近年来，人们越来越关注在网络安全中使用机器学习和深度学习，特别是在网络入侵检测和预防方面。然而，根据美国南卡罗来纳州军事学院Citadel的研究人员的一项研究，为网络入侵检测而训练的深度学习模型可以通过对抗性攻击绕过，对抗性攻击是欺骗神经网络以改变其行为的特制数据。

该研究(PDF)侧重于DNS放大，这是一种拒绝服务攻击，攻击者在其中欺骗受害者的IP地址并向DNS服务器发送多个名称查找请求。

然后服务器会将所有响应发送给受害者。由于DNS请求比响应小得多，因此会导致放大攻击，受害者被虚假流量淹没。

“由于基于机器学习的入侵检测系统越来越受欢迎，我们决定研究DNS放大中的深度学习，”该论文的主要作者Jared Mathews说。

“DNS放大是一种更流行和更具破坏性的DoS攻击形式，因此我们想探索在此类网络流量上训练的深度学习模型的可行性和弹性。”

为了测试网络入侵检测系统的弹性，研究人员创建了一个机器学习模型来检测DNS放大流量。

他们在开源KDD DDoS数据集上训练了一个深度神经网络。该模型在检测恶性数据包方面达到了98%以上的准确率。

为了测试基于ML的网络入侵检测系统的弹性，作者将其与Elastic-Net Attack on Deep Neural Networks (EAD)和TextAttack这两种流行的对抗性攻击技术进行了对比。

“我们之所以选择TextAttack和Elastic-Net Attack，是因为它们分别在自然语言处理和图像处理方面都得到了证明，”Mathews说。

尽管攻击算法最初并不打算应用于网络数据包，但研究人员能够为此目的对其进行调整。他们使用这些算法生成 DNS 放大数据包，这些数据包在目标 NIDS 系统处理时作为良性流量传递。

这两种攻击技术都被证明是有效的，显着降低了网络入侵检测系统的准确性，并导致了大量的误报和漏报。

“虽然这两种攻击都可以通过我们使用的DNS放大数据轻松生成对抗性示例，但TextAttack更适合对数据包特征中的数据类型进行最小程度的干扰，”Mathews说。

研究人员尚未测试对现成入侵检测系统的攻击，但计划这样做并在未来报告调查结果。

研究人员得出结论，用对抗性攻击欺骗机器学习网络入侵检测系统相对容易，并且可以采用最初用于另一个应用程序的对抗性算法并将它们调整到网络分类器。

“最大的收获是，在网络安全中使用深度学习并不是一个简单的解决方案，而且作为一个独立的NIDS，它们非常脆弱，”Mathews说。

“对于用于检测关键网络攻击的分类器，应该进行广泛的测试。将这些DL模型与基于规则的NIDS结合使用作为辅助检测器也可以证明是非常有效的。”

该团队正在将他们的发现扩展到其他类型的攻击，包括IoT DDoS流量。