一、前言

在如今的万物互联时代，只要一台设备被攻陷，用户银行信息等个人隐私可能全部泄露，其他设备也可能瞬间被瓦解。网络世界的攻守双方，将人工智能当作制胜法宝，正在进行角力较量。

根据瑞星《2017年上半年中国网络安全报告》显示2017 年 1-6 月，瑞星「云安全」系统共截获病毒样本总量 3,132 万个，病毒感染次数 23.4 亿次，病毒总体数量比 2016 年同期上涨 35.47%。上半年病毒 Top10中，令人胆颤心惊的 WannaCry 病毒却只能排列第九。

二、网络安全面临严峻考验

来自国际电信联盟于 2017 年 7 月发布的《全球网络安全指数》中的数据显示：2016 年全球互联网用户达到 35 亿人，约占世界总人口的一半。到 2020 年，接入互联网的终端设备预计将达到 120 亿台。

随着智能设备的广泛应用，大规模普及的物联网必将为攻击者提供大量新机会，工作与生活的界限愈加模糊，一台联网设备，只要被攻陷，从银行等财务信息到健康等个人信息，则可能全部泄露。而在互联时代，只要攻克一台设备，其他设备就可能瞬间被瓦解。

这样的事情已有先例。2016 年 10 月，一款名为 Mirai 的恶意软件侵袭了大量存在漏洞的智能摄像头、智能网关、智能家电等物联网设备，被感染后的它们瞬间变成了网络中的“肉鸡”设备。在工控领域，2010 年的 Stuxnet 蠕虫病毒能够针对西门子的监控与数据采集（SCADA）系统进行攻击，并通过 U 盘和局域网进行传播。

万物互联，内网和外网的边界逐渐模糊，网络泛化则成为大趋势，比如特斯拉的汽车在各种场合都可以接入 wifi，还可以接入 3G/4G 网络，而在未来的交通中，无人驾驶车还将与交通灯、交通台，甚至是和其他车互通互联——这意味着更多的潜在攻击点。

“一旦入网，有很多传统的攻击手段就能像攻击电脑一样攻击无人驾驶车，WannaCry 病毒同样可以入侵车，这造成的问题将会更大。”——“德国弗劳恩霍夫应用集成信息安全研究所”认知信息安全研究组组长肖煌在接受机器之能的采访时说。

三、“AI+网络安全”大势所趋

逐渐上涨的病毒数量让网络安全受到了前所未有的关注，以人工智能驱动的网络安全公司也受到了资本的青睐。2017年6月一个月份，就至少有 7 家将人工智能用于网络安全的公司获得新一轮融资，而融资总额接近 5 亿美元。

四、“AI+网络安全”防护的六个关键创新领域

 “在很多配备人工智能（AI）预测能力的前沿领域，可让安全厂商、企业以及我们个人在应对网络袭击中占据上风”。总结出AI网络安全防护的六个关键创新领域：

五、六方云如何利用AI技术引导下一代防火墙走向智能化？

从2009年Gartner正式对“新一代防火墙”这个名词下定义，新一代防火墙就已经不只是个营销噱头了。再回顾一下新一代防火墙需要满足的主要要求：

Ø 标准第一代防火墙能力（包过滤、NAT、状态协议检查、VPN等）

Ø 不仅限于融入网络入侵防御能力

Ø 应用感知，和全栈可视性

Ø 支持防火墙以外的威胁情报

实际上，这其中最重要的部分就是所谓的“应用感知和全栈可视性”。这是新一代防火墙相较状态检测防火墙最大的区别，将针对流量的检测提升到了OSI模型中的第七层，并依据对应用层的流量检查，实现对应用的识别，以及直观的可视化。比如说，在这种功能的加持下，防火墙可以实现允许特定应用流量，但同时却禁止特定应用中的文件共享功能。这是以前的防火墙无法实现的功能。

综合下一代防火墙核心理念与人工智能关键创新领域技术，六方云科技的网络安全产品线从三个维度进行“AI+网络安全”的组合实践。

5.1基于“未知威胁识别”的立体防御体系

在黑客进行攻击过程中，六方云科技的网络安全产品在每个攻击阶段都提供对应的安全方案。例如：在外围突破的时候，能够提供下一代防火墙保护;当黑客攻破内部网络，进行恶意软件传送的时候，可以通过未知威胁以及端点威胁防止进行阻断;假如黑客攻破了内部网络，在其横向移动时，也通过下一代防火墙的智能威胁检测模块来进行阻断;到最后黑客攻破系统，开始窃取数据，则可以利用域名检测以及URL过滤来找到这些黑客的来源，以及其所传送的这些数据，帮助用户检测、发现和阻断黑客的攻击行为。

5.2基于“健康指纹基线”的辅助机器学习

传统安全厂商部署的机器学习算法通常采用训练大型数据集的方式，以“学习”网络上需要注意的事项以及如何对不同情况作出反应。与人工智能系统不同，大多数安全应用程序无法在没有新的训练数据的情况下推断出新的结论。

　　然而，机器学习本身就很强大，而且这种方法非常适合病毒防御和恶意软件扫描。几十年来，防病毒一直是基于签名的，这意味着安全厂商会识别特定的恶意程序，为每个程序提取一种独特的指纹，然后监控客户设备以确保不会出现这些签名。

基于机器学习的恶意软件扫描以类似的方式工作，算法训练大量恶意程序目录以了解要查找的内容。但是机器学习的方法具有灵活性的额外好处，因为扫描工具已经学会了寻找恶意软件的特征而不是特定的签名。

攻击者可以通过对他们的恶意工具进行轻微改动来阻止传统的防病毒，这些恶意工具会丢掉签名，基于机器学习的扫描程序。

从本质上讲，机器学习在安全方面的最大优势在于训练，以了解系统的“基线”或“正常”，然后标记任何不寻常的人工审查。

5.3基于“样本回归分析”的事件处理机制

在网络安全领域，对威胁的识别，并非一蹴而就，而是渐进发展的过程。安全厂商起初通过黑白名单技术，将目标进行好/坏定性，用这样的一维特征来识别威胁。随后是匹配字符串这样的二维特征，如果请求里包含某一类型的数据，就会被认定为非法。在这之后是多维特征，要辨别一个程序是好是坏，先让它运行，再监督它的运行过程，将运行过程中的信息形成多维特征，用于判断。但多维特征技术的致命缺点就是开销太大，效率低下，因此无法达到客户要求。

在 2000 年以后，随着移动互联网的发展，有大量设备产生各式各样的日志，因此在日志管理和分析方面，有了长足的发展，但也带来了海量日志报警，运维人员每天无法及时遍历处理查看的问题，而包括关联分析等机器学习算法的使用，有效解决了此问题。

通过离散型的统计分类、联系性的关联分析等监督学习算法，使得海量威胁告警、日志事件进行归一化合并，大大降低企业运维人员的运维工作量，提升威胁事件处理的效率，更好的辅助宏观决策。

六、总结

六方云一直秉承“基于客户开发产品，以技术作为安全的保障”的思想，踏踏实实为客户解决实际问题。因此，我们积极地研究人工智能相关技术，并用于公司现有安全产品进行实践，让人工智能+网络安全能够更好的服务客户。