网络流量异常检测综述

摘　要

随着网络攻击的复杂化、自动化、智能化水平的不断提高，网络中不断涌现出新的攻击类型，这些未曾见过的新攻击给基于特征码的网络攻击检测和响应带来了极大挑战。网络流量异常检测通过对网络流量进行分析，可以检测出与正常流量明显不同的流量，因其不依赖于静态特征码，被看作检测未知新攻击的有效手段。研究人员针对异常网络流量的检测提出了许多方案，包括基于统计学习法、基于无监督机器学习的方案、基于监督机器学习的方案，从流量特点、特征工程到检测模型，再到应用场景对这些方案进行了系统性综述。

内容目录：

1　网络流量数据采集

1.1　连接的基本特征

1.2　连接的内容特征

1.3　流量统计特征

1.4　原始负载

2　检测模型

2.1　统计模型

2.1.1　简单统计模型

2.1.2　基于协方差矩阵的模型

2.1.3　基于隐马尔可夫的模型

2.2　监督分类模型

2.3　无监督模型

2.3.1　基于聚类算法的模型

2.3.2　基于孤立森林的模型

2.3.3　基于自编码器的模型

2.3.4　基于 LSTM 的模型

3　未来研究方向及挑战

4　结　语

网络技术的快速发展及所带来的巨大便利，使得其在日常的生产、生活中得到了广泛应用。但随之而来的是大量针对网络上的主机和网络基础设施的攻击行为。据 Check Point Software 公司在 2021 年发布的安全报告 显示，全球针对企业的网络攻击增加了 29%，其中，美国企业平均每周遭受 443 次攻击，亚太地区平均每周遭受 1 338 次攻击。在这些频繁的攻击中，许多采用的是新型