HAST-IDS-基于时空特征和深度学习的恶意流量检测-论文解析

论文基于HAST-IDS：Learning Hierarchical Spatial-Temporal Features Using Deep Neural Networks to Improve Intrusion Detection
原文链接：https://ieeexplore.ieee.org/abstract/document/8171733
源码链接：https://github.com/echowei/DeepTraffic/tree/master/3.HAST-IDS

基于异常的恶意流量检测。采用深度学习的方法，来完成恶意流量检测的技术。其中采用了CNN和RNN模型来学习流量的时空特征来完成识别恶意流量。其中论文主要拆解为了两部分，一部分是单纯采用CNN来学习流量的空间特征，另一种是从数据流当中提取出数据包，通过CNN和RNN来学习时空特征。
想法的来源在于难以设计流量的手工特征，所以通过深度模型这个黑箱子来学习恶意流量的特征。其重要的思想在于将数据流和数据包的每一字节用独热向量来表示，这样当选取前面的n个字节作为输入时，便形成了一张图片的形式。对于多条流和多条包便形成了多张图片。因为对于CNN而言，其输入的图片的shape必须是一致的，这时就必须固定数据流或者数据包的输入字节的长度。图片的另一维等于独热向量的维度，因为字节数据为0-255，所以图片的另一个维度为256维，是确定的。

实验中使用的数据集主要包括两部分，因为HAST-IDS要基于原始的网络流数据，所以要使用包含原有流数据的数据集。因此使用了DARPA1998和ISCX2012两个数据集。其中DARPA1998和ISCX2012均用于HAST-I，而仅有ISCX2012应用于HAST-II。原因是因为DARPA1998数据集当中的流长度太短了，特别是如果