利用结合网络流量和DNS查询特征的混合深度学习模型，并结合可解释性人工智能技术，提升僵尸网络攻击的检测能力，以强化网络安全

《Scientific Reports》：Enhancing botnet attack detection using a hybrid deep learning model combining network flow and DNS query features with explainable AI for cybersecurity

　　

摘要

随着人们对互联网的依赖日益加深以及连接需求的不断增加，基于僵尸网络的网络攻击威胁也在不断上升。僵尸网络是由僵尸网络控制者管理的受感染设备所构成的网络。这些僵尸网络能够发起分布式拒绝服务攻击，导致财务损失、运营中断以及数据泄露。由于僵尸网络活动的复杂性和动态性，现有的僵尸网络识别方法很容易被绕过，从而导致较高的误报率。本研究提出了一种基于深度学习的混合模型，通过结合网络流量和域名系统查询特征来提升僵尸网络的识别能力。这两类特征通过并行子网络独立处理，在每个子网络中，都会利用卷积机制提取空间特征。从网络数据和DNS数据中获得的特征图随后会被融合在一起，形成最终的特征向量。此外，还采用了多头注意力机制来聚焦于关键特征。接着，这些特征会通过双向长短期记忆层进行逐次处理，以便捕捉时间上的模式。该模型在检测僵尸网络方面的准确率为99.10%，而在识别不同类型攻击方面，其准确率为98.90%，精确率为98.95%，召回率为99.10%，F1分数为98.10%。对比分析表明，该方法相比现有方法具有更高的效率。同时，还运用了可解释人工智能方法，即SHapley加性解释法和局部可解释模型无关解释法，来解释模型的预测结果，从而体现了该模型预测结果的可解释性和透明度。