T-COSOCC 012-2024 信息技術(shù)應(yīng)用創(chuàng)新 基于人工智能的入侵檢測(cè)產(chǎn)品技術(shù)要求

Informationtechnologyapplicationinnovation—TechnicalrequirementArtificialIntelligence-basedintrusiondetectionproI 2 2 2 4 4 4 5 56.4人工智能目標(biāo)函數(shù) 6 66.6對(duì)抗性樣本 7 7 7 8 8 8 8 8 9 97.6可定制化適配 9 2 3 4本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件起草單位：公安部第一研究所、云南省統(tǒng)計(jì)建模與數(shù)據(jù)分析重點(diǎn)實(shí)探索人工智能技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用，1信息技術(shù)應(yīng)用創(chuàng)新基于人工智能的入侵檢測(cè)產(chǎn)品技術(shù)要求GA/T1539信息安全技術(shù)網(wǎng)絡(luò)病毒監(jiān)控系統(tǒng)安全技術(shù)要求和測(cè)試評(píng)價(jià)GB/T25069、GB/T37090、GA/T403.1、GA/T403.2、GA/3.1故意編制或設(shè)置的、對(duì)網(wǎng)絡(luò)或系統(tǒng)會(huì)產(chǎn)生威脅或潛在威脅的3.2對(duì)于給定的數(shù)據(jù)集，正確分類的樣本數(shù)占總樣本數(shù)的比3.3對(duì)抗性樣本adversarialexa在數(shù)據(jù)集中通過(guò)故意添加細(xì)微的干擾所形成輸入樣本，受干擾之后的輸入導(dǎo)致模型以高置信度給3.4用于監(jiān)測(cè)計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)中潛在安全威脅和異?；顒?dòng)的安全工具，檢測(cè)可能表明惡意攻擊或未經(jīng)授權(quán)的訪問(wèn)嘗試的跡象，并向安全管理員或系統(tǒng)管理員4縮略語(yǔ)25.1.1概述基于網(wǎng)絡(luò)流量檢測(cè)原理和端點(diǎn)檢測(cè)原理的人工智能入侵檢測(cè)產(chǎn)品的分類該網(wǎng)絡(luò)段上發(fā)生的網(wǎng)絡(luò)入侵，并可以對(duì)傳輸日志記錄的網(wǎng)絡(luò)通信相關(guān)信息進(jìn)一步分在每個(gè)要保護(hù)的終端設(shè)備上運(yùn)行一個(gè)代理程序以檢測(cè)入侵，通過(guò)監(jiān)測(cè)和分析終端設(shè)備上的操作系5.2.1概述基于人工智能的IDS可以利用機(jī)器學(xué)習(xí)、深度學(xué)習(xí)、大模型算法對(duì)網(wǎng)絡(luò)流量、系統(tǒng)日志和其他相關(guān)a)機(jī)器學(xué)習(xí)是讓機(jī)器模擬人類的學(xué)習(xí)、思維、分析、判斷的一種人工智能的深度學(xué)習(xí)算法；c)大模型是擁有大量參數(shù)和更大容量的機(jī)器學(xué)習(xí)或深度學(xué)習(xí)模型。3在IDS中，機(jī)器學(xué)習(xí)算法被用來(lái)訓(xùn)練模型，自動(dòng)提取和篩選有效的攻擊特征，以解決傳統(tǒng)方法中需研究的進(jìn)步，基于監(jiān)督和無(wú)監(jiān)督機(jī)器學(xué)習(xí)的方法均在入侵檢測(cè)領(lǐng)域有廣泛的研究。人工智能應(yīng)用于IDS5.2.3.1基于數(shù)據(jù)包檢測(cè)的人工智能應(yīng)用45.2.3.2基于行為檢測(cè)的人工智能應(yīng)用5.2.4基于端點(diǎn)檢測(cè)的人工智能應(yīng)用5.2.4.1基于主機(jī)檢測(cè)的人工智能應(yīng)用5.2.4.2基于終端檢測(cè)的人工智能應(yīng)用5.3評(píng)測(cè)環(huán)境人工智能入侵檢測(cè)產(chǎn)品的評(píng)測(cè)環(huán)境見(jiàn)圖3，是用于測(cè)試和評(píng)估該系統(tǒng)在檢測(cè)和防御網(wǎng)絡(luò)入侵方面的洞和暴露（CVE）、中國(guó)國(guó)家信息安全漏洞庫(kù)（國(guó)產(chǎn)化主機(jī)環(huán)境國(guó)產(chǎn)化終端IDS評(píng)測(cè)方被測(cè)對(duì)象56.2入侵檢測(cè)能力6.3人工智能方法的正確性人工智能入侵檢測(cè)應(yīng)保證方法的正確性，確保其在實(shí)際應(yīng)用中能夠有效地識(shí)別和防御各類入侵行6a)實(shí)驗(yàn)驗(yàn)證：通過(guò)在實(shí)際環(huán)境下的測(cè)試和驗(yàn)證，評(píng)估對(duì)已知入侵行c)獨(dú)立評(píng)估：通過(guò)獨(dú)立的第三方機(jī)構(gòu)或?qū)＜覍?duì)方法進(jìn)行評(píng)估，驗(yàn)證其有效性和可靠性。6,4人工智能目標(biāo)函數(shù)人工智能入侵檢測(cè)的目標(biāo)函數(shù)旨在衡量模型對(duì)于檢測(cè)網(wǎng)絡(luò)中的入侵行為的性能和準(zhǔn)確度。目標(biāo)函為正常流量。目標(biāo)函數(shù)應(yīng)盡可能降低假陽(yáng)性和假陰性的數(shù)量，以提高模型的準(zhǔn)確性和目標(biāo)函數(shù)可以要求模型輸出針對(duì)每個(gè)樣本的置信度或概率值，以表示模型對(duì)于該樣本為惡意入侵要求產(chǎn)品可以通過(guò)調(diào)整目標(biāo)函數(shù)的置信度閾值來(lái)調(diào)整決入侵檢測(cè)模型應(yīng)具備一定程度的對(duì)抗性樣本魯棒性，即對(duì)于經(jīng)過(guò)修改或攻擊的輸入樣本仍能保持訓(xùn)練數(shù)據(jù)的多樣性和充分性對(duì)于模型的泛化能力和魯棒性至關(guān)重要。目標(biāo)函數(shù)要求模型在訓(xùn)練過(guò)程中能夠充分利用不同類型、不同來(lái)源的訓(xùn)練數(shù)據(jù)，以覆蓋不同的入侵行為和網(wǎng)絡(luò)環(huán)境。7由于入侵行為不斷演變和新型攻擊的出現(xiàn)，入侵檢測(cè)領(lǐng)域的訓(xùn)練數(shù)據(jù)集應(yīng)具備一定的實(shí)時(shí)性和在線學(xué)習(xí)能力，及時(shí)反映最新的入侵行為和攻擊模式，能夠6.6對(duì)抗性樣本a)白盒方式生成的樣本：指目標(biāo)模型已知的情況下，利用梯度下降等方式生成對(duì)抗性樣本。c)指定目標(biāo)生成的樣本：指利用已有數(shù)據(jù)集中的樣本，通過(guò)指6.7環(huán)境數(shù)據(jù)a)干擾數(shù)據(jù)：指由于環(huán)境的復(fù)雜性所產(chǎn)生的非預(yù)期的真實(shí)數(shù)據(jù)，用中，數(shù)據(jù)集分布可能發(fā)生遷移，即真實(shí)數(shù)據(jù)集分布與訓(xùn)練數(shù)據(jù)集分布之間存在差等。通過(guò)分析異常行為數(shù)據(jù)，可以識(shí)別和檢測(cè)惡意活動(dòng)和g)主機(jī)日志數(shù)據(jù)：包括操作系統(tǒng)日志、應(yīng)用h)安全事件數(shù)據(jù)：包括已知的安全事件記錄、惡意代碼6.8功能要求應(yīng)能實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)流量和主機(jī)行為，及時(shí)發(fā)現(xiàn)潛在的入侵8應(yīng)能分析和評(píng)估威脅情報(bào)，及時(shí)更新入侵檢測(cè)規(guī)則和應(yīng)能根據(jù)相應(yīng)威脅告警采取相應(yīng)的防御措施，包6.9性能指標(biāo)系統(tǒng)誤報(bào)入侵行為的比率應(yīng)盡