Genos：基于规则提取的通用网内无监督入侵检测

基于异常的网络入侵检测系统（A-NIDS）使用无监督模型来检测未预见的攻击。然而，现有的 A-NIDS 解决方案存在吞吐量低、缺乏可解释性以及维护成本高的问题。最近的网内智能（INI）利用可编程交换机提供 NIDS 的线速部署。尽管如此，当前的网内 NIDS 要么是特定于模型的，要么仅适用于监督模型。在本文中，我们提出了 Genos，一个通过规则提取实现无监督 A-NIDS 的通用网内框架，由模型编译器、模型解释器和模型调试器组成。具体而言，观察到良性数据是多模态的且通常位于特征空间的多个子空间中，我们利用分而治之的方法进行模型无关的规则提取。在模型编译器中，我们首先提出一种基于树的聚类算法将特征空间划分为子空间，然后设计一个决策边界估计机制来近似每个子空间中的源模型。模型解释器通过重要属性来解释预测，以帮助网络操作员理解预测。模型调试器进行增量更新，仅通过微调受影响子空间上的规则来纠正错误，从而降低维护成本。我们使用物理硬件实现了一个原型，实验表明其具有 100 Gbps 吞吐量的卓越性能、出色的可解释性以及微不足道的更新开销。