如何利用ChatGPT提升安全检测智能化水平人工智能

在安全检测领域，越来越多的企业组织开始使用人工智能技术，来帮助检测网络流量中的潜在威胁。人工智能的优势在于，它可以处理大量的数据，快速准确地识别并分类异常流量。通过训练神经网络模型，人工智能可以自动化检测识别网络攻击、漏洞利用和恶意软件等行为，减少人工干预和误报，提高检测的准确性与效率。

当前主流的网络攻击检测，核心是基于DPI技术，发展出的针对HTTP访问的检测（WAF），以及针对操作系统的入侵防御检测（IPS）。即部署在应用前，在用户请求到达服务端之前对其进行扫描和过滤，分析校验每个用户请求的网络包，确保每个请求的安全有效，对无效或有攻击行为的请求进行拦截或隔离。目前，常用的攻击检测方式如下：

基于事先编写的特定规则或模式（正则表达式）检测网络流量中的威胁，如病毒、恶意软件、入侵行为等。但是由于攻击手段多样化，有经验的黑客可以通过一些语句变化绕过检测。正则表达式是由关键字发展而来的，虽然在一定程度上降低了误报率，但由于正则表达式是基于字符串的过滤，只能检测预定好的攻击行为；针对一些比较复杂的注入方法，同样存在漏报率高的问题。

将检测引擎设计成SQL语义解释器或命令行终端，尝试理解用户输入的内容，判断是否有可能构成攻击。目前主要针对SQL注入，使用场景有限。

基于DPI引擎的检测方式，除了有这些使用限制外，还存在多种绕过流量解析引擎进行入侵的方法。例如，利用DPI引擎可能存在的HTTP协议解析缺陷，只识别80端口为HTTP流量，而Web应用端口在8080上，其HTTP流量会被DPI引擎解析为非HTTP，从而绕过应用层攻击检测。

我们按照DPI引擎的解包流程，将原始流量解析出关键字段数据，进行规则匹配。如果能匹配到规则，则说明报文存在攻击行为；如果不能匹配，则说明报文风险较低。DPI引擎收到的流量如下图：

DPI引擎会按照会话对流量进行分组，在同一个组中的报文，一般为同一五元组的请求响应报文：

DPI引擎会将流量按照协议层级进行拆解，直到解析出所有的字段。

DPI引擎会提取其中应用层的明文请求，作为待检测内容：

ChatGPT作为一种大型自然语言处理模型，可以理解HTTP原始报文信息，这样无论攻击出现在URL、Cookies还是Referer中，都能顺利检测到。

importopenaiopenai.api_key="sk-Bew1dsFo3YXoY2***********81AkBHmY48ijxu"#apitoken用来认证defget_answer(prompt,max_tokens):#定义一个获取答案的函数try:response=openai.Completion.create(model="text-davinci-003",#模型名称prompt=prompt,#问题temperature=0.7,max_tokens=max_tokens,#返回内容的长度限制stream=False,#False就是一次性返回,True就是一个个打出来像打字机,返回的是迭代器,需要后面代码处理.此处没有处理所以用Falsetop_p=1,frequency_penalty=0,presence_penalty=0)return0,response['choices'][0]['text'].strip()#获取返回值关键返回内容exceptExceptionase:#异常处理returnstr(e),None通过上述函数，就可以达到类似向ChatGPT提问的效果（使用模型为text-davinci-003），如下图：

ChatGPT会返回明确的是否存在攻击行为的结论以及行为描述，这样就完成了一次攻击判断。

如上图，可以将流量中大量需要判断的请求，分别存入不同的文件，由ChatGPT进行攻击判读，示例代码如下：