摘要
基于规则的Web服务器日志检测无法发现未预先告知其关注目标的攻击，且大多数异常检测研究仅在单一数据集上验证其方法，这可能导致方法对新流量泛化能力的评估被高估。本文提出了一种混合框架，将基于内容的自编码器（对单个HTTP请求进行评分）与会话级变分LSTM自编码器（对每个客户端的请求序列进行评分）相结合。该框架在涵盖三种日志格式的八个数据集上进行了评估，包括公开的CSIC 2010 HTTP数据集，并分别采用数据集内和数据集间阈值迁移协议。修复了一个将会话构建中不同客户端的请求混合到同一窗口内的缺陷后，会话分支在CSIC 2010上的AUC从0.63提升至0.98（在与修正模型训练数据不重叠的留出集上进行评估）；该分支依赖于真实的多请求会话，在不包含此类会话的流量中不产生评分。原始分数平均融合并非始终有益：在CSIC 2010上，完全加权于会话分支优于所有测试过的混合原始平均权重，但将各分支的分数相对于其自身训练分数分布进行归一化后再平均，可大幅缩小这一差距。在CSIC 2010正常流量上一次校准阈值并原封不动迁移至三个高攻击比例的数据集后，融合F1值相较于在每个数据集上分别调优阈值的方案提升了六至七倍，因为这些数据集中的攻击流量过多，不足以使自校准反映正常行为。该框架还实现了比有标注随机森林基线更低的误报率，AUC与无监督基线相当或更优，且运行速度足以满足近实时使用需求。综合来看，这些结果表明，会话结构和阈值校准的重要性可能与模型选择本身相当。
