面向網(wǎng)絡(luò)流量入侵檢測系統(tǒng)的黑盒攻擊

付 森 何珍祥

（甘肅政法大學(xué)網(wǎng)絡(luò)空間安全學(xué)院，甘肅 蘭州 730070）

1 引言

隨著人工智能的興起與發(fā)展，機(jī)器學(xué)習(xí)算法在許多方面都有被應(yīng)用，在網(wǎng)絡(luò)安全領(lǐng)域貝葉斯算法被用于過濾垃圾郵件、隨機(jī)森林被用于惡意域名檢測、聚類以及深度神經(jīng)網(wǎng)絡(luò)等算法被用于網(wǎng)絡(luò)入侵檢測等，機(jī)器學(xué)習(xí)算法在推動人工智能發(fā)展的同時，它的自身也會有安全問題存在，很多研究人員只關(guān)心怎么提高模型的性能，但是經(jīng)常會將模型的脆弱性和魯棒性給忽略掉。通常情況下，攻擊者可以利用惡意網(wǎng)絡(luò)流量發(fā)動有效攻擊并獲取利益，他們通過深入研究這些網(wǎng)絡(luò)流量檢測算法，發(fā)現(xiàn)漏洞并加以利用。本文的研究內(nèi)容是從攻擊角度出發(fā)，旨在提出一種更強(qiáng)的攻擊算法以促進(jìn)防御方法的提升。

現(xiàn)有研究發(fā)現(xiàn)，機(jī)器學(xué)習(xí)在受到輕微輸入擾動時很容易被干擾，這些干擾雖然無法被發(fā)現(xiàn)但是會輕易造成檢測器識別準(zhǔn)確率降低。Segedy[7]等人首次發(fā)現(xiàn)在圖像上添加了不易察覺的擾動，并且將訓(xùn)練后的神經(jīng)網(wǎng)絡(luò)分類誤差最大化后，神經(jīng)網(wǎng)絡(luò)無法將圖像進(jìn)行正確分類。添加輕微擾動后的樣本稱為對抗樣本。截至目前，對抗樣本的生成方法主要分為兩種：一種是基于梯度算法生成對抗樣本。Xiao[8]等人引入一種基于自適應(yīng)梯度的對抗攻擊方法，該方法依據(jù)輸入的先驗梯度，并自適應(yīng)地調(diào)整擾動的累積量，從而執(zhí)行高級別的對抗攻擊；張文翔[14]等人提出了基于批量梯度的快速梯度符號法（Mb-MI-FGSM），該方法使用了神經(jīng)網(wǎng)絡(luò)損失函數(shù)對批量輸入中的每一個樣本的偏導(dǎo)數(shù)的均值來指導(dǎo)對抗樣本的生成。這類梯度算法的對抗樣本生成方法只有在攻擊者提前已知檢測模型的結(jié)構(gòu)和參數(shù)，即白盒攻擊時才能獲得較好的攻擊性能，在黑盒攻擊方面性能表現(xiàn)很差，然而在現(xiàn)實場景的應(yīng)用中，黑盒攻擊的現(xiàn)實意義遠(yuǎn)大于白盒攻擊，因為攻擊者大部分情況下無法明確知道各類異常檢測器其具體的學(xué)習(xí)模型。另一種是利用生成對抗網(wǎng)絡(luò)（GAN）來生成對抗樣本，例如，郭清揚(yáng)[10]等人提出訓(xùn)練一個產(chǎn)生擾動的深度卷積網(wǎng)絡(luò)作為生成模型來生成不同的對抗樣本，一個殘差網(wǎng)絡(luò)作為判別模型來確保生成的樣本看起來是真實的，主要用于在黑盒攻擊中生成對抗樣本；孫曦音[11]等人利用類別概率向量重排序函數(shù)和生成對抗網(wǎng)絡(luò)，在待攻擊的神經(jīng)網(wǎng)絡(luò)內(nèi)部結(jié)構(gòu)未知的情況下生成對抗樣本；潘一鳴[17]等人利用GAN生成惡意網(wǎng)絡(luò)流，但是其僅僅適用于緩沖區(qū)溢出漏洞攻擊網(wǎng)絡(luò)流的生成問題，方法擴(kuò)展性不足。由此可知，利用生成對抗網(wǎng)絡(luò)可以在未知檢測模型知識（即黑盒攻擊）的背景下生成足以欺騙學(xué)習(xí)模型的高質(zhì)量的對抗攻擊樣本。

因此，本文基于生成對抗網(wǎng)絡(luò)提出了一種新的用于黑盒攻擊的對抗樣本生成方法，該對抗樣本生成方法在只知道檢測器算法所使用的流量特征，而對其學(xué)習(xí)模型的結(jié)構(gòu)和參數(shù)未知的前提條件下，通過訓(xùn)練一個判別器來擬合網(wǎng)絡(luò)流量檢測算法，并用原始流量的樣本和隨機(jī)噪聲的疊加作為生成器的輸入，利用GAN 中多層神經(jīng)網(wǎng)絡(luò)的非線性結(jié)構(gòu)使其能夠生成更復(fù)雜、更靈活的對抗樣本來欺騙檢測模型，生成的對抗樣本沒有改變惡意網(wǎng)絡(luò)流量樣本本身的攻擊性能，該方法的最終目的是進(jìn)一步大幅度降低利用GAN生成黑盒攻擊的對抗樣本在欺騙網(wǎng)絡(luò)流量的檢測時的被檢測率，實驗結(jié)果表明，通過本文方法可以在保證惡意流量攻擊特性的條件下生成對抗樣本，用于攻擊流量檢測模型，使其在對惡意流量的被檢測率降低了83.4%。

2 網(wǎng)絡(luò)入侵檢測

在20世紀(jì)80年代，開始了網(wǎng)絡(luò)入侵檢測的研究，即根據(jù)網(wǎng)絡(luò)流量數(shù)據(jù)或主機(jī)數(shù)據(jù)來判斷系統(tǒng)行為的正?；虍惓＃梢猿橄鬄榉诸悊栴}。

根據(jù)檢測方式的不同，網(wǎng)絡(luò)入侵檢測可分為誤用檢測、異常檢測及混合檢測。誤用檢測是根據(jù)已知的攻擊樣本進(jìn)行分類，神經(jīng)網(wǎng)絡(luò)通過學(xué)習(xí)訓(xùn)練已有樣本的攻擊特性將攻擊樣本進(jìn)行區(qū)分，由于檢測的攻擊類型都是已知的，所以該模型檢測效率高，誤報率低。異常檢測是將惡意網(wǎng)絡(luò)流量樣本的連接特征與已知正常連接特征進(jìn)行對比，將正常連接與攻擊連接區(qū)分開來，它的學(xué)習(xí)模型比誤用檢測的更加復(fù)雜，而且它的效率低，誤報率高。為了提高對未知攻擊的敏感性，提高效率和降低誤報率，混合檢測將二者結(jié)合起來，在實際應(yīng)用中更為廣泛。

如圖1所示描述的為網(wǎng)絡(luò)入侵檢測的主要步驟，首先通過網(wǎng)絡(luò)流量采集工具采集數(shù)據(jù)或者使用公開的網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)集，然后進(jìn)行預(yù)處理提取數(shù)據(jù)特征，最后選擇適當(dāng)?shù)哪Ｐ陀?xùn)練識別。

圖1 基于機(jī)器學(xué)習(xí)的網(wǎng)絡(luò)入侵檢測流程圖

3 生成對抗網(wǎng)絡(luò)

生成對抗網(wǎng)絡(luò)（Generative Adversarial Network,GAN）是由Goodfellow 等人在2014 年提出的，這種網(wǎng)絡(luò)模型通過兩個神經(jīng)網(wǎng)絡(luò)組成，一個是生成器，另一個是判別器。整個網(wǎng)絡(luò)模型如圖2所示。

圖2 生成對抗網(wǎng)絡(luò)模型

生成對抗網(wǎng)絡(luò)(GAN)的目的是訓(xùn)練一個樣本生成系統(tǒng)，使其能夠生成與目標(biāo)樣本集分布類似的新樣本。GAN的核心思想是博弈論中的納什平衡，生成器學(xué)習(xí)原始惡意網(wǎng)絡(luò)流量樣本數(shù)據(jù)的分布，讓它生成欺騙判別器的虛假樣本，而判別器則盡可能判別樣本是來自生成器還是訓(xùn)練集，兩者在對抗訓(xùn)練下不斷優(yōu)化，最終達(dá)到納什平衡。該網(wǎng)絡(luò)的目標(biāo)函數(shù)如下所示：

式中，G代表生成器，D代表判別器；z是服從高斯分布的隨機(jī)噪聲；pdata(x)代表真實數(shù)據(jù)的概率分布；pz(z)代表隨機(jī)噪聲的概率分布；x～pdata(x) 表示從真實數(shù)據(jù)的分布中隨機(jī)抽取x；z～pz(z) 表示從高斯分布的隨機(jī)噪聲中抽取噪聲z;D(x)和G(z)均表示判別器和生成器在接收括號內(nèi)輸入后所輸出的向量。對于生成器G來說，通過隨機(jī)噪聲z作為輸入，生成器G 期望自己生成的樣本盡可能地欺騙判別器D，所以需要最大化判別概率D(G(z))，于是對于生成器G，它的目標(biāo)函數(shù)是最小化ln(1-D(G(z)))。對于判別器D，為了盡可能地區(qū)分真樣本和虛假的生成樣本，它希望最小化判別概率D(G(z))的同時，最大化判別概率D(X)，其中X是真實樣本。于是判別器的目標(biāo)函數(shù)是最大化lnD(X)+ln(1-D(G(Z)))。

在訓(xùn)練GAN 的過程中，一般情況下訓(xùn)練多次判別器D之后，才對會對生成器G 訓(xùn)練一次，這是因為需要訓(xùn)練成熟的判別器，使其能夠較好的區(qū)分真實樣本和生成樣本之后，更加準(zhǔn)確地對生成器的參數(shù)進(jìn)行更新。可以證明，當(dāng)訓(xùn)練樣本足夠多時，模型會收斂，PG(X)≈Pdata(x)二者達(dá)到納什均衡。此時判別器D 對真實樣本和虛假樣本的判別概率均為1/2，樣本達(dá)到難以區(qū)分的程度。

4 KDD Cup99數(shù)據(jù)集

KDD Cup99 數(shù)據(jù)集中每個連接由41 個特征描述，其中以數(shù)值形式表示的有34個（連續(xù)持續(xù)時間、與當(dāng)前連接具有相同的目標(biāo)主機(jī)的連接數(shù)等），其余7個特征為文本類型（協(xié)議類型、目標(biāo)主機(jī)的網(wǎng)絡(luò)服務(wù)類型等）。

與圖像數(shù)據(jù)不同，網(wǎng)絡(luò)入侵的樣本特征存在大量的離散文本量，通過one-hot 編碼方式處理后仍存在大量0-1 離散值，此類數(shù)據(jù)很難通過梯度尋找對抗樣本，而現(xiàn)有的白盒對抗算法大多是以計算梯度作為基礎(chǔ)。特征向量中離散的文本特征大多是表示訪問的方式、連接的狀態(tài)等屬性，在訪問主機(jī)時，這些特征不易改變，所以本文在尋找對抗樣本時，保持這些離散文本特征不變，僅通過在連續(xù)數(shù)據(jù)上添加擾動生成對抗樣本。

5 對抗樣本生成方法

5.1 概述

本文提出的基于生成對抗網(wǎng)絡(luò)的用于黑盒攻擊網(wǎng)絡(luò)流量檢測器的對抗樣本生成方法的整體網(wǎng)絡(luò)模型框架如圖3所示，整個主要包括判別器和對抗攻擊樣本生成器。

圖3 基于黑盒攻擊的對抗樣本生成方法流程

網(wǎng)絡(luò)流量檢測器是一個期望欺騙的網(wǎng)絡(luò)流量檢測算法。本文假設(shè)攻擊者只了解檢測器采用的網(wǎng)絡(luò)流量特征是哪些，而對其內(nèi)部使用的網(wǎng)絡(luò)結(jié)構(gòu)和參數(shù)一概不知，但攻擊者能夠從檢測器中獲得對網(wǎng)絡(luò)流量的檢測結(jié)果（屬于哪一類攻擊流量）。

該方法與現(xiàn)有算法的主要區(qū)別在于，對抗樣本是根據(jù)檢測器的反饋動態(tài)生成的，而現(xiàn)有的算法大多數(shù)是在已知檢測模型的結(jié)構(gòu)和參數(shù)的情況下，采用基于靜態(tài)梯度的方法來生成對抗樣本。

通過該模型生成的對抗樣本的概率分布由生成器決定。生成器通過改變攻擊樣本的概率分布，使其遠(yuǎn)離檢測器訓(xùn)練集的概率分布。在這種情況下，生成器有足夠的機(jī)會引導(dǎo)檢測器將惡意網(wǎng)絡(luò)流量錯誤分類為良性流量。

5.2 判別器

由于攻擊者對檢測器的結(jié)構(gòu)和參數(shù)未知，因此本文使用判別器來擬合檢測器，從而提供梯度信息來對生成器的網(wǎng)絡(luò)參數(shù)進(jìn)行更新。

判別器是一個權(quán)重為θd的，具有4個隱藏層深度卷積神經(jīng)網(wǎng)絡(luò)依次具有1024,256,5個神經(jīng)元，選擇ReLU作為激活函數(shù)，以確保模型的非線性。將學(xué)習(xí)率設(shè)置為0.0002，epoch設(shè)置為10（迭代次數(shù)的設(shè)置如本文實驗部分的圖5 所示）采用Adam 優(yōu)化器促進(jìn)模型收斂，以特征向量X 作為輸入（512個作為輸入節(jié)點(diǎn)），輸出層將輸入流量特征分為五種類別（分別為正常、DOS 攻擊、R2U、U2R、探針攻擊），最后將由判別器產(chǎn)生的新標(biāo)簽添加到樣本集中。判別器損失函數(shù)如下所示：

圖5 判別器擬合目標(biāo)檢測器的收斂曲線

判別器的訓(xùn)練集由攻擊者收集的良性流量樣本和網(wǎng)絡(luò)攻擊流量樣本共同組成。需要注意的是，訓(xùn)練集中數(shù)據(jù)樣本的真實標(biāo)簽不用于訓(xùn)練判別器，判別器的最終目標(biāo)是匹配檢測器。因此檢測器將首先檢測訓(xùn)練集中的流量樣本是屬于哪一類，之后判別器將使用由檢測器得出的預(yù)測標(biāo)簽作為真實標(biāo)簽進(jìn)行訓(xùn)練。本文通過這種方式來充分?jǐn)M合檢測器，另一個方面，由此訓(xùn)練得到的替代判別器可以作為生成對抗網(wǎng)絡(luò)的最優(yōu)判別器，從而以此為基礎(chǔ)，不斷地優(yōu)化生成器，使其生成最優(yōu)的對抗樣本。

5.3 生成器

生成器用于將惡意攻擊網(wǎng)絡(luò)流量樣本轉(zhuǎn)換為可攻擊檢測器的對抗樣本。它以原始流量的特征向量F 歸一化之后的向量X 和噪聲向量Z 的和為輸入，X 和Z 都是具有512 個元素的二維向量，特別地，Z中的每個元素都為[0,1]區(qū)間內(nèi)且滿足高斯分布的隨機(jī)數(shù)，將Z中每個元素的值對應(yīng)添加到網(wǎng)絡(luò)流量特征向量X 上，得到生成器的輸入向量X'={x1+z1,..,xn+zn}。這樣做的目的是為了使生成器可以從單個惡意網(wǎng)絡(luò)流量特征向量上生成不同的對抗樣本。

向量X'被輸入到一個權(quán)重為θg的多層深度神經(jīng)網(wǎng)絡(luò)（生成器）中，該深度神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)結(jié)構(gòu)除輸出層外，其他層的結(jié)構(gòu)與替代判別器的網(wǎng)絡(luò)結(jié)構(gòu)一致。超參數(shù)設(shè)置方面，將學(xué)習(xí)率設(shè)置為0.0002，同樣采用Adam 優(yōu)化器，epoch 設(shè)置為5，（由實驗部分的圖可知，當(dāng)?shù)螖?shù)達(dá)到5次時，模型收斂）。該網(wǎng)絡(luò)的輸出層有512 個神經(jīng)元，它將輸出限制在（0,1）范圍內(nèi)，輸出為G(X')為了使生成的對抗樣本仍然保持可攻擊性（增加的擾動足夠?。?，本文利用判別器的輸出作為對抗樣本與原始真實樣本數(shù)據(jù)分布差異的測度，并以此建立約束保證生成器生成的對抗樣本與原始真實樣本的分布一致性，約束的具體公式如下：

式中，θg表示生成器G的網(wǎng)絡(luò)參數(shù)，px和pz分別表示原始流量X 和隨機(jī)噪聲Z 的分布，表示以原始流量X為條件，生成器通過隨噪聲Z生成的對抗樣本。

生成的對抗樣本為攻擊者進(jìn)一步欺騙檢測器提供了參考依據(jù)，攻擊者可以根據(jù)生成的對抗樣本修改相應(yīng)的攻擊程序，如修改數(shù)據(jù)包大小，修改數(shù)據(jù)包發(fā)送間隔時間等。在這里，可以通過最大-最小標(biāo)準(zhǔn)化的反向運(yùn)算來得到具體對抗樣本的特征向量Y。

如式所示，在實際的反向運(yùn)算中，本文忽略了對抗樣本中對于第i個特征值的最小、最大值的變化，因為這對具體的對抗樣本特征向量的生成影響很小。

特別地，在本文提出的對抗樣本生成模型中，可以發(fā)現(xiàn)生成器和判別器不是同時被訓(xùn)練，這是因為模型中判別器作用是擬合檢測器，需要配合檢測器進(jìn)行單獨(dú)訓(xùn)練，因而在生成器訓(xùn)練的過程中，判別器是固定的，它的作用只是將得到梯度信息反饋到生成器中，從而不斷地優(yōu)化生成器。

6 實驗與分析

6.1 數(shù)據(jù)獲取與預(yù)處理

將KDD Cup99 的數(shù)據(jù)下載并保存，從文件中提取數(shù)據(jù)得到一個原始特征數(shù)據(jù)，通過特征提取函數(shù)將原始特征數(shù)據(jù)生成One-hot編碼的特征數(shù)組和標(biāo)簽數(shù)組，One-hot編碼有助于多層神經(jīng)網(wǎng)絡(luò)更好地學(xué)習(xí)離散的文本特征。將特征數(shù)組及標(biāo)簽數(shù)組以9:1 的比例隨機(jī)生成測試集和訓(xùn)練集，然后將訓(xùn)練集與測試集進(jìn)行標(biāo)準(zhǔn)化處理以方便多層神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)。

6.2 實驗步驟

將處理好的KDD Cup99 數(shù)據(jù)集的10%的訓(xùn)練集，用于訓(xùn)練網(wǎng)絡(luò)流量檢測器，然后使其達(dá)到收斂狀態(tài)，如圖4所示，當(dāng)訓(xùn)練輪數(shù)為10時，我們用90%的測試數(shù)據(jù)集測試該網(wǎng)絡(luò)流量檢測器，然后用標(biāo)簽進(jìn)行對比，準(zhǔn)確率達(dá)到92%，并且網(wǎng)絡(luò)流量檢測器達(dá)到收斂狀態(tài)。

圖4 訓(xùn)練網(wǎng)絡(luò)流量檢測器收斂曲線

實驗首先進(jìn)行的是判定器擬合網(wǎng)絡(luò)流量檢測器的部分，該部分先將KDD Cup99 數(shù)據(jù)集網(wǎng)絡(luò)流量樣本經(jīng)過數(shù)據(jù)處理后輸入檢測器中，輸出并記錄檢測器對每個流量樣本的新標(biāo)簽，之后將帶有新標(biāo)簽的同種流量樣本作為判定器的訓(xùn)練集。其次是對生成器的訓(xùn)練部分，該部分是將KDD Cup99數(shù)據(jù)集的10%用作生成器的訓(xùn)練集，剩下的90%作為測試集，來測試生成的對抗樣本的有效性。

6.3 實驗結(jié)果及分析

在對網(wǎng)絡(luò)流量的檢測中，計算判別器和檢測器對相同惡意流量數(shù)據(jù)集的識別準(zhǔn)確率。當(dāng)判別器的識別率與目標(biāo)檢測器一致時，便可以充分地證明替代判別器可以很好地擬合該檢測器，進(jìn)而可以利用該替代判別器來訓(xùn)練生成器。但是我們假設(shè)是在不知道檢測器的內(nèi)部構(gòu)造及參數(shù)的情況下，用惡意流量檢測器對原始流量分類后產(chǎn)生新的標(biāo)簽，來擬合判別器，所以我們最終擬合的判別器與惡意網(wǎng)絡(luò)流量檢測器還是有差距。

判別器在擬合惡意網(wǎng)絡(luò)流量檢測器時的收斂曲線如圖5所示，Y軸表示的是替代判別器和目標(biāo)檢測器在對惡意攻擊流量的識別檢測率TPR，X軸表示訓(xùn)練迭代的次數(shù)。紅線代表判別器隨訓(xùn)練次數(shù)的增加對惡意流量的識別檢測率，由圖可知當(dāng)替代判別器訓(xùn)練到10次左右時，達(dá)到收斂狀態(tài)，檢測器與判別器的識別率相差20%，在本文中針對惡意網(wǎng)絡(luò)流量檢測器的擬合曲線達(dá)到了最佳效果。

如圖6 所示，Y 軸表示的是生成器生成的樣本和原始樣本在對惡意流量檢測器進(jìn)行攻擊后，檢測器對它們的識別率TPR，X軸表示的生成器和惡意流量檢測器的訓(xùn)練迭代次數(shù)，紅線代表生成器隨著訓(xùn)練迭代次數(shù)的增加對原始惡意流量進(jìn)行擾動后，生成的對抗樣本在目標(biāo)檢測器的識別率，綠色虛線代表了惡意流量檢測器隨著訓(xùn)練次數(shù)的增加對原始惡意流量檢測的識別率。由圖可知運(yùn)用惡意網(wǎng)絡(luò)流量檢測器檢測原始惡意網(wǎng)絡(luò)流量可達(dá)到92%的平均檢出率，當(dāng)生成器訓(xùn)練到第6輪時，對原始流量增加的干擾已經(jīng)不穩(wěn)定了，所以對生成的對抗樣本的在生成器訓(xùn)練迭代5次的時候平均檢出率只有8.6%，兩者相差83.4%達(dá)到了最佳效果?？梢?，通過本文提出的流量對抗樣本生成方法生成的對抗樣本可以有效欺騙網(wǎng)絡(luò)流量檢測器，有助于惡意網(wǎng)絡(luò)流量樣本規(guī)避相關(guān)流量檢測器的檢測。

圖6 目標(biāo)檢測器對對抗樣本的識別曲線

綜上所述，可知使用本文提出的方法生成的基于惡意流量的對抗樣本在欺騙檢測器方面具有很好的性能，很有擴(kuò)展性。

7 結(jié)論及未來工作

本文針對未知網(wǎng)絡(luò)流量檢測器結(jié)構(gòu)和參數(shù)的前提條件下，基于生成對抗網(wǎng)絡(luò)提出了一種新的用于黑盒攻擊的對抗樣本生成方法。該方法通過構(gòu)建替代判別器來擬合網(wǎng)絡(luò)流量檢測器，從而利用生成對抗網(wǎng)絡(luò)向原始惡意流量樣本添加不改變其攻擊特性的微小擾動，試圖欺騙流量檢測器的檢測。實驗結(jié)果表明，在KDD Cup99數(shù)據(jù)集下，該方法生成的對抗樣本可以大幅度降低基于深度卷積學(xué)習(xí)算法的流量檢測器對惡意流量的檢出率。

由此可見，基于深度學(xué)習(xí)的網(wǎng)絡(luò)流量檢測器在面對這種對抗樣本時缺乏防御能力，很容易被攻擊者利用。因此，在未來工作中還需要探究對抗防御，研究出更好的防御手段或者模型，以幫助深度神經(jīng)網(wǎng)絡(luò)抵抗對抗樣本的攻擊。