典机器学习的解决方案有更显著的改进。

网络入侵检测系统通常是基于规则和签名的控件，它们部署在外围以检测已知威胁。攻击者改变恶意软件签名，就可以轻易地避开传统的网络入侵检测系统。Quamar等[1]在他们的IEEE学报论文中指出，有望采用自学的基于深度学习的系统来检测未知的网络入侵。基于深度神经网络的系统已经用来解决传统安全应用问题，例如检测恶意软件和间谍软件[2]。

与传统的机器学习方法相比，基于深度学习的技术的泛化能力更好。Jung等[3]基于深度学习的系统甚至可以检测零日恶意软件。毕业于巴塞罗那大学的Daniel已经做了大量有关CNN（Convolutional Neural Networks，卷积神经网络）和恶意软件检测的工作。他在博士论文中提及，CNNs甚至可以检测变形恶意软件。

现在，基于深度学习的神经网络正在用户和实体行为分析（User and Entity Behaviour Analytics，UEBA）中使用。传统上，UEBA采用异常检测和机器学习算法。这些算法提取安全事件以分析和基线化企业IT环境中的每一个用户和网络元素。任何偏离基线的重大偏差都会被触发为异常，进一步引发安全分析师调查警报。UEBA强化了内部威胁的检测，尽管程度有限。

现在，基于深度学习的系统被用来检测许多其他类型的异常。波兰华沙大学的Pawel Kobojek[4]使用击键动力学来验证用户是否使用LSTM网络。Capital one安全数据工程总监JasonTrost 发表了几篇博客[5]，其中包含一系列有关深度学习在InfoSec应用的技术论文和演讲。

二、前馈神经网络概述

人工神经网络的灵感来自生物神经网络。神经元是生物神经系统的基本单元。每一个神经元由树突、细胞核和轴突组成。它通过树突接收信号，并通过轴突进行传递（图1