机器学习如何检测零日攻击

2026年5月22日

几十年来，网络安全一直是一场基于特征码的猫鼠游戏。当发现新的恶意软件变种或漏洞利用时，安全研究人员会对其进行分析，提取出唯一的数字特征，并分发到杀毒软件数据库中。

但基于特征的防御有一个致命缺陷：它是完全被动的。它无法阻止从未见过的威胁。

这就是零日攻击（Zero-Day Attack）——在软件厂商发布补丁之前，针对先前未知的软件漏洞进行的攻击。由于没有特征码，传统的防火墙和入侵防御系统对它们完全视而不见。

为了防御零日威胁，整个行业正在经历一场范式转变：从依赖特征码转向依靠行为分析，而这正是由**机器学习（ML）**驱动的。

1. 超越特征码：异常检测的机制

基于机器学习的防御核心是异常检测的概念。机器学习模型不寻找已知的恶意行为（特征码），而是通过训练来理解系统或网络中的“正常”状态，并标记任何偏离该基线的行为。

行为基线建立： 诸如孤立森林（Isolation Forest）和自编码器（Autoencoder）等无监督学习算法，通过摄取海量的网络流量、用户活动和系统日志，构建出正常运行状态的高度详细模型。
偏离度评分： 当零日漏洞被执行时，它不可避免地会执行偏离基线的操作——例如执行异常的 API 调用序列、打开未预期的端口连接，或尝试读取受限的系统内存。机器学习模型会立即为该行为标记高异常评分。

零日漏洞通常通过电子邮件附件或路过式下载（drive-by downloads）到达。由于特征码检查器无法标记这些新文件，由机器学习驱动的终端采用静态和动态特征提取，在毫秒级内对其进行分析。

静态分析： 模型无需运行文件即可分析其文件结构、导入的 DLL、API 函数调用和元数据。即使代码被混淆，深度学习模型也能标记出恶意模式。
动态沙箱分析： 如果静态分析无法得出确切结论，文件将在安全的虚拟化沙箱中运行。机器学习代理监控其实时执行，跟踪以下行为：
- 进程注入： 试图向合法的系统进程（如 explorer.exe）注入代码。
- 注册表修改： 写入敏感的启动键值或禁用安全服务。
- 特权提升： 通过系统漏洞异常地请求管理员权限。

许多零日攻击涉及远程命令执行、数据外泄或在网络中进行横向移动。机器学习通过将网络遥测数据视为事件序列来监控这些活动。

LSTM 与循环神经网络（RNN）： 正如 LSTM 在自然语言处理（NLP）中用于预测句子中的下一个单词一样，在安全领域中它们被用于建模网络流。模型学习设备之间通信的典型序列，并标记恶意异常。
图神经网络（GNN）： GNN 将整个网络拓扑映射为图，其中设备是节点，通信是边。这使模型能够发现隐蔽的横向移动，即攻击者试图使用零日漏洞从一台服务器跳跃到另一台服务器。

虽然机器学习非常强大，但它不是万灵药。利用机器学习保护系统也带来了其特有的工程挑战：

误报困境： 如果异常检测模型过于敏感，它会将合法的软件更新或管理员任务标记为攻击，从而导致安全运营团队产生警报疲劳。
对抗性机器学习： 网络犯罪分子正在积极开发绕过机器学习模型的方法。通过引入细微的、非恶意的代码修改（对抗性扰动），他们可以欺骗分类模型，使其认为零日载荷是完全安全的。

机器学习已将网络安全从被动的清理工作转变为主动的实时防御机制。通过分析行为、提取动态特征以及对网络序列建模，机器学习使组织能够在零日攻击造成大范围破坏之前将其制止。

随着攻击者变得越来越狡猾，防御的未来在于协同、自学习的系统，这些系统能够不断适应新的威胁，确保即使是最隐蔽的零日漏洞利用也无法遁形。