机器学习在网络安全领域的应用（二）

机器学习在系统安全研究中的应用：

        网络空间中的系统主要指具有独立计算能力的单元计算系统，例如计算机、移动终端等。本节以这些单元计算系统的安全为核心，横跨芯片、系统硬件以及系统软件三个层面。其中，芯片安全方面包括劣质芯片检测、硬件木马检测以及PUF攻击；系统硬件及物理环境安全包括设备身份认证及虚拟化安全。

（一）.系统硬件层面

        劣质芯片检测目前使用的机器学习技术主要是单类分类器（如：OC-SVM）、异常检测技术（如SOA），主要是通过原厂芯片和劣质芯片的的边信道差异参数特征和图像识别技术来识别是否是劣质芯片。基于边信道差异参数检测的方法不适合老化时间短且老化影响小的芯片（即检测该类劣质芯片准确度不高）。而基于芯片外形的检测，研究人员利用芯片图像特征识别劣质芯片，该方法的缺点是当芯片外表、颜色、擦痕等变化不明显时，无法检测出劣质芯片。

        硬件设备身份认证是系统硬件常见的安全问题，比如网络设备传统的认证方式是依据MAC地址进行认证，这种方式容易被伪造，因此出现了基于硬件自身指纹特征的设备身份认证技术。机器学习在设备身份认证技术中的应用，主要有暂态信号、调制信号和频谱响应。此外，在网络空间物理环境中，系统硬件与外部设备进行信息交换或通信时常常会遇到信息泄露、中间人攻击，例如常见的物理层边信道攻击、伪基站等。 

         注：（物理层边信道攻击是利用物理层边信道信息找出设备的加密信息的一种攻击方式。边信道信息是指：含有密码算法的设备在工作状态时，会在电源功能消耗、密码算法执行时间、电磁辐射、故障情况的输出方面产生与密钥相关的变化信息。伪基站攻击是指攻击者利用ISMI捕捉器堵塞3G/4G网络，迫使用户手机接入2G网络，随后向该用户发送垃圾邮件或者诈骗短信。）

（二）.系统软件安全

             在系统软件层面，目前机器学习在系统软件安全中的研究主要集中在漏洞分析与挖掘、恶意代码分析、用户身份认证以及虚拟化安全等方面。

             漏洞是指系统在硬件、软件及协议的具体实现中或系统安全策略设计上存在的缺陷和不足，从而威胁、损坏单元计算系统的安全。在漏洞分析和挖掘方面，近几年刚开始出现基于机器学习的漏洞识别、漏洞预测和漏洞修复，还没有形成一个较为成熟的应用体系。更为重要的是，根据莱斯定理，利用一个程序自动地检测另一个程序中是否含有漏洞，在一般情况下是不可判定的。在这个限制之下，现有的漏洞挖掘研究的主要集中在发现特定类型的漏洞，因此，利用机器学习推断未知漏洞在理论上仍是一个问题。总之，未来研究除了考虑进一步提升机器学习在漏洞挖掘的应用性能（查准率与查全率），也应考虑到机器学习应用在漏洞挖掘领域的理论支持。

              恶意代码通常指具有恶意功能的应用程序，包括木马、蠕虫、病毒等。恶意代码分析通常分为静态分析与动态分析。静态分析通过分析程序的指令与结构来确定是否具有恶意功能；而动态分析是指在隔离环境（例如模拟器、沙盒）下，综合分析运行行为，从而确定是否具有恶意功能。

             在基于机器学习的用户身份认证研究方面，主要有利用机器学习攻击传统用户身份认证方法和利用机器学习设计新的用户身份认证机制两个研究点。现在，学术界已经攻破了验证码这一方面，即用户在登陆时，有时需要输入验证码，现在已经提出了基于机器学习习的验证码攻击，即程序自动识别验证码，它主要是提取验证码图片中的颜色和文本特征。另外还有学者可以识别触屏设备的输入密码，它提取触屏的加速度、压力、大小和时间，利用光学流算法和聚类算法来识别触摸点。