搜索

[13070] 2018-08-16_基于机器学习的WebShell检测方法与实现（上）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-08-16_基于机器学习的WebShell检测方法与实现（上） 基 于 机 器 学 习 的 W e b S h e l l 检 测 方 法 与 实 现 （ 上 ） 网 藤 风 险 感 知   F r e e B u f   2 0 1 8 - 0 8 - 1 6 一 、 概 述 一 、 概 述 W e b s h e l l 是 攻 击 者 使 用 的 恶 意 脚 本 ， 其 目 的 是 升 级 和 维 护 对 已 经 受 到 攻 击 的 W E B 应 用 程 序 的 持 久 访 问 。 W e b s h e l l 本 身 不 能 攻 击 或 利 用 远 程 漏 洞 ， 因 此 它 始 终 是 攻 击 的 第 二 步 。 攻 击 者 可 以 利 用 常 见 的 漏 洞 ， 如 S Q L 注 入 、 远 程 文 件 包 含 ( R F I ) 、 F T P ， 甚 至 使 用 跨 站 点 脚 本 ( X S S ) 作 为 攻 击 的 一 部 分 ， 以 上 传 恶 意 脚 本 。 通 用 功 能 包 括 但 不 限 于 s h e l l 命 令 执 行 、 代 码 执 行 、 数 据 库 枚 举 和 文 件 管 理 。 为 什 么 使 用 为 什 么 使 用 w e b s h e l l   ? 1 . 持 续 的 远 程 访 问 持 续 的 远 程 访 问 W e b s h e l l 通 常 包 含 一 个 后 门 ， 允 许 攻 击 者 远 程 访 问 ， 并 能 在 任 何 时 候 控 制 服 务 器 。 这 样 攻 击 者 省 去 了 每 次 访 问 攻 击 服 务 器 需 要 利 用 漏 洞 的 时 间 。 攻 击 者 也 可 能 选 择 自 己 修 复 漏 洞 ， 以 确 保 没 有 其 他 人 会 利 用 该 漏 洞 。 这 样 ， 攻 击 者 可 以 保 持 低 调 ， 避 免 与 管 理 员 进 行 任 何 交 互 。 值 得 一 提 的 是 ， 一 些 流 行 的 W e b s h e l l 使 用 密 码 验 证 和 其 他 技 术 来 确 保 只 有 上 传 W e b s h e l l 的 攻 击 者 才 能 访 问 它 。 这 些 技 术 包 括 将 脚 本 锁 定 到 特 定 的 自 定 义 H T T P 头 、 特 定 的 c o o k i e 值 、 特 定 的 I P 地 址 或 这 些 技 术 的 组 合 。 2 . 特 权 升 级 特 权 升 级 除 非 服 务 器 配 置 错 误 ， 否 则 w e b s h e l l 将 在 w e b 服 务 器 的 用 户 权 限 下 运 行 ， 该 用 户 权 限 有 限 的 。 通 过 使 用 w e b s h e l l ， 攻 击 者 可 以 尝 试 通 过 利 用 系 统 上 的 本 地 漏 洞 来 执 行 权 限 升 级 攻 击 ， 以 假 定 根 权 限 ， 在 L i n u x 和 其 他 基 于 U n i x 的 操 作 系 统 中 ， 根 权 限 是 “ 超 级 用 户 ” 。 通 过 访 问 根 帐 户 ， 攻 击 者 基 本 上 可 以 在 系 统 上 做 任 何 事 情 ， 包 括 安 装 软 件 、 更 改 权 限 、 添 加 和 删 除 用 户 、 窃 取 密 码 、 读 取 电 子 邮 件 等 等 。 黑 客 在 入 侵 一 个 网 站 后 ， 通 常 会 将 a s p 或 p h p 后 门 文 件 与 网 站 服 务 器 w e b 目 录 下 正 常 的 网 页 文 件 混 在 一 起 ， 然 后 就 可 以 使 用 浏 览 器 来 访 问 a s p 或 者 p h p 后 门 ， 得 到 一 个 命 令 执 行 环 境 ， 以 达 到 控 制 网 站 服 务 器 的 目 的 。 W e b s h e l l 一 般 有 三 种 检 测 方 式 : 基 于 流 量 的 方 式 、 基 于 A g e n t 模 式 、 基 于 日 志 分 析 模 式 。 本 文 重 点 研 究 基 于 流 量 的 w e b s h e l l 检 测 。 整 个 流 程 ， 先 是 采 集 w e b s h e l l 数 据 ， 然 后 结 合 网 络 安 全 专 家 知 识 对 w e b s h e l l 产 生 的 流 量 和 正 常 流 量 进 行 观 察 研 究 、 统 计 分 析 ， 挖 掘 出 较 好 的 能 区 分 两 类 流 量 的 特 征 ， 然 后 选 用 二 分 类 算 法 训 练 模 型 ， 然 后 评 估 算 法 性 能 做 出 参 数 调 整 等 ， 最 后 将 模 型 做 工 程 化 落 地 。 文 中 会 依 次 展 开 详 细 说 明 。 二 、 数 据 采 集 二 、 数 据 采 集 在 真 实 的 环 境 中 w e b s h e l l 样 本 缺 少 ， 基 本 在 数 万 条 的 h t t p 流 量 中 ， 都 难 有 一 条 w e b s h e l l 所 产 生 的 流 量 。 因 此 对 于 机 器 学 习 来 说 ， 高 质 量 、 多 数 量 的 的 样 本 将 会 是 个 挑 战 。 为 了 解 决 这 个 样 本 难 的 棘 手 问 题 ， 我 们 特 意 模 拟 搭 建 了 w e b s h e l l 入 侵 的 环 境 ， 按 照 w e b s h e l l 的 种 类 、 攻 击 的 行 为 写 好 自 动 化 脚 本 ， 运 行 时 产 生 大 量 w e b s h e l l 流 量 ， 使 用 网 络 嗅 探 工 具 （ 如 W i r e s h a r k ， T c p d u m p 等 ） 收 集 了 W e b s h e l l 流 量 。   如 图 1 基 本 展 示 了 整 个 数 据 采 集 的 流 程 。 （   图 1 ）
2 . 1   构 建 数 据 类 型 构 建 数 据 类 型 w e b s h e l l 大 致 可 分 为 以 下 三 大 类 ： ● 一 句 话 一 句 话 该 w e b s h e l l 通 过 工 具 菜 刀 进 行 连 接 ， 可 实 现 的 功 能 包 括 对 文 件 的 增 删 修 、 数 据 库 的 C R U D 、 命 令 执 行 。 ● 大 马 大 马 该 w e b s h e l l 文 件 较 大 ， 包 含 的 服 务 端 代 码 多 。 功 能 强 大 ， 除 了 包 含 对 文 件 的 增 删 修 、 数 据 库 的 C R U D 、 命 令 执 行 。 还 包 括 提 权 ， 内 网 扫 描 、 反 弹 s h e l l 等 功 能 。 ● 小 马 小 马 该 w e b s h e l l 文 件 小 ， 代 码 量 小 。 包 含 的 功 能 比 较 单 一 ， 实 现 的 功 能 为 一 个 或 两 个 。 主 要 为 文 件 上 传 或 服 务 端 执 行 文 件 下 载 、 命 令 执 行 等 功 能 。 在 构 建 数 据 采 集 类 型 时 ， 根 据 常 见 的 w e b s h e l l 类 型 并 结 合 执 行 命 令 进 行 划 分 ， 如 下 所 示 ： 是 否 需 要 登 陆 ： ● d i r e c t ： ： 无 需 登 陆 ， 直 接 访 问 即 可 。 可 实 现 的 功 能 较 多 ; ● l o g i n ： ： 需 要 密 码 或 账 户 进 行 登 陆 ， 又 分 为 登 陆 前 与 登 陆 后 ( b e f o r e / l a t t e r ) ; 以 是 否 需 要 登 陆 划 分 完 后 开 始 以 用 户 行 为 进 行 划 分 即 操 作 类 型 。 操 作 类 型 ： ● c m d ： ： 命 令 执 行 ； ● f i l e ： ： 文 件 操 作 ； ● s q l ： ： 数 据 库 操 作 。 2 . 2   搭 建 数 据 收 集 环 境 搭 建 数 据 收 集 环 境 流 量 采 集 搭 建 的 整 体 环 境 如 下 图 2 所 示 ： ( 图 2 ) 系 统 环 境 为 L i n u x 虚 拟 机 ， 通 过 建 立 桥 接 模 式 与 宿 主 服 务 器 完 成 网 络 数 据 交 互 。 各 类 w e b s h e l l 运 行 的 环 境 如 下 ： ● P H P ： ： p h p s t u d y
● J S P ： ： j s p s t u d y ● A S P ： ： A j i u   A s p W e b S e r v e r + M y s q l 本 地 主 机 采 用 W i r e s h a r k 对 w e b s h e l l 的 网 络 流 量 进 行 收 集 和 保 存 。 2 . 3   流 量 数 据 生 成 流 量 数 据 生 成 ● d i r e c t ： ： 直 接 访 问 的 w e b s h e l l , 采 用 脚 本 的 方 式 对 其 进 行 批 量 访 问 ， 产 生 对 w e b s h e l l 访 问 的 流 量 数 据 。 对 文 件 的 操 作 、 命 令 执 行 、 数 据 库 操 作 的 流 量 ， 采 用 手 工 录 入 。 ● l o g i n ： ： 登 陆 型 w e b s h e l l ， 采 用 脚 本 进 行 登 陆 ， 运 行 s e l e n i u m 模 块 实 现 模 拟 浏 览 器 登 陆 w e b s h e l l 。 解 决 因 c o o k i e 验 证 机 制 而 无 法 成 功 登 陆 w e b s h e l l 的 问 题 。 对 文 件 的 操 作 、 命 令 执 行 、 数 据 库 操 作 的 流 量 ， 采 用 手 工 录 入 。 ● c m d ： ： 该 w e b s h e l l 的 利 用 方 式 ， 采 用 脚 本 的 方 式 实 现 。 根 据 脚 本 ， 实 现 不 同 系 统 命 令 的 执 行 ， 获 取 相 应 的 结 果 。 ● c a i d a o ： ： 菜 刀 型 w e b s h e l l 的 界 面 访 问 及 登 陆 采 取 脚 本 的 方 式 来 批 量 实 现 。 2 . 4   流 量 数 据 分 类 流 量 数 据 分 类 流 量 数 据 包 命 名 规 则 为 ( w e b s h e l l 类 型 ) _ ( 操 作 ) ， 按 照 具 体 的 类 型 和 操 作 进 行 划 分 ， 分 开 收 集 。 保 证 流 量 数 据 的 类 型 统 一 。 2 . 5   流 量 收 集 流 量 收 集 本 地 主 机 采 用 W i r e S h a r k 进 行 流 量 收 集 。 三 、 基 于 流 量 的 三 、 基 于 流 量 的 w e b s h e l l 检 测 检 测 3 . 1   特 征 工 程 特 征 工 程 使 用 机 器 学 习 构 建 基 于 流 量 检 测 模 型 ， 重 要 步 骤 是 对 w e b s h e l l 流 量 进 行 特 征 挖 掘 分 析 。 特 征 工 程 要 结 合 w e b s h e l l 的 特 点 和 相 关 的 专 家 知 识 去 挖 掘 。 先 根 据 w e b s h e l l 的 行 为 特 点 总 结 了 以 下 几 条 w e b s h e l l 本 身 自 带 的 特 征 。 （ 1 ） 存 在 系 统 调 用 的 命 令 执 行 函 数 ， 如 e v a l 、 s y s t e m 、 c m d _ s h e l l 、 a s s e r t 等 ； （ 2 ） 存 在 系 统 调 用 的 文 件 操 作 函 数 ， 如 f o p e n 、 f w r i t e 、 r e a d d i r 等 ； （ 3 ） 存 在 数 据 库 操 作 函 数 ， 调 用 系 统 自 身 的 存 储 过 程 来 连 接 数 据 库 操 作 ； （ 4 ） 具 备 很 深 的 自 身 隐 藏 性 、 可 伪 装 性 ， 可 长 期 潜 伏 到 w e b 源 码 中 ； （ 5 ） 衍 生 变 种 多 ， 可 通 过 自 定 义 加 解 密 函 数 、 利 用 x o r 、 字 符 串 反 转 、 压 缩 、 截 断 重 组 等 方 法 来 绕 过 检 测 ； （ 6 ） 访 问 I P 少 ， 访 问 次 数 少 ， 页 面 孤 立 ， 传 统 防 火 墙 无 法 进 行 拦 截 ， 无 系 统 操 作 日 志 ； （ 7 ） 产 生 p a y l o a d 流 量 ， 在 w e b 日 志 中 有 记 录 产 生 。 流 量 检 测 是 为 了 区 分 正 常 访 问 与 w e b s h e l l ， 因 此 也 简 单 的 陈 列 下 w e b s h e l l 与 正 常 业 务 的 网 页 有 何 区 别 , 如 图 3 所 示 ：
( 图 3 ) 3 . 1 . 1   特 征 挖 掘 特 征 挖 掘 根 据 特 征 工 程 中 ， 收 集 到 的 专 家 经 验 知 识 ， 和 实 际 的 历 史 数 据 统 计 分 析 后 ， 下 面 开 始 我 们 的 特 征 分 析 。 （ 注 ： 过 多 技 术 细 节 披 露 较 为 敏 感 ， 因 此 仅 枚 举 部 分 特 征 进 行 阐 述 ） 1 . 基 于 关 键 词 的 特 征 对 于 w e b s h e l l 本 身 的 行 为 分 析   ， 它 带 有 对 于 系 统 调 用 、 系 统 配 置 、 数 据 库 、 文 件 的 操 作 动 作 ， 它 的 行 为 方 式 决 定 了 它 的 数 据 流 量 中 多 带 参 数 具 有 一 些 明 显 的 特 征 ， 另 外 再 关 键 词 匹 配 之 前 先 对 流 量 进 行 d e c o d e 操 作 。 查 阅 各 类 w e b s h e l l 操 作 方 式 ， 以 及 观 察 了 所 产 生 的 数 据 流 量 进 行 统 计 分 析 后 ， 共 采 集 了 部 分 关 键 词 罗 列 如 图 4 。 经 统 计 发 现 这 些 关 键 词 在 正 负 样 本 中 出 现 的 占 比 十 分 悬 殊 ， 因 此 作 为 特 征 是 非 常 合 适 的 。 以 下 是 正 负 样 本 中 关 键 词 出 现 次 数 的 对 比 条 形 图 ( 如 图 4 ) ， 可 以 显 示 出 分 布 差 异 。 ( 图 4 ) 2 . 流 量 中 g e t / p o s t 参 数 个 数 经 观 察 发 现 ， 一 般 来 说 w e b s h e l l   g e t / p o s t 的 参 数 个 数 比 较 少 ， 可 作 为 一 个 特 征 。 3 . 流 量 中 g e t / p o s t 的 信 息 熵 一 般 请 求 都 会 向 服 务 器 提 交 数 据 ， w e b s h e l l 也 不 例 外 。 但 是 ， 如 果 提 交 的 数 据 经 过 加 密 或 者 编 码 处 理 了 ， 其 熵 就 会 变 大 。 对 于 正 常 的 w e b 业 务 系 统 来 说 ， 如 果 向 某 一 U R I 提 交 数 据 的 熵 明 显 偏 大 于 其 他 页 面 ， 那 么 该 U R I 对 应 的 源 码 文 件 就 比 较 可 疑 了 。 而 一 般 做 了 加 密 通 信 的 w e b s h e l l 提 交 数 据 的 熵 值 会 偏 大 ， 所 以 就 可 以 检 测 出 来 。 例 如 如 下 对 比 ： 正 常 页 面 ： ” p i d = 1 2 6 7 3 & a u t = f a l s e & t y p e = l o w ”
W e b s h e l l ：   ” a c = f e r f 2 3 4 c D V 3 T 2 3 4 j y r F R 3 y u 4 F 3 r t D W 2 R 3 5 4 ” 4 . 基 于 c o o k i e 的 特 征 提 取 在 正 常 的 h t t p 访 问 中 ， 因 为 h t t p 访 问 是 无 状 态 的 协 议 ， 服 务 器 也 不 会 自 动 维 护 客 户 的 上 下 文 信 息 ， 于 是 采 用 s e s s i o n 来 保 存 上 下 文 信 息 。 s e s s i o n 是 存 储 在 服 务 器 端 的 ， 为 了 降 低 服 务 器 存 储 的 成 本 于 是 当 有 h t t p 请 求 时 ， 服 务 器 会 返 回 一 个 c o o k i e 来 记 录 s e s s i o n I D 并 保 存 在 浏 览 器 本 地 ， 下 一 次 访 问 时 r e q u e s t 中 会 携 带 c o o k i e 。 c o o k i e 的 内 容 主 要 包 括 ： 名 字 ， 值 ， 过 期 时 间 ， 路 径 和 域 。 路 径 与 域 一 起 构 成 c o o k i e 的 作 用 范 围 。 据 观 察 分 析 ， w e b S h e l l 所 产 生 的 c o o k i e 有 的 为 空 ， 有 的 虽 然 有 键 值 对 的 结 构 但 是 基 本 数 量 非 常 少 ， 且 命 名 没 有 实 际 的 含 义 。 所 以 提 取 这 一 特 征 用 来 区 分 w e b S h e l l 和 正 常 网 站 访 问 。 另 外 从 c o o k i e 角 度 思 考 ， 可 以 发 现 w e b s h e l l 的 键 值 对 会 比 较 混 乱 ， 不 像 正 常 流 量 中 的 那 么 有 规 律 或 是 参 数 有 实 际 可 读 含 义 的 。 如 下 选 取 了 一 条 w e b s h e l l 的 C o o k i e ， 可 以 发 现 键 值 对 的 值 比 较 混 乱 。 因 此 选 取 键 值 对 的 熵 值 作 为 特 征 。 C o o k i e ： K C N L M S X U M L V E C Y Y Y B R T Q = D F C X B T J M T F L R L R A J H T Q L D N O X S K X P Z E I X J U F V N N T A 5 . 返 回 网 页 结 构 相 似 度 值 黑 客 在 进 行 w e b s h e l l 提 权 攻 击 的 时 候 ， 通 常 是 用 已 经 有 的 w e b s h e l l 工 具 ， 比 如 拿 大 马 进 行 直 接 使 用 或 者 稍 作 修 改 。 因 此 很 多 返 回 的 页 面 具 有 结 构 相 似 性 ， 可 以 提 取 网 页 结 构 相 似 度 这 一 特 征 进 行 比 对 。 设 计 思 路 为 ， 与 已 经 采 集 的 w e b s h e l l 产 生 的 网 页 结 构 相 似 度 进 行 对 比 ， 用 返 回 网 页 结 构 相 似 度 作 为 一 个 特 征 。 6 . 网 页 路 径 层 数 黑 客 在 成 功 入 侵 一 个 网 站 ， 植 入 w e b s h e l l 网 页 ， 通 常 需 要 这 些 后 门 软 件 具 有 隐 蔽 性 ， 因 此 网 页 路 径 会 比 较 深 ， 网 页 藏 匿 的 比 较 深 ， 不 易 被 正 常 浏 览 者 发 现 。 7 . 访 问 时 间 段 w e b s h e l l 和 正 常 业 务 相 比 ， 浏 览 的 时 间 是 有 差 异 的 , 黑 客 通 常 会 选 择 在 正 常 流 量 稀 少 的 时 间 进 行 访 问 。 因 此 抽 出 时 间 特 征 作 为 一 个 维 度 。 按 照 时 间 大 类 特 征 ， 可 以 展 开 几 下 几 种 小 类 特 征 ,   一 天 中 哪 个 时 间 段 ( h o u r _ 0 - 2 3 )   ， 一 周 中 星 期 几 ( w e e k _ m o n d a y … ) ， 一 年 中 哪 个 星 期 , 一 年 中 哪 个 季 度 ， 工 作 日 、 周 末 。 8 . 有 无 r e f e r e r 在 流 量 中 ， 如 果 网 页 没 有 跳 转 过 来 的 上 一 页 网 页 ， 那 么 r e f e r e r 参 数 将 为 空 。 一 般 的 小 马 和 一 句 话 w e b s h e l l 鲜 有 跳 转 关 系 ， 大 马 登 陆 的 首 页 也 和 上 一 页 网 页 没 有 跳 转 关 系 ， 因 此 选 此 特 征 作 为 一 种 辅 助 判 断 。 3 . 1 . 2   特 征 提 取 特 征 提 取 综 上 分 析 ， 共 提 取 了 关 键 词 、 网 页 路 径 结 构 层 次 数 、 c o o k i e 键 值 对 数 、 返 回 网 页 结 构 相 似 度 、 P O S T / G E T 熵 值 、 c o o k i e 键 值 对 熵 值 等 多 个 特 征 （ 注 ： 过 多 技 术 细 节 披 露 较 为 敏 感 ， 因 此 仅 枚 举 部 分 特 征 进 行 阐 述 ） 。 并 使 用 数 据 采 集 阶 段 生 成 的 数 据 作 为 数 据 源 ， 生 成 机 器 学 习 模 型 特 征 ， 之 后 将 特 征 做 归 一 化 处 理 。 其 中 正 常 流 量 6 0 3 4 9 条 ， w e b s h e l l 流 量 5 1 0 7 0 条 。 3 . 2   模 型 构 建 及 评 估 模 型 构 建 及 评 估 选 取 了 a d b o o s t 、 S V M 、 随 机 森 林 、 逻 辑 回 归 四 种 算 法 进 模 型 训 练 ， 其 中 正 常 流 量 6 0 3 4 9 条 ， w e b s h e l l 流 量 5 1 0 7 0 条 。 各 模 型 训 练 效 果 对 比 如 下 图 5 所 示 。 综 合 考 量 到 最 小 化 算 法 运 行 时 间 ， 和 最 大 化 可 解 释 性 ， 在 多 个 算 法 检 测 效 果 相 似 情 况 下 ， 选 择 随 机 森 林 作 为 实 际 产 品 化 使 用 的 模 型 算 法 。
（ 图 5 ） 四 、 具 体 实 施 四 、 具 体 实 施 4 . 1   检 测 流 程 检 测 流 程 基 于 机 器 学 习 的 w e b s h e l l 检 测 整 体 业 务 逻 辑 如 下 图 6 所 示 ， 简 述 如 下 ： 首 先 ， 从 各 种 终 端 设 备 和 第 三 方 库 中 导 入 数 据 进 行 特 征 提 取 模 型 训 练 ； 之 后 ， 将 训 练 好 的 模 型 部 署 到 生 产 环 境 中 对 真 实 数 据 做 检 测 ， 对 检 出 产 生 告 警 信 息 ； 最 后 将 检 出 结 果 做 人 工 确 认 ， 并 将 误 报 数 据 重 新 导 入 训 练 库 中 定 期 重 训 练 模 型 。 （ 图 6 ） 4 . 2   技 术 选 型 将 基 于 机 器 学 习 的 W e b s h e l l 检 测 部 署 到 生 产 环 境 中 ， 需 要 考 虑 大 数 据 规 模 对 模 型 的 时 效 性 、 吞 吐 量 等 性 能 指 标 的 影 响 。 经 多 方 考 量 ， 最 终 选 用 如 下 图 7 所 示 的 组 件 搭 配 作 为 产 品 化 的 技 术 选 型 。 此 方 案 结 合 了 s p a r k 大 数 据 处 理 的 高 效 性 ， K a f k a 对 数 据 流 动 的 中 高 性 能 低 延 迟 性 ， H b a s e 对 对 大 规 模 数 据 集 的 实 时 读 性 访 问 性 。 采 用 下 图 中 技 术 架 构 ， 可 保 证 大 流 量 环 境 中 对 W e b s h e l l 的 检 测 ， 和 机 器 学 习 模 型 的 自 动 优 化 。
( 图 7 ) 五 、 总 结 五 、 总 结 本 文 介 绍 了 基 于 机 器 学 习 检 测 w e b s h e l l 的 方 法 和 落 地 实 施 中 的 一 些 技 术 组 件 选 型 。 首 先 ， 基 于 机 器 学 习 的 w e b s h e l l 检 测 重 点 是 需 要 结 合 安 全 专 家 知 识 设 计 提 取 出 高 效 的 模 型 特 征 ， 只 有 较 好 的 特 征 构 建 才 能 保 证 模 型 在 真 实 环 境 中 的 检 出 效 果 。 其 次 ， 对 于 机 器 学 习 模 型 训 练 阶 段 ， 数 据 一 直 是 最 重 要 的 ， 而 网 络 安 全 领 域 数 据 稀 缺 是 普 遍 现 象 ， 我 们 在 文 中 介 绍 了 如 何 自 动 化 构 建 w e b s h e l l 异 常 数 据 ， 保 证 模 型 的 训 练 数 据 量 。 最 后 ， 通 过 对 比 验 证 了 各 算 法 的 检 测 效 果 ， 并 引 入 了 人 工 审 核 确 认 流 程 保 证 在 产 品 化 阶 段 可 以 对 模 型 定 期 优 化 ， 提 高 检 测 准 确 度 。 在 现 有 的 样 本 中 ， 采 取 以 上 提 到 的 特 征 已 经 获 得 了 比 较 优 秀 的 准 确 度 。 但 除 了 上 述 方 法 ， 仅 依 据 一 条 流 量 做 特 征 提 取 并 进 行 结 果 预 测 ， 难 免 存 在 误 报 情 况 。 因 此 我 们 除 了 对 单 一 一 条 流 量 信 息 特 征 进 行 检 测 ， 另 外 引 入 了 需 要 一 定 量 的 数 据 积 累 统 计 后 才 能 体 现 的 特 征 ， 以 下 先 罗 列 部 分 ： ●   对 单 个 网 页 的 访 问 频 率 ； ●   单 个 访 问 网 页 U s e r - a g e n t 的 差 异 性 ； ●   单 个 网 页 在 整 个 网 页 图 结 构 中 的 出 入 度 统 计 ； ●   单 个 网 页 结 构 与 整 体 网 页 结 构 的 相 似 度 对 比 ； 这 些 特 征 能 从 另 一 个 视 角 体 现 w e b s h e l l 的 特 征 ， 但 是 对 于 单 条 数 据 并 不 能 很 好 地 体 现 。 因 此 需 要 一 定 量 和 一 定 时 间 段 的 积 累 流 量 进 行 统 计 分 析 。 基 于 阶 段 统 计 信 息 融 入 到 w e h s h e l l 检 测 模 型 特 征 中 ， 进 行 联 合 分 析 ， 将 会 在 下 篇 中 我 们 会 具 体 讲 解 如 何 使 用 上 述 的 几 个 特 征 ， 从 样 本 采 集 、 工 程 设 计 、 特 征 工 程 、 模 型 训 练 等 几 个 方 面 具 体 阐 述 。 敬 请 期 待 。 也 期 待 与 大 家 进 行 技 术 交 流 。 T C C   t e a m 长 期 招 聘 ， 包 含 各 细 分 领 域 安 全 研 究 、 机 器 学 习 、 数 据 分 析 、 大 数 据 研 发 、 安 全 研 发 等 职 位 。 感 兴 趣 不 妨 联 系 我 们 ， e m a i l :   a l e x . x u @ t o p h a n t . c o m 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理