TCOSOCC 012-2024 信息技術(shù)應(yīng)用創(chuàng)新 基于人工智能的入侵檢測(cè)產(chǎn)品技術(shù)要求

Informationtechnologyapplicationinnovation—TechnicalrequirementArtificialIntelligence-basedintrusiondetectionproI 2 2 2 4 4 4 5 5 6 6 7 7 7 8 8 8 8 8 9 9 9 2 3 4本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件起草單位：公安部第一研究所、云南省統(tǒng)計(jì)建模與數(shù)據(jù)分析重點(diǎn)實(shí)探索人工智能技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用，1信息技術(shù)應(yīng)用創(chuàng)新基于人工智能的入侵檢測(cè)產(chǎn)品技術(shù)要求GA/T1539信息安全技術(shù)網(wǎng)絡(luò)病毒監(jiān)控系統(tǒng)安全技術(shù)要求和測(cè)試評(píng)價(jià)GB/T25069、GB/T37090、GA/T403.1、GA/T403.2、GA/故意編制或設(shè)置的、對(duì)網(wǎng)絡(luò)或系統(tǒng)會(huì)產(chǎn)生威脅或潛在威脅的對(duì)于給定的數(shù)據(jù)集，正確分類的樣本數(shù)占總樣本數(shù)的比對(duì)抗性樣本adversarialexa在數(shù)據(jù)集中通過故意添加細(xì)微的干擾所形成輸入樣本，受干擾之后的輸入導(dǎo)致模型以高置信度給用于監(jiān)測(cè)計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)中潛在安全威脅和異?；顒?dòng)的安全工具，檢測(cè)可能表明惡意攻擊或未經(jīng)授權(quán)的訪問嘗試的跡象，并向安全管理員或系統(tǒng)管理員4縮略語23T/COSOCC4個(gè)5T/COSOCC012—20246.1.2準(zhǔn)確性算法應(yīng)具備高準(zhǔn)確率，能夠有效地識(shí)別惡意代碼、蠕蟲、木馬程序、Rootkit惡意程序、Bootkit惡意程序等各類入侵行為，減少誤報(bào)和漏報(bào)的情況。6.1.3實(shí)時(shí)性算法應(yīng)具備實(shí)時(shí)性能，能夠?qū)?shí)時(shí)產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行快速分析和檢測(cè)，及時(shí)發(fā)現(xiàn)并應(yīng)對(duì)新型的入侵攻擊。6.1.4自適應(yīng)性算法應(yīng)具備自適應(yīng)能力，能夠?qū)Σ粩嘧兓娜肭中袨檫M(jìn)行自動(dòng)學(xué)習(xí)和適應(yīng)，及時(shí)更新模型以應(yīng)對(duì)新的威脅。6.2入侵檢測(cè)能力6.2.1.1基于網(wǎng)絡(luò)檢測(cè)的10C人工智能入侵檢測(cè)應(yīng)使用人工智能算法檢測(cè)以下基于網(wǎng)絡(luò)檢測(cè)的IOC:a)暴力破解；b)木馬后門；c)拒絕服務(wù)攻擊；6.2.1.2基于端點(diǎn)檢測(cè)的10C人工智能入侵檢測(cè)應(yīng)使用人工智能算法檢測(cè)以下基于端點(diǎn)檢測(cè)的IOC:a)暴力破解b)非法提權(quán)；c)非法登錄；d)惡意代碼執(zhí)行；惡意篡改；e)惡意文件、進(jìn)程、應(yīng)用；f)病毒文件；g)緩沖區(qū)溢出等。6.2.2.1基于網(wǎng)絡(luò)檢測(cè)的10A人工智能入侵檢測(cè)應(yīng)使用人工智能算法檢測(cè)以下基于網(wǎng)絡(luò)檢測(cè)的IOA:a)端口掃描；b)可疑鏈接等。6.2.2.2基于端點(diǎn)檢測(cè)的10A人工智能入侵檢測(cè)應(yīng)使用人工智能算法檢測(cè)以下基于端點(diǎn)檢測(cè)的I0A:a)端口掃描；b)異常登錄；c)權(quán)限提升d)重復(fù)的登錄失?。籩)服務(wù)啟停、系統(tǒng)重啟等。6.3人工智能方法的正確性人工智能入侵檢測(cè)應(yīng)保證方法的正確性，確保其在實(shí)際應(yīng)用中能夠有效地識(shí)別和防御各類入侵行為。方法正確性的評(píng)估應(yīng)包括但不限于以下方面：6可以是二分類的(正常行為或入侵行為)或多類別的(如具體的入侵類型),以確保模型能夠正確學(xué)習(xí)7由于入侵行為不斷演變和新型攻擊的出現(xiàn)，入侵檢測(cè)領(lǐng)域的訓(xùn)練數(shù)據(jù)集應(yīng)具備一定的實(shí)時(shí)性和在線學(xué)習(xí)能力，及時(shí)反映最新的入侵行為和攻擊模式，能夠a)白盒方式生成的樣本：指目標(biāo)模型已知的情況下，利用梯度下降等方式生成對(duì)抗性樣本。c)指定目標(biāo)生成的樣本：指利用已有數(shù)據(jù)集中的樣本，通過指a)干擾數(shù)據(jù)：指由于環(huán)境的復(fù)雜性所產(chǎn)生的非預(yù)期的真實(shí)數(shù)據(jù)，用中，數(shù)據(jù)集分布可能發(fā)生遷移，即真實(shí)數(shù)據(jù)集分布與訓(xùn)練數(shù)據(jù)集分布之間存在差等。通過分析異常行為數(shù)據(jù)，可以識(shí)別和檢測(cè)惡意活動(dòng)和g)主機(jī)日志數(shù)據(jù)：包括操作系