基于异常的检测是一种网络威胁识别方法，可识别系统中的异常行为或活动。该技术的重点是识别与既定规范不同的异常模式，从而查明潜在的网络威胁。
基于异常的检测的起源和演变
基于异常的检测的概念首次出现在 20 世纪 80 年代末的计算机安全领域。该领域的先驱研究员 Dorothy Denning 提出了一种基于用户行为分析的入侵检测模型。该模型建立的前提是，任何明显偏离用户标准行为的活动都可能被归类为入侵。这标志着对基于异常的检测的首次重大探索。
多年来，基于异常的检测随着人工智能 (AI) 和机器学习 (ML) 的发展而不断发展。随着网络威胁变得越来越复杂，应对这些威胁的机制也变得越来越复杂。开发了先进的算法来识别模式并辨别正常活动和潜在有害活动。
扩展基于异常的检测
基于异常的检测是一种网络安全技术，通过分析典型系统行为的偏差来识别和减轻威胁。它涉及创建“正常”行为基线并根据该既定规范持续监控系统活动。观察到的行为与基线之间的任何差异都可能意味着潜在的网络威胁，从而触发警报以进行进一步分析。
与基于签名的检测（需要已知的威胁模式来识别潜在的攻击）相比，基于异常的检测可以通过关注异常行为来识别未知或零日攻击。
基于异常的检测的工作原理
基于异常的检测主要分为两个阶段：学习和检测。
在学习阶段，系统使用历史数据建立代表正常行为的统计模型。该模型包括各种行为因素，例如网络流量模式、系统利用率或用户活动模式。
在检测阶段，系统持续监控当前行为并将其与已建立的模型进行比较。如果观察到的行为明显偏离模型（超过定义的阈值），则会触发警报，表明潜在的异常情况。
基于异常的检测的主要特征
- 主动检测：能够识别未知威胁和零日漏洞。
- 行为分析：检查用户、网络和系统行为以检测威胁。
- 适应性：随着时间的推移，根据系统行为的变化进行调整，减少误报。
- 整体分析：它不仅仅关注已知的威胁签名，还提供更广泛的保护。
基于异常的检测的类型
基于异常的检测方法主要分为三种类型：
| 方法 | 描述 |
|---|---|
| 统计异常检测 | 它使用统计模型来识别与预期行为的任何显着偏差。 |
| 基于机器学习的检测 | 利用人工智能和机器学习算法来识别与规范的偏差。 |
| 网络行为异常检测 (NBAD) | 特别关注网络流量以识别异常模式或活动。 |
使用基于异常的检测：挑战和解决方案
虽然基于异常的检测提供了一种先进的网络安全方法，但它也带来了挑战，主要是由于定义“正常”行为和处理误报的困难。
定义正常：由于用户行为、系统更新或网络变化的变化，“正常”的定义可能会随着时间而改变。为了克服这个问题，必须定期对系统进行重新训练以适应这些变化。
处理误报：如果异常检测阈值太敏感，基于异常的系统可能会触发误报。这可以通过微调系统的灵敏度并结合反馈机制来从过去的检测中学习来缓解。
与类似方法的比较
| 方法 | 特征 |
|---|---|
| 基于签名的检测 | 依赖已知威胁签名，仅限于已知威胁，误报率较低 |
| 基于异常的检测 | 检测与正常情况的偏差，能够检测未知威胁，误报率更高 |
基于异常的检测的未来
基于异常的检测的未来在于利用先进的人工智能和机器学习技术来提高检测能力、最大限度地减少误报并适应不断变化的网络威胁。深度学习和神经网络等概念有望改善基于异常的检测系统。
代理服务器和基于异常的检测
代理服务器（例如 OneProxy 提供的代理服务器）可以从实施基于异常的检测中受益。通过监控流量模式和行为，可以识别异常流量峰值、奇怪的登录模式或异常数据请求等异常情况，这可能表明 DDoS 攻击、暴力攻击或数据泄露等威胁。
