如今，网络攻击技术和手段持续升级，漏洞利用攻击、无文件攻击等各类高级攻击手段出现，其攻击手法隐蔽、破坏性强，给单位网络安全带来了极大挑战。
其中，加密流量攻击是攻防实战中最常见的手法之一，攻击者为了窃取数据、控制目标系统，往往采取更加隐蔽的加密通信技术，通过对内容进行协议加密，消除攻击的明显特征，使检测难度呈指数上升。
据深信服千里目安全技术中心2021年的实战分析，近50%的安全事件由加密流量攻击引发。如渗透阶段采用TLS加密扫描，攻击阶段采用RDP、SSH等加密的暴力破解，再通过webshell获取权限，最后通过加密隧道外发数据等。
一、AI技术在实战中被广泛应用
检测加密流量而不损害其加密完整性的智能手法逐步被认可，AI技术可以基于大数据统计分析，挖掘数据规律及目标特征，更快地检测出加密流量威胁，减少所需时间和资源，提高网络分析的效率及准确性，在实战中被广泛使用。
然而，AI技术如没有得到有效运用，也无法在实战中检测到加密的威胁行为。例如无监督学习可以定位未知威胁，但精准度待提升;有监督学习精确度高，却无法覆盖未知威胁。
二、如何在实战中精准识别加密流量攻击?
深信服安全团队经过7000+用户实践发现，只有将无监督学习和有监督学习智能化结合，才能最大限度提升加密流量攻击的识别率。
▲深信服NDR在实战中识别高级威胁行为示例
1.有监督学习精准识别已知加密流量
有监督机器学习通过将已知、带标签的行为数据输入系统，学习分析数据行为，并根据数据标签来检测、识别特定的高级威胁。
深信服NDR(全流量高级威胁检测系统)应用AI模型，基于有监督机器学习抓取所有上下行流量，提取1000+维度特征，同时增加了模型训练算法LightGBM学习特征的权重，对已知高级威胁的检测更为精准。传统的检测方式基于一个模型检测多个场景，不同场景的特征不尽相同，因此误报率很高。深信服NDR基于AI模型有监督学习进行场景化建模，一个模型对应一个场景，根据场景特征进行针对性检测，模型检测精准率能够达到98%。
2.无监督学习提前发现未知加密流量
无监督的机器学习覆盖了聚类、神经网络等方法，不依赖任何标签值，通过自主学习，挖掘数据内在特征，实现自动化全面检测，更合理地利用资源，提升效率。
深信服NDR基于AI模型无监督学习方法，通过聚类学习、特征映射等智能分析技术建立设备加密流量动态行为基线，筛选出异常的、可疑的行为，同时结合行为聚合与关联分析，检测出未知威胁的早期迹象，最大程度地实现自动化检测，可以快速检测出如下异常，帮助网络安全团队主动预防威胁：
异常的网络设备JA3
异常的访问时间和访问频率
异常的上下行数据包比率
异常的证书签发机构
……
以常见的“服务器权限获取手法webshell加密通信”为例，攻击者通过渗透系统或网络安装webshell ，在应用服务器上执行敏感命令、窃取数据、植入病毒，危害极大。webshell具有很强的隐蔽性，传统的、基于单向数据流的流量检测方案，无法实时更新数据，难以有效检测webshell。
深信服NDR基于AI模型无监督学习的孤立森林异常点检测算法，可以构建特征向量，精准检测“孤立离群”的webshell访问行为，具有更高检出率，更低误报率。除了webshell加密通信场景外，深信服NDR同样支持隧道检测、CS漏洞、加密挖矿、加密反弹shell等威胁检测，覆盖多种加密威胁场景。
▲NDR发现攻击者发起暴力破解，并上传免杀的webshell文件，最终实现远程控制
目前，超7000+用户依托深信服NDR产品，在常态化攻防实战中筑牢安全堡垒。除了全面精准的高级威胁检测，深信服NDR还可以深度联动EDR、SaaS XDR等，对流量侧、端侧数据聚合分析，实现分析、检测、溯源、响应的一站式防护闭环，全力提升企业级用户的纵深防御能力。
（免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）
