摘要
随着高吞吐量防火墙遥测技术的应用，人们越来越需要从短暂且密集的观测数据中实时进行分析，而非依赖长时间的历史数据。我们采用了行为切片技术——这是一种能够保护隐私的方法，可从几分钟内的流量数据中提取出具有解释意义的微观行为特征，如时间规律性异常、目标地址分散程度（熵值）以及流量强度等。本研究并非旨在确认是否存在入侵行为，而是评估在高吞吐量环境下，短时间窗口的防火墙遥测数据是否有助于实现具有隐私保护功能的初步威胁分类，并量化此类分析方法的局限性、特征稳定性、检测器的互补性以及实时可行性。我们的案例研究使用了在分析前已被不可逆匿名处理的真实防火墙遥测数据。通过基于无监督算法的异常检测方法并结合可解释的总结结果，该分析方法能够为后续调查提供有针对性的异常候选项，而无需对设备的常规行为或习惯做出假设。合成异常数据仅用于相对验证，实际的行为特征则来自真实的遥测数据。在不同场景下的测试结果显示，该方法在检测扫描和数据窃取行为方面效果显著，但对于变化较小的指挥控制信号检测效果较差，这说明行为切片更适合作为初步筛选工具，而非通用型检测器。在物联网和边缘网络监控领域，防火墙遥测数据可被视为反映设备在运行约束条件下通信行为的高频网络感知数据。总体而言，研究结果表明，在极端网络负载情况下，行为切片仍是一种可行的初步过滤和威胁分类方法，但同时也存在一定的局限性和权衡因素。
