Web应用中的异常HTTP流量与后门检测

发布时间：2021-02-19 17:16

　　Web服务由于其高度可用性和便利性,已经成为越来越多信息服务的主要提供方式。Web应用规模的快速增长带来便利的同时,数据和用户信息也成为不法分子获利的目标。如何做好安全防护,保障网络和系统的运行稳定,成为服务提供者和安全公司必须解决的问题。入侵检测技术在服务运行过程中通过主动的旁路分析实现对网络攻击行为的实时检测,成为当前Web应用的主要防护手段之一。广泛使用的误用检测技术在当前大规模数据环境下已经无法满足性能需求,并且随着攻击手段的日益丰富,规则的维护难度急剧增大。应用机器学习算法进行异常检测具有识别未知攻击的优势,逐渐成为很多安全解决方案的一部分。本文的研究内容从Web应用中的异常HTTP请求流量检测和Webshell样本识别两个问题展开,具体工作如下:1.由于白名单的存在和规则库不完整,现有的规则过滤只能得到标签准确的异常训练数据,本文采用PU学习方法检测异常HTTP请求。针对高带宽网络环境下流量数据包采集的性能瓶颈,设计应用DPDK的旁路数据采集模块,实现零拷贝数据抓包。在数据包捕获的性能测试中,10G带宽环境下DPDK可以捕获全量数据包。异常检测通过集成算法Bagging优化... 

【文章来源】：中国科学技术大学安徽省 211工程院校 985工程院校

【文章页数】：72 页

【学位级别】：硕士

【部分图文】：

图２．１不同方式ＸＳＳ攻击获取用户Ｃｏｏｋｉｅ过程??表２．１?ＸＳＳ攻击恶意关键字??恶

??１．两阶段策略??第一种两阶段策略（ｔｗｏ－ｓｔａｇｅ?ｓｔｒａｔｅｇｙ）如图２．２所示，是在问题解决的第一??阶段从无标记样本集１７中提取出可靠的负类样本ｉＷ（Ｒｄｉａｂｌｅ?Ｎｅｇａｔｉｖｅｓ），并划??分出剩余样本集Ｑ，这一阶段解决了无标记样本的标签问题，第二阶段以上划分??的数据集中训练监督或半监督算法模型实现分类。??正类样本?负类样本??第一阶段?：Ｑ?第二阶段??騎——＾??ｕ?１１?＼?Ｍ?ｙ??議?广基于Ｐ、ＲＮ和Ｑ??＞?１１１?＾?，Ｔ？ＸＴ?训练得到最终??Ｑ＝Ｕ＿ＲＮ?分类器??－１?ｒｎ??ｐ?ｐ?仅基于Ｐ、ＲＮ训??练得到分类器??＼??图２．２?ＰＵ学习两阶段策略??１３??

池化函数用附近输出的统计量替换某个位置的输出，降低数据的维度，逐步缩??小表示空间的大小，降低网络的参数和计算量，也可以控制过拟合。非线性单元??ＲｅＬＵ输出为／⑵＝ｍａｘ（０，ｘ），其目的是在我们的ＣｏｎｖＮｅｔ中引入非线性。??２．４．２循环神经网络??循环神经网络ＲＮＮ是用于处理序列预测问题重要模型，其背后的想法是利??用顺序信息，是将前一步的输出作为当前步骤的输入的一部分进行计算的神经??网络模型。在传统的神经网络中，所有输入和输出彼此独立，但是在预测下一个??状态的情况时，就必须根据之前的状态进行预测，＿网络中的记忆单元可以??记住到目前为止已经计算内容的所有信息，使得可以准确地预测接下来的内容。??６?〇．－ｉ?°，＋；??Ａ?４?｜?Ａ??ｖ?Ｖ?Ｖ?Ｖ??ｔ?＾?个?ｖｖ?ｔ?＾?个?ｖｖ，??ｕ?ｕ?ｕ?ｕ??


本文编号：3041434