用于网络安全迁移学习的半监督对抗神经网络

在建立每个企业共享恶意行为信息的全球网络安全框架的道路上，一个重要问题出现了：若各网络的良性与恶意流量分布差异极大，表征某一网络上网络攻击的机器学习表示如何用于检测其他企业网络上的类似攻击？我们通过比较朴素跨网络域迁移模型、使用 CORrelation ALignment（CORAL）以及我们新颖的对抗 Siamese 神经网络的结果来解决此问题。我们提出的模型通过对抗方法学习对各个网络特性更具不变性的攻击表示。它使用简单的排序损失，将最恶劣恶意事件的正确标注置于平均准确率之上。这适用于驱动告警分诊工作流，其中分析人员仅有时问检查模型排名最高的前几个事件。在准确率方面，当在一个数据集上训练、在另一数据集上前 100 个事件上评估时，其他方法完全无法检测任何恶意事件。而本文提出的方法以对抗建模带来的某些训练不稳定性为代价，检索出相当比例的恶意事件。我们使用 2 个公开网络数据集评估这些方法，并建议了未来研究方向。