路由器作为网络基础设施核心设备,互连多种网络,在网络数据转发中发挥重要作用。路由器在网络中的核心位置和作用,决定它是一个极佳的攻击切入点,其遭受的攻击日趋复杂。一方面,路由器面临未知漏洞威胁,攻击者通过漏洞利用和挖掘,提升其对路由器的控制权限实现其篡改利用的目的;另一方面,路由器面临拒绝服务攻击、扫描探测、远程用户攻击等恶意攻击流量,攻击者构建这些攻击流量达到其扰乱制瘫的目的。因此,检测路由器的漏洞利用攻击和恶意流量攻击对提升路由器安全性具有重要意义。在检测路由器漏洞利用攻击方面,传统路由器只能依赖设置简单的系统安全策略、固件更新、打补丁等方式进行安全性防护和漏洞修复,属于“亡羊补牢”式被动防御。基于动态异构冗余架构的拟态路由器采用主动防御式手段检测发现并阻断基于漏洞的路由和配置篡改攻击,提升了路由器的安全性。然而,在面临仅基于漏洞的提权攻击,而不做篡改攻击问题上检测手段不足。同时,在路由器恶意流量攻击检测中,基于深度学习的流量异常检测技术可大幅提升恶意流量的检测效果,但在面临流量数据类别不平衡问题时,现有检测方法无法准确有效检出少数类威胁高的恶意流量。而且,在引入含噪声流量数据对抗样本后,深度学习模型的分类能力进一步恶化,导致分类器的检测鲁棒性差、准确率低。针对上述问题和不足,本课题依托国家重点研发计划项目《先进防御系统与设备研制》,通过对相关研究现状的分析,深入研究拟态路由器系统漏洞利用检测和恶意攻击流量检测技术,提出面向系统内部状态、外部不平衡流量以及外部含噪声流量的异常检测方法,旨在提升拟态路由器异常检测的准确性和效率,增强拟态路由器的安全防护能力。本课题的主要研究内容如下:1.针对拟态路由器面临基于漏洞利用的提权攻击时检测手段不足的问题,将拟态路由器异构架构和异常检测相结合,基于异构执行单元对漏洞利用表现出的系统状态差异性,提出一种面向系统漏洞提权的拟态路由器异常检测方法。首先从异构执行单元同时收集系统状态特征数据并构建对异常表征明显的多维矢量。然后采用标签编码和Min-Max归一化方法对数据预处理,利用熵权法计算不同特征的权重,应用于异构执行单元系统状态特征差异度的计算中。应用阈值规则对比不同执行单元间的差异度水平判决异常,实现一种无需历史数据训练建模的轻量级异常检测方法,快速准确地检测拟态路由器漏洞利用提权攻击等异常。基于原型系统的测试实验结果表明,相比于无监督特征聚类K-means方法,所提方法的检测准确率提升了13.12%,且具有低误报率和较短的检测时间。2.针对拟态路由器外部流量异常检测中样本类别不平衡导致各攻击类流量特征数据检出率低等问题,提出一种面向流量数据不平衡的拟态路由器异常检测方法。从数据和算法两方面综合考虑。在数据预处理阶段,利用Borderline SMOTE过采样方法生成少数攻击类数据,使各类样本数据均衡,并使这些数据能提供尽可能多的信息进行模型训练。在异常检测阶段,设计联合注意力机制和1DCNN-Bi LSTM的异常模型,提取流量特征数据的局部特征和长距离序列特征,着重关注对检测起重要作用的特征,提升各类恶意流量的检出率和检测准确率。在原型系统的测试实验结果表明,相比其他典型机器学习模型（RF、MLP、CNN-BiLSTM等）,所提方法对扫描攻击和远程攻击的检出率至少提升了5.16%和6.34%。3.针对攻击者构建含噪声流量数据攻击样本导致模型检测鲁棒性差、准确率低的问题,提出一种面向含噪声流量的拟态路由器异常检测方法。设计基于去噪自编码器的特征提取算法,通过在训练过程中最小化含噪声流量数据与原始干净数据的差异,提取低维可靠特征。设计基于门控循环单元的异常检测算法,学习低维流量特征数据的序列关系,提高异常检测的准确性。基于原型系统的测试实验结果表明,相比其他典型机器学习（RF、DT）、深度学习方法（AE、ELM、DBN、GRU-MLP等）,检测准确率至少提升了4.24%,并且在对流量数据加入不同比例噪声时,所提方法检测准确率保持稳定,提升了拟态路由器流量异常检测的鲁棒性。