具备双漂移感知的动态网络自适应加密恶意流量检测

《Computer Networks》：Adaptive encrypted malicious traffic detection with dual-drift awareness in dynamic networks

　　

摘要
加密流量的激增和网络协议的持续演化使得传统恶意流量检测模型因概念漂移而失效，其中底层数据分布随时间发生变化。这对于未知协议尤为挑战，因为模型必须在没有先验知识的情况下进行适应。为此，我们提出了一种用于未知加密恶意流量检测的新型自适应框架。我们的核心创新是基于柯尔莫哥洛夫 - 斯米尔诺夫检验的双重漂移检测机制，该机制主动监控协变量漂移和概念漂移。一旦检测到，框架会动态触发差异化适应策略：针对渐进漂移采用改进的弹性权重整合损失的增量学习，或针对突变漂移采用轻量级小模型替换。检测模块本身采用增强领域对抗训练的图神经网络来学习鲁棒的跨协议特征并处理类别不平衡。在四个公共数据集上的大量实验表明，我们的方法显著优于最先进的漂移感知和传统深度学习基线，准确率高达 99.26%，延迟为毫秒级。结果验证了主动、细粒度的漂移适应对于在动态网络环境中保持鲁棒且高效的恶意流量检测至关重要。

引言
在当今深度数字化和互联网技术广泛采用的时代，网络已成为社会生产和日常生活的核心基础设施。然而，随着网络规模的不断扩大和协议系统的演化，加密流量携带的未知恶意攻击日益猖獗，对网络安全构成了严峻挑战。准确识别网络中的未知加密恶意流量是及时防御 DDoS 和端口扫描等攻击的关键手段，也是确保网络环境稳定运行的核心要求。然而，现代网络环境高度动态、复杂且多样。网络协议的快速迭代 [1] 和流量特征的持续演化容易诱发概念漂移 [2]，导致网络流量的统计特性和分布模式随时间发生显著变化。传统恶意流量检测模型无法自主适应此类分布偏移 [3]，导致检测准确率急剧下降，误报率和漏报率持续居高不下。这一问题在涉及未知协议和加密流量检测的场景中尤为突出，形成了阻碍恶意流量检测技术实际应用的核心瓶颈 [4]。

为解决概念漂移导致的模型性能下降问题，研究人员提出了被动和主动概念漂移检测方法 [5]、[6]、[7]，其中主动方法因其较高的检测效率而成为主流。这些方法可进一步分为基于数据分布 [8] 和基于错误率的检测策略 [9]。然而，现有的主动检测方法仍存在明显不足：基于数据分布的方法容易受网络流量动态波动的影响 [1]，导致漂移检测的误报率较高；而基于错误率的方法虽然能更精确地识别恶意流量检测场景中的概念漂移，但主要采用全模型重训练进行适应，导致计算资源消耗巨大，检测延迟显著增加。与此同时，现有的恶意流量检测模型还面临跨协议知识迁移的挑战和处理不平衡样本能力薄弱的困境：机器学习方法严重依赖人工特征工程，泛化能力不足；深度学习方法虽然免去了人工特征设计的需要，但缺乏针对概念漂移的自适应学习机制。在处理 HTTP/3 等新型协议的加密恶意流量时，它们难以实现有效的跨协议特征提取和检测。此外，概念漂移的存在进一步加剧了跨协议流量检测的难度，降低了领域知识迁移技术在恶意流量检测中的有效性。因此，如何在准确检测并高效适应概念漂移的同时，增强模型检测跨协议、不平衡加密流量的能力，已成为当前网络安全领域的关键研究重点和挑战。

为应对上述问题，本文针对动态网络环境中未知加密恶意流量的检测。通过整合图神经网络（GNN）[10] 的特征提取优势、柯尔莫哥洛夫 - 斯米尔诺夫（KS）检验 [11] 的分布检测能力以及自适应学习策略，我们提出了一种整合流量处理、双重漂移检测与自适应学习以及恶意流量识别的新型检测框架。该框架的核心创新在于构建基于 KS 检验的双重漂移检测机制，可同时监控协变量漂移 P(X) 和概念漂移 P(Y|X)。根据漂移的类型和严重程度，动态触发差异化的适应策略：对于渐进概念漂移，采用增量学习策略，运用改进的弹性权重整合（EWC）损失函数 [12] 来平衡模型的塑性和稳定性，在整合新流量知识的同时减轻灾难性遗忘。对于突变概念漂移，采用小模型替换策略，利用预训练的轻量级专用模型和热交换技术实现低延迟的快速模型适应。同时，框架构建了基于 GNN 的恶意流量检测模块，结合领域对抗网络与共享特征提取器来学习领域不变的流量特征，并通过加权损失函数和重采样策略优化不平衡样本上的检测性能，有效增强了模型的跨协议检测能力。

为验证所提方法的有效性和实用性，使用了四个公开可用的加密恶意流量数据集（H23Q、CIC-IDS2017、USTC-TFC2016 和 CIC-DDoS2019）进行了全面的实验。实验围绕五个研究问题设计：主动漂移检测的必要性、与现有最先进（SOTA）方法的性能比较、检测效率、核心模块的消融分析以及在不平衡样本和不同漂移场景下的性能稳定性。实验结果表明，与传统深度学习模型和现有的概念漂移感知检测方法相比，所提方法在四个数据集上均取得了整体优异的检测性能，最高检测准确率达到 99.26%，且误报率显著降低。在检测效率方面，该方法在可比的漂移感知方法中表现出最低的漂移检测延迟和总检测延迟，毫秒级延迟满足了实际网络部署的实时要求。消融实验进一步验证了双重漂移检测、增量学习和小模型替换这三个核心模块的必要性和协同效应。此外，该方法在不同恶意流量比例（5%–30%）的不平衡场景下，以及在三种典型概念漂移场景（突变、渐进和周期性）下，均保持了高检测准确率和快速性能恢复能力，展现了强大的鲁棒性。

本研究为动态网络环境中检测未知加密恶意流量的概念漂移问题提供了一个主动且高效的解决方案。它实现了领域适应和增量学习的有机集成，有效增强了恶意流量检测模型的自适应能力和跨协议检测性能。本文后续结构安排如下：第 2 节详细阐述了与概念漂移和领域适应相关的初步知识。第 3 节详细介绍了所提检测框架的设计原则和实施细节。第 4 节展示了实验设置和对结果的全面分析。第 ?? 章回顾了恶意流量检测和异常检测领域的相关工作。第 5 节总结研究并展望未来研究方向。

章节片段
数据漂移的定义和分类
数据漂移 [13] 指的是机器学习中由于数据分布或特征分布的变化而导致学习者性能随时间发生变化的现象。具体来说，随着时间推移，训练集和测试集之间的分布发生变化，导致模型对新数据的预测性能下降。概念漂移是机器学习领域的一大挑战，因为它影响模型的性能和可靠性。

概念漂移
概述
图 1 展示了我们方法的整体框架，一个针对未知协议流量的自适应分析系统，集成了三个核心模块：流量处理、概念漂移检测与自适应学习以及恶意流量识别。该系统能够有效处理不平衡样本，适应数据分布的变化，并在检测到概念漂移时自动触发模型更新机制。
流量处理模块负责原始流量的预处理和

实验与评估
本节中进行了一系列广泛的实验以回答以下研究问题：
•RQ1：在进行恶意流量检测之前执行主动漂移检测是否能有效提高未知加密恶意流量的检测性能？
•RQ2：与基于漂移检测的最先进恶意流量检测方法相比，所提方法在检测准确率和错误率方面的表现如何？
•RQ3：产生的时间延迟如何

结论
在本工作中，我们解决了动态网络环境中检测未知加密恶意流量的概念漂移这一关键挑战。我们提出了一种新型自适应检测框架，协同整合了基于 GNN 的特征提取器、利用柯尔莫哥洛夫 - 斯米尔诺夫检验的双重漂移检测机制以及结合增量学习与小模型替换的场景特定适应策略。我们鼓励进一步研究侧重于应用和

CRediT 作者贡献声明
Jie Yao：撰写——初稿，可视化，验证，软件，方法学，调查，形式分析，数据整理，概念化。Li Tian：撰写——审阅与编辑，验证。Ziyi Wei：撰写——审阅与编辑，验证。Guozi Sun：撰写——审阅与编辑，监督，资源，项目管理，资金获取，概念化。

利益冲突声明
作者声明他们没有已知的竞争性财务利益或个人关系，这些关系可能影响本文所报告的工作。

致谢
作者感谢匿名审稿人提供的宝贵评论和有建议的提议。我们感谢获得的国家自然科学基金委员会（编号：62472234 & 62372245）以及新疆维吾尔自治区自然科学基金（编号：2024D01A55）的支持。

Jie Yao|Li Tian|Ziyi Wei|Guozi Sun