基于威胁情报和多分类器投票机制的恶意URL检测模型

发布时间：2021-07-23 02:03

　　随着互联网站点数量的飞速增加,访问Web页面的方式已经成为了民众获取信息的主要渠道,在此过程中也出现了大量的恶意URL,给正常信息维护与用户访问造成了严重的干扰,同时带来了巨大的损失。目前主流的黑名单防御机制滞后现象严重,防范效果较差,而机器学习技术虽然可极大地提高检测效率,但也存在特征单一、检测范围有限等问题。论文提出以威胁情报平台为基础,结合多分类器投票机制来提高检测准确度,设计并完善了相关的检测模型,同时实现了对威胁情报信息库的自动更新。 

【文章来源】：计算机与数字工程. 2020,48(08)

【文章页数】：6 页

【部分图文】：

图1分类器训练流程3.1三种分类器模型的构建

1，则表明检测结果出现偏差，则修正值DTj如式（23）所示：DTj=ìíβ(PE(xiCj)-Tj)?若PE(xiCj)>Tj0?否则（23）以上两式中的α和β分别为学习步长，且均为大于0的常数。为了保障检测机制的稳定性，可使α和β在每轮训练中单调减少，从而合理控制因调整阈值而带来的对检测结果的波动影响。3.3检测模型的设计以多分类器投票机制为核心，借助威胁情报平台提供的信息支持，本文设计的针对恶意URL的主动检测模型框架如图2所示。图2恶意URL检测模型该方案的具体执行流程主要包括以下几个步骤。Step1：首先从威胁情报平台中调取URL信息库，并将待测URL与该库中保存的信息进行比对，若存在该URL的信誉度，则可直接据此判定其是否指向存在恶意内容的页面，结束检测并输出判定结果，否则执行Step2；Step2：对待检测的URL提取结构特征，并根据表1比对其是否具有恶意URL常用的敏感词特征；Step3：通过威胁情报平台提供的大量信息训练决策树分类器、贝叶斯分类器和SVM分类器，并将取得的特征值组成特征向量，置于三种分类器中进行检测；Step4：通过威胁情报库中的大规模数据对投票机制进行训练，得出符合恶意URL检测需求的阈值，并分配各个分类器的权重，据此得出最终组合检测的表决结果；Step5：输出检测结果，同时将该结果传输至威胁情报平台，实现对URL信息库的扩充与更新。4结语本文围绕恶意URL的检测需求，对目前存在1973

【参考文献】：
期刊论文
[1]基于威胁情报平台的恶意URL检测研究[J]. 汪鑫,武杨,卢志刚.  计算机科学. 2018(03)
[2]基于DNS流量和威胁情报的APT检测[J]. 李骏韬,施勇,薛质.  信息安全与通信保密. 2016(07)
[3]基于单分类支持向量机和主动学习的网络异常检测研究[J]. 刘敬,谷利泽,钮心忻,杨义先.  通信学报. 2015(11)
[4]高效的基于段模式的恶意URL检测方法[J]. 林海伦,李焱,王伟平,岳银亮,林政.  通信学报. 2015(S1)
[5]面向攻击溯源的威胁情报共享利用研究[J]. 杨泽明,李强,刘俊荣,刘宝旭.  信息安全研究. 2015(01)
[6]基于粒子群算法的决策树SVM多分类方法研究[J]. 王道明,鲁昌华,蒋薇薇,肖明霞,李必然.  电子测量与仪器学报. 2015(04)
[7]深度动态防御应对APT攻击[J]. 郭瑞.  信息安全与技术. 2014(09)



本文编号：3298362