一种用于零日网络入侵检测的新型对比损失函数

机器学习在网络入侵检测中取得了最先进的结果；然而，当面对新的攻击类别——零日攻击时，其性能会显著下降。简而言之，经典的基于机器学习的方法擅长识别其先前训练过的攻击类别，但难以处理未包含在训练数据中的攻击类别。解决此缺点的一种方法是利用异常检测器，这些检测器专门在良性数据上进行训练，目标是泛化到所有攻击类别——包括已知的和零日的。然而，这以极高的误报率为代价。本工作提出了一种新型对比损失函数，它能够保持其他基于对比学习的方法的优点（对不平衡数据的鲁棒性），同时也能泛化到零日攻击。与异常检测器不同，该模型使用良性和已知恶意样本（即其他众所周知的攻击类别，不包括零日类别）来学习良性流量的分布，从而实现了显著的性能提升。所提出的方法在Lycos2017数据集上进行了实验验证，在已知和零日攻击检测中，其AUROC分别比先前模型提高了0.000065和0.060883。最后，该方法被扩展到开放集识别，其OpenAUC比现有方法提高了0.170883。