面向网络入侵检测的主动学习

网络运营者通常知晓其防御的常见攻击向量。对大多数网络而言，绝大多数流量是合法的。然而，恶意行为者持续设计并尝试新攻击向量，因其低流量而绕过检测且未被察觉。发现此类活动的一种策略是寻找异常行为。调查异常行为需耗费大量时间与资源。为训练监督模型收集大量标注样本既极其昂贵，又因新攻击出现而易于过时。纯无监督方法最为理想；然而研究表明，即便极少标注样本也能显著提升异常检测质量。一种在最小化所需标注数同时最大化检测质量的方法值得期待。此情境下的假阳性导致资源浪费或合法流量被阻，假阴性则意味着攻击未被检测。我们提出一种通用主动学习框架，并对不同学习器与采样策略的选择进行实验。