MalRAG

Paper：MalRAG: A Retrieval-Augmented LLM Framework for Open-set Malicious Traffic Identification

大方向也是想将 LLM 的泛化能力引入流量。

你妹的气死我了，和我的思路好像：“不再让模型死记硬背流量特征，而是给模型一本“参考书”（流量知识库），让它通过对比来做判断”。

三种 RAG：

• 内容视图：载荷字节。用汉明距离。
• 结构视图 ：包长度序列。转换到频域，再用欧氏距离测量。
• 时序视图：到达间隔时间。转换到频域，再用欧氏距离测量。

若检索回来的样本不满足相似度阈值，则剔除。也就是检索回来的样本和你长得都不像，就说明是新的。

image.png

示例：

image.png

image.png