在本博文中，我们正式推出首版监督式 ML 和安全集成方案。这会为用户提供监督式 ML 解决方案包，以检测网络数据中的域名生成算法 (DGA) 活动。

blog-banner-security-detection.png

blog-thumb-security-detection.png

Combining supervised and unsupervised machine learning for DGA detection

为 DGA 检测整合监督式和非监督式 Machine Learning

要在 Elastic Stack 中使用 Machine Learning，您只需要将数据存储到 Elasticsearch 当中。了解如何通过几次点击从您的数据中提取重要信息，并构建完全可操作的端对端 Machine Learning 管道。

blog-banner-ml-anomaly-laptop.png

blog-thumb-ml-anomaly-laptop.png

Train, evaluate, monitor, infer: End-to-end machine learning in Elastic

训练、评估、监测、推理：Elastic 中的端对端 Machine Learning

不法者（及其恶意软件）会使用域名生成算法 (DGA) 来躲避检测，但有了 Elastic Machine Learning，便可轻松构建模型来帮助您识破他们的骗局。本系列博客的第 2 部分将介绍如何构建模型。

在本系列博客的<a href="/cn/blog/machine-learning-in-cybersecurity-training-supervised-models-to-detect-dga-activity">第 1 部分</a>，我们探讨了如何使用 <a href="/cn/what-is/elasticsearch-machine-learning">Elastic Stack Machine Learning</a> 来训练一个监督式分类模型，用以检测恶意域名。在第 2 部分中，我们将了解如何使用我们训练的这个模型在采集时使用分类扩充网络数据。这对于想要在 Packetbeat 数据中检测潜在 DGA 活动的用户非常有用。
<h2>借助 Elastic Stack 进行 DGA 检测</h2>感染计算机的恶意程序通常需要一种回传途径来联系攻击者控制的服务器，也就是所谓的命令及控制（C&C 或 C2）服务器。为了阻挠防御措施拦截任何硬编码的 IP 地址或 URL，攻击者会使用域名生成算法 (DGA)。当恶意软件需要联系 C&C 服务器时，它会使用 DGA 生成数百上千的候选域名，并尝试解析每个域名的 IP 地址。然后，攻击者只需注册 DGA 生成的一个或几个域名，就能与受感染的计算机进行通信。DGA 以不同的方式进行播种和随机分配，使防御者更加难以阻止和发现它们。
因为 DGA 活动通常涉及到 DNS 查询，所以它通常会表现在从受感染的计算机发出的 DNS 请求中。Packetbeat 可以收集 DNS 流量并将其发送到 Elasticsearch 进行分析。在本博文中，我们将了解如何扩充 Packetbeat 数据中的 DNS 查询信息，用分数来指示域名的恶意程度。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt49f03548e4e6bc48/5f04ce44e224bf2d1883a92b/blog-dga-2-enriched-packetbeat.jpg" data-sys-asset-uid="blt49f03548e4e6bc48" alt="扩充的 Packetbeat 数据" style="display: block; margin: auto; width:650px;">
<figcaption>图 1：扩充的 Packetbeat 文档的示例</figcaption><h2>推理处理器和采集管道</h2>为了基于一个经过训练、可区分良性域名和恶意域名的模型生成的预测来扩充 Packetbeat 数据，我们将需要使用合适的推理处理器来配置采集管道。<a href="/guide/en/elasticsearch/reference/7.8/inference-processor.html">推理处理器</a>为用户提供了一种方法，可以使用在 Elastic Stack 中经过训练的模型（或在我们支持的外部库中经过训练的模型），对要被采集到 Elasticsearch 中的新文档进行预测。为了了解所有这些活动组件是如何组合在一起的，以及需要进行哪些配置，让我们简单回顾一下本系列博客的第 1 部分。
在<a href="/cn/blog/machine-learning-in-cybersecurity-training-supervised-models-to-detect-dga-activity">第 1 部分</a>中，我们讨论了如何训练分类模型来预测给定域名是否为恶意的过程。该过程中的一个步骤就是对训练数据（一组已知的恶意域名和良性域名）执行特征工程，我们的模型将基于这些数据来学习如何对以前未见过的新域名进行评分。必须对原始域名加以处理，以提取对模型有用的特征：一元语法、二元语法和三元语法。然后，同样的特征工程步骤也必须应用到我们希望对恶意性进行评分的 Packetbeat 数据中的域名。
因此，除了推理处理器之外，我们的采集管道还将包括 <a href="/guide/en/elasticsearch/reference/7.8/script-processor.html">Painless 脚本处理器</a>，以便在采集时从 Packetbeat DNS 数据中提取一元语法、二元语法和三元语法。图 2 所示为一个具有完整管道的图表。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt076305e0def6b448/5f04ce78e224bf2d1883a92f/blog-dga-2-painless.png" data-sys-asset-uid="blt076305e0def6b448" alt="用于数据扩充的 Painless 脚本" style="display: block; margin: auto; width:650px;">
<figcaption>图 2：具有 Painless 脚本处理器（从新的传入域名提取 n 元语法特征）和推理处理器（预测域名是否有恶意）的采集管道</figcaption>在 Packetbeat 数据中，我们希望执行操作的字段是 DNS 注册域名。尽管在某些边缘用例中，这个字段不会包含感兴趣的域名，但就本博客的目的而言，足以说明用例了。图 3 中的图像说明了示例 Packetbeat 文档中感兴趣的字段。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt68491032263c0dfd/5f04cea0a6e8d0446e91d324/blog-dga-2-domain.png" data-sys-asset-uid="blt68491032263c0dfd" alt="已注册域名" style="display: block; margin: auto; width:550px;">
<figcaption>图 3：感兴趣的 Packetbeat 字段将为 <code>dns.question.registered_domain</code></figcaption>为了从 <code>dns.question.registered_domain</code> 中提取一元语法、二元语法和三元语法，我们将需要使用图 4 中所示的 Painless 脚本。
<pre class="prettyprint">POST _scripts/ngram-extractor-packetbeat 
{ 
 "script": { 
 "lang": "painless",
 "source": """ 
 String nGramAtPosition(String fulldomain, int fieldcount, int n){ 
 String domain = fulldomain.splitOnToken('.')[0]; 
 if (fieldcount+n&gt;=domain.length()){ 
 return '' 
 } 
 else 
 { 
 return domain.substring(fieldcount, fieldcount+n) 
 } 
 } 
 for (int i=0;i&lt;ctx['dns']['question']['registered_domain'].length();i++){ 
 ctx['field_'+Integer.toString(params.ngram_count)+'_gram_'+Integer.toString(i)] = nGramAtPosition(ctx['dns']['question']['registered_domain'], i, params.ngram_count) 
 }
 """ 
 } 
}
</pre><figcaption>图 4：可将域名扩展为一元语法、二元语法和三元语法的 Painless 脚本</figcaption>提取必要的特征后，仍通过采集管道传递的文档将通过推理处理器，在该处理器中，我们在前一部分训练的分类模型将使用提取的特征进行预测。最后，因为我们不想使模型所需的所有额外特征杂乱无章，所以，我们将添加一系列 Painless 脚本处理器来删除包含一元语法、二元语法和三元语法的字段。
因此，在采集管道的末尾，我们将采集的是一个 Packetbeat 文档，其中包含新的额外字段，这些字段包含 ML 预测的结果。图 5 所示为一个示例采集管道配置。有关完整的详细信息，请参阅<a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/DGA%20Detection">示例存储库</a>。
<pre class="prettyprint">PUT _ingest/pipeline/dga_ngram_expansion_inference
{
 "description":"Expands a domain into unigrams, bigrams and trigrams and make a prediction of maliciousness",
 "processors": [
 {
 "script": {
 "id": "ngram-extractor-packetbeat",
 "params":{
 "ngram_count":1
 }
 }
 },
 {
 "script": {
 "id": "ngram-extractor-packetbeat",
 "params":{
 "ngram_count":2
 }
 }
 },
 {
 "script": {
 "id": "ngram-extractor-packetbeat",
 "params": {
 "ngram_count":3
 }
 }
 },
 {
 "inference": {
 "model_id": "dga-ngram-job-1587729368929",
 "target_field": "predicted_label",
 "field_mappings":{},
 "inference_config": { "classification": {"num_top_classes":2} }
 }
},
 {
 "script": {
 "id": "ngram-remover-packetbeat",
 "params":{
 "ngram_count":1
 }
 }
 },
 {
 "script": {
 "id": "ngram-remover-packetbeat",
 "params":{
 "ngram_count":2
 }
 }
 },
 {
 "script": {
 "id": "ngram-remover-packetbeat",
 "params": {
 "ngram_count":3
 }
 }
 }
 ]
}
</pre><figcaption>图 5：示例采集管道配置</figcaption>因为并不是每个 Packetbeat 文档都会记录 DNS 请求，所以仅当所采集文档中存在所需的 DNS 字段且不为空时，我们才需要使采集管道有条件地执行。为此，我们可以使用<a href="/guide/en/elasticsearch/reference/current/conditionals-with-multiple-pipelines.html">管道处理器</a>（见图 6 中的配置）来检查是否存在所需的字段且填充有内容，然后将文档的处理重定向到我们在图 5 中定义的 <code>dga_ngram_expansion_inference</code> 管道。虽然以下配置适用于原型，但对于生产用例，您需要考虑采集管道中的错误处理。有关完整的配置和说明，请参阅<a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/DGA%20Detection">示例存储库</a>。
<pre class="prettyprint">PUT _ingest/pipeline/dns_classification_pipeline
{
 "description":"A pipeline of pipelines for performing DGA detection",
 "version":1,
 "processors": [
 {
 "pipeline": {
 "if": "ctx.containsKey('dns') && ctx['dns'].containsKey('question') && ctx['dns']['question'].containsKey('registered_domain') && !ctx['dns']['question']['registered_domain'].empty",
 "name": "dga_ngram_expansion_inference"
 }
 }
 ]
}
</pre><figcaption>图 6：管道中仅对记录 DNS 请求的那些文档执行 DGA 检测的条件管道</figcaption><h2>使用异常检测作为对推理结果的二阶分析</h2>在本系列博客的第 1 部分中，我们训练的模型有 2% 的误报率。虽然这个数值听起来很低，但我们必须记住，DNS 流量通常是非常高的。因此，即使误报率为 2%，也可能会将大量的查询评为恶意。减少误报数量的一种方法是研究进一步的特征工程方案。另一种方法就是对分类的结果使用异常检测。下面让我们探讨一下如何在 Elastic Stack 中采用第二种方法。
首先要观察的是，如果我们获取扩充的 Packetbeat 文档，并根据时间绘制标记为恶意的 Packetbeat 文档的数量，我们得到的是一个时间序列（图 7）。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt44ea9e47a1528323/5f04cf3a9ccd4234d7143ad3/blog-dga-2-time-series.jpg" data-sys-asset-uid="blt44ea9e47a1528323" alt="一段时间内的 DGA 活动" style="display: block; margin: auto;">
<figcaption>图 7：根据时间绘制预测为恶意的 Packetbeat 文档的计数会产生一个时间序列</figcaption>其次要注意的是，通常情况下（尽管也有例外），当 DGA 恶意软件主动尝试与 C&C 服务器进行通信时，往往会一次性生成一波 DNS 请求（也就是，恶意软件会遍历算法生成的许多域名，试图解析每个域名的 IP 地址）。在一段时间内预测的恶意域的时间序列分析中（图 6），我们可以看到，活动的峰值以及峰值之间的小噪声。这些峰值表明，我们的分类模型在很短时间跨度内将许多域名归类为恶意域名，因此，我们很可能在处理一个真正的 DGA。与之相反的，峰值之间的背景噪声很可能是误报的结果。正是这种直觉，我们将设法在此时间序列的 <code>high_count</code> 异常检测作业中进行编码。
如果将异常检测泳道与图 7 中的时间序列重叠，我们将看到，我们收到了与时间序列中的峰值（真正的 DGA 活动）相对应的异常警报，而在峰值之间的间隔（误报的背景噪声）内没有警报。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blte3fdc5b9e672c19e/5f04cf5ae438c33db80644f6/blog-dga-2-anomalies.png" data-sys-asset-uid="blte3fdc5b9e672c19e" alt="一段时间内的 DGA 异常" style="display: block; margin: auto;">
<figcaption>图 8：异常检测泳道与一段时间内恶意域名数量的时间序列重叠，显示出了一种十分有前景的技术，可用以减少 DGA 检测中的误报</figcaption>尽管这是一个非常简单的示例，并且对于生产用例可能还需要进行很多的微调和配置，但它还是能表明，异常检测作业可以有效地用作推理结果的二阶分析。
<h2>结论
</h2>在本博文中，我们使用了经过训练的分类模型来扩充采集时的网络数据（Packetbeat 文档）。在推理处理器和采集管道的共同促进下，扩充过程将在 DNS 请求期间对每个被查询的域名添加一个预测标签，用于指示域名被恶意攻击的可能性有多大。此外，为了减少误报警报，我们还研究了如何对推理结果使用异常检测作业。此外，我们还计划在 <a href="/cn/siem">Elastic SIEM</a> 中提供用于 DGA 检测的精选配置和模型。
如果您想使用自己的网络数据进行这方面的尝试，可以启动为期 14 天的 <a href="/cn/elasticsearch/service">Elasticsearch Service 免费试用</a>，以开始采集和分析。您还可以在本地<a href="/cn/downloads">下载 Elastic Stack</a> 并启动试用许可证，<a href="/guide/en/machine-learning/current/ml-getting-started.html">免费试用 Machine Learning</a> 30 天。或者，开始使用免费开放的 <a href="/cn/siem">Elastic SIEM</a>，立即开始保护您的数据。

Machine learning in cybersecurity: Detecting DGA activity in network data

网络安全中的 Machine Learning：检测网络数据中的 DGA 活动

不法者（及其恶意软件）会使用域名生成算法 (DGA) 来躲避检测，但有了 Elastic Machine Learning，便可轻松构建模型来帮助您识破他们的骗局。

当您接到使用随机电话号码打来的推销电话时，该有多烦人？即使您屏蔽了这个号码，也没什么用，因为下一个电话是用一个全新的号码打来的。网络攻击者也会采用同样的卑鄙伎俩。恶意软件创建者通过使用域名生成算法 (DGA)，可更改他们命令和控制基础架构的来源，从而逃避检测，令试图阻止其活动的安全分析师非常恼火。

这个系列内容包含两篇博文，我们将学习如何使用 <a href="/cn/what-is/elasticsearch-machine-learning">Elastic Machine Learning</a> 来构建和评估用于检测域名生成算法的模型。在第 1 部分中，我们将介绍以下内容：

<ul>
	<li>从原始恶意域名和良性域名提取特征的过程</li>
	<li>简单介绍一下寻找合适特征的过程</li>
	<li>展示如何使用 <a href="/cn/products">Elastic Stack</a> 来训练和评估 Machine Learning 模型</li>
</ul>
在第 2 部分中，我们会讨论如何将训练的模型部署到采集管道中，以在采集时扩充 <a href="/cn/beats/packetbeat">Packetbeat</a> 数据。配置文件和支持资料将在<a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/DGA%20Detection">示例存储库</a>中提供。&nbsp;

如果您想在家中尝试这一操作，建议注册我们的<a href="/cn/elasticsearch/service">免费试用 Elasticsearch Service</a>，从中您可以完全使用我们所有的 Machine Learning 功能。好吧，下面我们开始深入探讨。

<h2>DGA：背景</h2>
感染目标计算机后，许多恶意程序会试图联系远程服务器（也就是所谓的命令及控制（C&C 或 C2）服务器），以窃取数据并接收指令或更新。这意味着，恶意二进制文件必须知道 C&C 服务器的 IP 地址或域名。如果此 IP 地址或域名被硬编码到二进制文件，则对于防御措施而言相对会容易些，通过将域名添加到阻止列表即可挫败这种通信。&nbsp;

<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt79b409f8d7fe0f42/5eeab3f76b547b2c37e3a7ee/blog-dga-1-malware.png" data-sys-asset-uid="blt79b409f8d7fe0f42" alt="" style="display: block; margin: auto;">
<figcaption>图 1：恶意软件二进制文件会循环遍历 DGA 生成的域名，以查找注册为 C&C 服务器的域名。&nbsp;
</figcaption>
为了暗中破坏这种防御措施，恶意软件作者可能会将 DGA 添加到他们的恶意软件中。DGA 可生成数百上千的随机化域名。然后，受感染计算机上的恶意软件二进制文件会循环遍历每个生成的域名，试图解析域名，以查看哪个域名已注册为 C&C 服务器。域名的庞大数量和随机性使得基于规则的防御方法很难阻断这种通信渠道。另外，由于 DNS 流量通常会非常大，这也使得人工分析师难以发现。这两个因素使得 Machine Learning 成为理想的解决方案。&nbsp;

<h2>训练 Machine Learning 模型来对域名分类</h2>
在监督式 Machine Learning 中，我们提供了打标的恶意域名和良性域名的训练数据集，让模型先基于该数据集进行学习，然后使用模型将以前未见过的域名分类为恶意域名或良性域名。&nbsp;

有各种不同类型的 DGA，并非所有的 DGA 看上去都相同。有些 DGA 会生成随机化的域名，而有些会使用单词表。对于生产模型，可以采用不同的特征和模型来捕获不同算法的特性。在本示例中，我们将根据最常见算法中发现的特性来训练单个模型。

以下是我们将用于训练模型的数据集，其中既有各种恶意软件家族的域名，也有良性域名。&nbsp;

<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blta81a7ecea3bfbb26/5eeab4068d39260a3ded679b/blog-dga-1-datasets.png" data-sys-asset-uid="blta81a7ecea3bfbb26" alt="" style="display: block; margin: auto; width:650px;">
<figcaption>图 2：由 <code>cryptolocker</code>、<code>banjori</code> 和 <code>suppobox</code> 恶意软件家族生成的示例域名
</figcaption>
<h3>特征工程</h3>
为创建有效的 Machine Learning 模型，需要输入相应的特征，用于表达 DGA 所生成域名的特性。因此，我们必须告诉模型，字符串的哪些方面对于区分恶意域名和良性域名是重要的。这在 Machine Learning 领域称为特征工程。

掌握最能区分良性域名和恶意域名的特征是一个迭代的过程。例如，我们从域名长度和域名熵等一些简单特征开始，但是与其他方法（如 LSTM）相比，生成的模型并不是特别准确。这些模型利用了字符串的序列特性，因此，我们随后研究了能更有效编码序列的其他特征。

在迭代了几种特征工程方法之后，我们得出以下结论：使用字符串中存在的各种长度的子串，可以最有效地体现模型中恶意域名和良性域名之间的差异。&nbsp;

<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltdeba08fd148fe3a6/5eeab41a7253820a4364d9eb/blog-dga-1-n-grams.png" data-sys-asset-uid="bltdeba08fd148fe3a6" alt="" style="display: block; margin: auto; width:650px;">
<figcaption>图 3：将输入域名 iglxbvkw 分为一元语法、二元语法和三元语法&nbsp;
</figcaption>
这些子串通常称为 n 元语法。在开发特征时，需要权衡两个方面，一是特征的数量（训练数据集的维数）和计算特征的复杂性；二是它们对模型的好处。在对各种长度的 n 元语法进行迭代和测试之后，我们发现，长度为 4 或更长的 n 元语法并不能对模型的预测信息有显著提升，因此，我们将特征集限定于一元语法、二元语法和三元语法。图 3 中的示意图说明了如何从示例域名中生成这些特征。

要生成将每个 DGA 域名拆分为一元语法、二元语法和三元语法的 Elasticsearch 索引，您可以通过具有 Painless 脚本处理器的采集管道重新索引原始源索引。下面的图 4 中显示了一个示例。&nbsp; 有关完整的配置、说明和各种定制选项，请参阅<a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/DGA%20Detection">示例存储库</a>。&nbsp;

<pre class="prettyprint">POST _scripts/ngram-extractor-reindex 
{ 
 "script": { 
 "lang": "painless", 
 "source": """ 
 String nGramAtPosition(String fulldomain, int fieldcount , int n){ 
 String domain = fulldomain.splitOnToken('.')[0]; 
 if (fieldcount+n&gt;=domain.length()){ 
 return '' 
 } 
 else 
 { 
 return domain.substring(fieldcount, fieldcount+n) 
 } 
 } 
 for (int i=0;i&lt;ctx['domain'].length();i++){ 
 ctx[Integer.toString(params.ngram_count)+'-gram_field'+Integer.toString(i)] = nGramAtPosition(ctx['domain'], i, params.ngram_count) 
 } 
 """ 
 } 
}
</pre><figcaption>图 4：&nbsp;从输入数据的域名中提取 n 元语法的 Painless 脚本示例
</figcaption>
通常情况下，需要进行更多的预处理，才能将长度为 1、2 和 3 的子串转换为用于 Machine Learning 算法的数值矢量。在我们的例子中，Elastic Machine Learning 将负责这个转换为数值的过程，也就是所谓的编码。Elastic Machine Learning 还将检查特征，并自动选择那些携带最多信息的特征。

<h2>创建数据帧分析作业</h2>
下一步是使用数据帧分析 UI 来创建分类作业。在下面的屏幕截图中，我突出标注了此过程的一些重要设置。

<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt41bc9b5e914391bd/5eeab4326b547b2c37e3a7f2/blog-dga-1-create-job.jpg" data-sys-asset-uid="blt41bc9b5e914391bd" alt="" style="display: block; margin: auto; width:350px;">
<figcaption>图 5：数据帧分析向导会指导您创建分类作业
</figcaption>
需要注意的一点是，我们可以使用滑块指定训练/测试拆分。在图 5 的屏幕截图中，训练/测试拆分设置为 80%，这意味着，源索引中 80% 的文档将用于训练模型，而其余 20% 将用于测试模型。

训练过程完成后，我们可以导航到数据帧分析结果 UI 来评估模型的性能。由于我们将源索引拆分为训练集和测试集，因此我们将能够看到模型在每个数据集上的性能。虽然训练性能和测试性能都可以提供有价值的信息，但在这种情况下，我们会对测试数据集上的模型性能更加感兴趣，因为它能让我们模型中的泛化误差。此误差表明模型将如何对之前从未遇到过的数据点进行分类。&nbsp;

<h2>评估 Machine Learning 模型</h2>
训练过程完成后，我们可以单击“查看”，以进入“Elastic Machine Learning UI 作业管理”页面来查看结果。&nbsp;

结果页面（见图 6）为我们提供了两个关键信息：一个混淆矩阵 — 汇总了我们模型的执行情况；一个结果表 — 可以详细查看模型是如何对各个数据点进行分类的。我们可以使用表格右上方的“测试”/“训练”筛选器，在测试和训练数据集的混淆矩阵和汇总表之间进行切换。&nbsp;

<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt2835b4e08a0b8637/5eeab44b688c1c62a49ae2f2/blog-dga-1-data-frame.jpg" data-sys-asset-uid="blt2835b4e08a0b8637" alt="" style="display: block; margin: auto;">
<figcaption>图 6：数据帧分析结果页面显示了一个混淆矩阵和一个包含样例数据的表
</figcaption>
显示模型性能的一种常见方法是使用称为混淆矩阵的可视化。混淆矩阵显示归类为真正类（模型标识为恶意且实为恶意的恶意域名）和真负类（模型标识为良性的良性域名）的数据点的百分比，以及模型将其中的良性域名与恶意域名相混淆（假正类或假负类）的文档的百分比。&nbsp;

顾名思义，混淆矩阵会迅速向我们展示一个模型是否经常将一个类的实例混淆为另一个类。&nbsp;

在图 6 中，我们看到模型对测试数据的真正类率为 98%。这意味着，如果我们将这个模型部署到生产环境中，对传入的 DNS 数据进行分类，我们大概会看到 2% 的假正类率。虽然这看似是一个相当低的数字，但很高的 DNS 流量意味着它仍将导致相当高的警报率。在第 2 部分中，我们将研究如何使用异常检测来减少误报的数量。&nbsp;

<h2>结论</h2>
在本博文中，我们简要概述了如何使用 <a href="/cn/what-is/elasticsearch-machine-learning">Elastic Machine Learning</a> 构建和评估用于 DGA 检测的 Machine Learning 模型。我们研究了从原始恶意域名和良性域名提取特征的过程，并稍微介绍了一下有关寻找合适特征的过程。最后，我们了解了如何使用 Elastic Stack 来训练和评估 Machine Learning 模型。

在本系列的下一部分中，我们将介绍如何在采集管道中使用<a href="/guide/en/elasticsearch/reference/7.8/inference-processor.html">推理处理器</a>来部署此模型，以借助域名恶意性的预测来扩充传入的 Packetbeat 数据，以及如何使用异常检测作业来减少误报的数量。同时，请<a href="/cn/elasticsearch/service">免费试用我们的 Machine Learning 功能</a>，看看在您识破数据中的噪音时能揭示出什么洞见。

AUTHOR

Articles By Camilla Montonen

为 DGA 检测整合监督式和非监督式 Machine Learning

训练、评估、监测、推理：Elastic 中的端对端 Machine Learning

网络安全中的 Machine Learning：检测网络数据中的 DGA 活动

网络安全中的 Machine Learning：训练监督式模型以检测 DGA 活动

注册 Elastic Cloud 免费试用版

产品和解决方案

公司

资源

解决方案

Elastic (ELK) Stack

新增功能

AUTHOR

Articles By Camilla Montonen

为 DGA 检测整合监督式和非监督式 Machine Learning

训练、评估、监测、推理：Elastic 中的端对端 Machine Learning

网络安全中的 Machine Learning：检测网络数据中的 DGA 活动

网络安全中的 Machine Learning：训练监督式模型以检测 DGA 活动

注册 Elastic Cloud 免费试用版

公司

资源