Informationtechnologyapplicationinnovation—TechnicalrequirementArtificialIntelligence-basedintrusiondetectionproI 2 2 2 4 4 4 5 5 6 6 7 7 7 8 8 8 8 8 9 9 9 2 3 4本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件起草單位：公安部第一研究所、云南省統(tǒng)計建模與數(shù)據(jù)分析重點實探索人工智能技術(shù)在網(wǎng)絡安全領(lǐng)域的應用，1信息技術(shù)應用創(chuàng)新基于人工智能的入侵檢測產(chǎn)品技術(shù)要求GA/T1539信息安全技術(shù)網(wǎng)絡病毒監(jiān)控系統(tǒng)安全技術(shù)要求和測試評價GB/T25069、GB/T37090、GA/T403.1、GA/T403.2、GA/故意編制或設置的、對網(wǎng)絡或系統(tǒng)會產(chǎn)生威脅或潛在威脅的對于給定的數(shù)據(jù)集，正確分類的樣本數(shù)占總樣本數(shù)的比對抗性樣本adversarialexa在數(shù)據(jù)集中通過故意添加細微的干擾所形成輸入樣本，受干擾之后的輸入導致模型以高置信度給用于監(jiān)測計算機網(wǎng)絡和系統(tǒng)中潛在安全威脅和異常活動的安全工具，檢測可能表明惡意攻擊或未經(jīng)授權(quán)的訪問嘗試的跡象，并向安全管理員或系統(tǒng)管理員4縮略語23T/COSOCC4個5T/COSOCC012—20246.1.2準確性算法應具備高準確率，能夠有效地識別惡意代碼、蠕蟲、木馬程序、Rootkit惡意程序、Bootkit惡意程序等各類入侵行為，減少誤報和漏報的情況。6.1.3實時性算法應具備實時性能，能夠?qū)崟r產(chǎn)生的網(wǎng)絡數(shù)據(jù)進行快速分析和檢測，及時發(fā)現(xiàn)并應對新型的入侵攻擊。6.1.4自適應性算法應具備自適應能力，能夠?qū)Σ粩嘧兓娜肭中袨檫M行自動學習和適應，及時更新模型以應對新的威脅。6.2入侵檢測能力6.2.1.1基于網(wǎng)絡檢測的10C人工智能入侵檢測應使用人工智能算法檢測以下基于網(wǎng)絡檢測的IOC:a)暴力破解；b)木馬后門；c)拒絕服務攻擊；6.2.1.2基于端點檢測的10C人工智能入侵檢測應使用人工智能算法檢測以下基于端點檢測的IOC:a)暴力破解b)非法提權(quán)；c)非法登錄；d)惡意代碼執(zhí)行；惡意篡改；e)惡意文件、進程、應用；f)病毒文件；g)緩沖區(qū)溢出等。6.2.2.1基于網(wǎng)絡檢測的10A人工智能入侵檢測應使用人工智能算法檢測以下基于網(wǎng)絡檢測的IOA:a)端口掃描；b)可疑鏈接等。6.2.2.2基于端點檢測的10A人工智能入侵檢測應使用人工智能算法檢測以下基于端點檢測的I0A:a)端口掃描；b)異常登錄；c)權(quán)限提升d)重復的登錄失敗；e)服務啟停、系統(tǒng)重啟等。6.3人工智能方法的正確性人工智能入侵檢測應保證方法的正確性，確保其在實際應用中能夠有效地識別和防御各類入侵行為。方法正確性的評估應包括但不限于以下方面：6可以是二分類的(正常行為或入侵行為)或多類別的(如具體的入侵類型),以確保模型能夠正確學習7由于入侵行為不斷演變和新型攻擊的出現(xiàn)，入侵檢測領(lǐng)域的訓練數(shù)據(jù)集應具備一定的實時性和在線學習能力，及時反映最新的入侵行為和攻擊模式，能夠a)白盒方式生成的樣本：指目標模型已知的情況下，利用梯度下降等方式生成對抗性樣本。c)指定目標生成的樣本：指利用已有數(shù)據(jù)集中的樣本，通過指a)干擾數(shù)據(jù)：指由于環(huán)境的復雜性所產(chǎn)生的非預期的真實數(shù)據(jù)，用中，數(shù)據(jù)集分布可能發(fā)生遷移，即真實數(shù)據(jù)集分布與訓練數(shù)據(jù)集分布之間存在差等。通過分析異常行為數(shù)據(jù)，可以識別和檢測惡意活動和g)主機日志數(shù)據(jù)：包括操作系