機器學習在網絡安全中的應用芻議

◆雷動

（成都信息工程大學 四川 610225）

計算機技術在現階段各領域發展進行了有效滲透，成為適用性廣泛、技術性較強、必要性突出的高新技術之一。但是實際上在許多領域的計算機技術開發程度較低，導致網絡安全保障工作中存在許多隱患，那么采取措施對網絡安全進行維護，保障網絡信息體系穩定性是目前十分急切的任務。機器學習在網絡安全保障任務開展中發揮了十分重要的推動作用，因此，網絡安全相關技術部門需要對機器學習以及網絡安全的技術內容進行深入探析并掌握，進而對機器學習的應用價值進行明確，進而針對性地展開應用，使網絡安全保障工作得到有效落實，推動國家網絡體系穩定發展。

1 機器學習概述

機器學習作為人工智能的核心體現，簡單來看即為一組可以通過經驗數據對系統本身性能進行一定程度優化的算法合集。機器學習的基本方式即指使計算機對人類行為進行模擬，并通過學習的方式，使計算機功能與知識體系更加人性化、智能化、豐富化發展。機器學習在實際研究中具有許多方向，在整體上來看，機器學習與推理過程具有十分緊密的聯系，所以在機器學習方式的分類上具有一定的共識。考慮到該學習的內容復雜性、范圍廣泛性、學科交叉性等特點，其包含了多樣技術與知識體系的融合滲透，比方說概率論、統計學、逼近學等等。進行具體分類主要有五種，一是從學習方式不同包括了實例學習、類比學習、傳授學習、機械學習、歸納學習等；二是由知識獲得表現的形式差異，包括決策樹、形式文法、邏輯表達式、圖和網絡、計算機程序、框架和模式以及其他的編程形式等；三是根據應用領域內容，包含自然語言、認知模擬、數據挖掘、故障診斷、專家系統等；四是從綜合分類角度，包括了類比算法、遺傳算法、連接學習、分析學習等；五即是學習形式分類，有監督與非監督之分。

2 主要的網絡安全研究

2.1 網絡安全概述

網絡安全的定義較廣，一般定義下其指的是網絡系統硬軟件以及內部數據信息得到具體的保障，不會在運轉過程中受到一些突發的、惡意的、頑固的因素影響，從而對網絡系統造成數據盜取、信號干擾以及體系破壞，保障網絡系統可以順利、安全運轉，提供更加優質的網絡服務。一般情況下，計算機可能出現的網絡威脅問題主要可分為主動攻擊與被動攻擊。前者是指在主動意識作用下，有具體意識、具體目標地對網絡報文進行盜用與修改，安裝惡意程序如計算機病毒、木馬、邏輯炸彈、流氓頑固軟件等等，阻礙正常程序的運轉，還有通過主動攻擊行為將大數量分組傳送到網絡運行服務器中，進而使其拒絕正常服務行為，更嚴重的話會出現程序癱瘓狀況。

2.2 網絡安全技術分析

（1）惡意軟件檢測技術：現階段，網絡安全問題統計數據顯示惡意軟件問題是其中占比最大的網絡威脅，其常在未經過用戶通過權限狀態下，在后臺進行系統安裝與自動運行，進而對系統秩序進行破壞、對系統存儲進行頑固占用，為某些不正當行為網絡提供便利。在惡意軟件發展前期，其具有病毒的一些特征，因此可通過病毒查殺軟件進行檢測與清理，但是伴隨技術發展，惡意軟件也得到了升級。針對該問題出現了特征碼技術、駐留式軟件技術、虛擬機技術等等，第一個技術是現階段持續使用的技術，其技術要點即對惡意軟件的特征值進行分析，基于該類特征值，對計算機中的軟件進行掃描檢測，根據特征值出現的情況進行惡意軟件查殺。此外，虛擬機技術也是現階段發展前景較好的技術之一，其主要是為惡意軟件模型提供一個虛擬運行環境，對其運行特征進行更加全面的把握，使檢測效果更加準確。

（2）入侵檢測技術：該部分檢測不僅需要對已經入侵的惡意行為進行檢測，還需要對具有入侵趨勢、正在進行入侵的惡意行為進行檢測。現階段存在的入侵檢測技術有特異檢測與異常檢測兩類。前者還被叫作誤用檢測，其是把可識別的入侵使用特定的方式進行表達，構成一個具有特征標記的網絡數據庫，接著對待測的輸入數據展開分析，與數據庫中的特征展開對比，若是具有一定符合度，則說明受到了入侵行為。而后者與之最大的區別就是無須構建一個異常數據庫，而是對以正常活動軌跡著手，排查出非正常的網絡行為。

3 機器學習在網絡安全中的應用價值

機器學習于網絡安全中具有十分突出的應用價值，其在面對具體任務、染指模型、理論研究等方面表現出積極意義，從機器學習的本質出發，也能夠發現其在網絡安全保障工作中的優勢。

3.1 面向具體任務

在該部分內容中，主要是針對具體任務的設計，對一些特定內容進行分析，以及需要對待執行的系統功能進行學習，對該部分系統展開探究與理解，令網絡安全保障任務更加具體化。

3.2 認知模型

認知模型相關的具體任務是需對人類學習行為的探究與掌握，進而根據該部分特征進行計算機模擬，構建認知模型，使網絡安全保障任務更加智能化。

3.3 理論研究

該部分內容大部分是關于在對網絡技術理論內容的學習與掌握，進而能夠在面對各種類型機器均具有一定的理論指導，進而可以在網絡秩序維護中具有充分的理論指導。

3.4 機器學習本質

機器學習在本質上來看，其是在一個大數據相對集中的條件下，對一些數學專業知識支持下的基數數據進行引用，進而使機器行為得到優化，成功建立機器模型。在這個機器模型上，再通過新數據的不斷導入，為其構建一個不斷更新的學習氛圍，進而使機器可以從各個方面對各個時段的數據進行分析，在一定運算法下對未知時間內狀況進行預測。機器學習應用于網絡安全所展現的學習能力是需要具有相對強的數據分析功能，在此前提下，網絡在運行過程中出現安全問題，用戶才能第一時間采取相對有效的控制措施，然后進行解決。機器學習與一些電子產品進行一定程度的配合，能夠有效的發現并解決惡意軟件、惡意入侵、垃圾郵件等惡劣程序，進而使網絡環境安全性、穩定性得到增強。

4 機器學習在網絡安全中的具體應用

機器學習應用于網絡安全中的基本流程有六步，第一步是對問題進行抽象性分析，第二步是對相關數據進行信息調取與收集，第三步是對得到的數據進行初步處理，并對數據中包含的安全性特征進行分析，第四步是基于數據分析結果進行模型構建，第五步是基于模型進行網絡安全問題模擬進而使模型得到驗證，最后一步即對作用效果進行有效評估。機器學習在網絡安全中的運用范圍廣泛，筆者對入侵檢測、惡意軟件檢測、垃圾郵件檢測、域名檢測等幾方面的具體應用展開論述。

4.1 入侵檢測中的應用

分類方法是機器學習的核心內容，基于此展開入侵檢測具有十分可觀的效果。在現階段機器學習在入侵檢測中的運用出現了許多技術類型如決策樹、最鄰近、支持向量機等，以決策樹為例，該檢測過程主要是訓練數據集、數據處理、采用算法進行數據學習、形成決策樹、構建分類模型。基于該模型進行入侵行為的檢測。

4.2 惡意軟件檢測中的應用

機器學習的多樣算法為惡意軟件的檢測提供了技術便利，在研究與測試中也得到了較好的作用效果，并出現了一些基本成熟的技術類型，例如分類技術與聚類技術等等。以分類技術為例，惡意軟件分類技術檢測流程主要分為兩大步，分別是對惡意軟件分類模型的訓練構建、以及未知文本樣品檢測。首先惡意軟件分類模型的構建是通過文本訓練樣本、提取樣本的文本可識別特征、基于樣本特征構建特征數據庫等步驟，最終成功完成惡意軟件的分類模型構建。接著是對未知文件樣本檢測，第一步是準備待檢測文件樣本，第二步對樣本的文件特征進行提取，第三步是對樣本文件的檢測數據進行收集，第四步是基于惡意檢測分類模型對樣本進行分類檢測，最終得到對惡意軟件的檢測結果。

4.3 垃圾郵件檢測中的應用

垃圾郵件的檢測具有一定的特殊性，其運行特征很明顯，處于便利，將其認定為分類型問題。舉例說明，把整個郵件定義于一個區間內，即｛-1，1｝，其中1 表示郵件屬于垃圾類型，與之相反的即是1代表正常類型郵件。在進行垃圾郵件檢測時，需要對文本消息進行向量數值表達，進而通過向量元素的集中表達，對文本類型進行定性。此外，因為垃圾郵件檢測過程具有在線要求，所以機器學習應用下的識別具有自動性，在數據分類作用下，可以在很大程度上優化垃圾郵件檢測工作效率，增加檢測的正確性、精準性。

4.3 域名檢測中的應用

域名系統是網絡總系統中十分重要的核心構成之一，因此常被作為系統弱點遭到惡意對象的攻擊，因此，其對于網絡安全的維護來說是十分突出的關鍵突破點。在之前對該部分進行檢測時常使用防火墻、黑名單攔截以及域名系統識別等方式。在機器學習支持下，出現了檢測新技術，即使用在線與離線結合的雙重模型，來進行檢測與防護的雙功能檢測體系構建。分開來看，離線模型的建立，第一步需要對惡意域名、合法域名進行辨別，收集對應的數據特征，從其中找到區域性特征、DNS 應答特征、域名信息特征等；第二步是通過建立相應的算法模型，如X-Means 聚類算法、決策樹等；第三步是根據網站給出的已經可識別的域名數據集對構建的模型進行驗證與完善；在這三步之后可對域名屬性進行判斷。而在線模型，相對于離線模型來說，其域名檢測過程更加自動化，是基于網絡系統對未知域名的自動查詢與分析，繼而能對未知域名特點進行更加全面的提取，對可識別部分的域名進行直接標記，未標記的即為未知域名，之后需要借助分類器，對未知域名進行進一步檢測，判斷其是否歸于惡意域名，最后進行解決。

5 結束語

綜上所述，機器學習在網絡安全保障中具有十分突出的應用價值，因此需要重視兩者的滲透應用。相關技術人員需要對機器學習與網絡安全的基本概念進行深入理解，進而將兩者的內部聯系進行精準把控，充分發揮機器學習的應用價值，將其有效落實到網絡安全保障的實際工作中去，進而充分完善我國網絡秩序，凈化網絡發展環境。