基于状态频率的异常检测

许多研究都在探讨使用状态机检测 NetFlow 中的异常的有效性。这些方法通常从无标签数据中学习模型，并基于其发生概率或如何适合模型来对任意轨迹计算异常分数。然而，这些方法不会基于测试时看到的轨迹动态调整其分数。这会导致一个问题：当对手生成看似常见的轨迹进行攻击时，模型会因分配低异常分数而错过检测。我们提出了 SEQUENT，这是一种新的无监督方法，利用状态机的状态访问频率来动态调整异常检测的得分。SEQUENT 随后使用这些得分来生成异常的根本原因。这允许对警报进行分组并简化异常分析。我们在三个公开可用的 NetFlow 数据集上评估了 SEQUENT 检测网络异常的有效性，并将其性能与各种现有无监督异常检测方法进行了比较。我们的评估显示，使用状态机的状态访问频率来检测网络异常具有良好的效果。