基于预训练GCN的流与拓扑特征深度融合僵尸网络检测
密码学与安全
2024-03-26 v4
摘要
如今，僵尸网络已成为网络安全的主要威胁之一。僵尸网络的特征主要体现在僵尸主机的网络行为及其相互通信关系上。现有的僵尸网络检测方法单独使用流特征或拓扑特征，忽略了另一类特征，这影响了模型性能。本文中，我们提出一种僵尸网络检测模型，首次使用图卷积网络（GCN）深度融合流特征与拓扑特征。我们从网络流量构建通信图，并用流特征表示节点。由于现有公开流量数据集的不平衡性，无法在这些数据集上训练GCN模型。因此，我们使用一个平衡的公开通信图数据集预训练GCN模型，从而保证其识别拓扑特征的能力。随后，我们将带有流特征的通信图输入预训练的GCN。最后隐藏层的输出被视为流与拓扑特征的融合。此外，通过调整GCN网络的层数，该模型可有效检测C2和P2P结构下的僵尸网络。在公开ISCX2014数据集上验证，我们的方法对C2僵尸网络取得了92.90%的召回率和92.76%的F1分数，对P2P僵尸网络取得了94.66%的召回率和92.35%的F1分数。这些结果不仅证明了我们方法的有效性，也优于当前领先的探测模型。
引用
@article{arxiv.2307.10583,
title = {Deep fused flow and topology features for botnet detection basing on pretrained GCN},
author = {Meng Xiaoyuan and Lang bo and Yanxi Liu and Yuhao Yan},
journal= {arXiv preprint arXiv:2307.10583},
year = {2024}
}