物联网的广泛部署伴随着大量基础设备连接到互联网中,进而攻击者能够感染、控制众多物联网设备,并发动大规模的僵尸网络攻击,对互联网环境造成影响。人工智能技术在网络空间安全的诸多领域取得了显著的进展,并被用于物联网中实现新型网络攻击的检测和防御。目前,主流的物联网僵尸网络检测方法均以有监督学习为主,通常基于大量已知的攻击样本进行特征提取,然后训练人工智能模型并将其用于检测,代表性的模型包括:KNN（K-Nearest Neighbor）、SVM（Support Vector Machine）、XGBoost等。上述方法的实现依赖于大量已“标记”的攻击样本,特征提取和样本预处理时间较长,且现有模型检测准确率渐趋饱和,对新型变种和隐蔽型变种恶意软件的检测能力较差。因此,实现一种端到端的、且适用于庞大的物联网环境的僵尸网络检测方法是本研究的重点和难点。物联网中的病毒和网络攻击具有一定的特殊性,以Mirai为代表的僵尸网络攻击具有攻击模式复杂多样、隐蔽性高、攻击扩散速度快、覆盖面广等特点。同时,物联网中的设备多为硬件配置较低的终端设备,不能有效支持传统互联网中代表性的网络攻击防御方案。因此,以设计一种适用于物联网的僵尸网络检测深度学习为目标,通过对检测模型和模型输入数据的双重优化,本文提出如下改进方式:（1）本文借鉴适用于图像分割和分类任务的UNet检测模型,实现一维化处理,通过融合僵尸网络流量数据的局部特征与全局特征,设计并提出了一维卷积神经网络（One-Dimensional UNet,1D-UNet）,用于实现物联网中的僵尸网络检测。实验结果表明,该模型对僵尸网络的检测准确率基本达到了99%以上。（2）针对物联网设备对低能耗的高标准要求,本文在1D-UNet模型的基础上,引入深度可分离卷积操作实现轻量化处理,并通过增大卷积操作过程中的卷积步长,在特征学习过程中完成降维操作,替换掉原有的下采样池化操作,提出了1D-L-UNet（One-Dimensional Lightweight UNet）模型。实验结果证明,与1D-UNet相比,1D-L-UNet模型能够在参数量和计算量降低约65%的情况下,获得与1D-UNet相持平的僵尸网络检测性能。同时,1D-L-UNet在最优参数设置下获得了99.66%的检测准确率,与目前已有同类方法相比提升了0.43%。（3）基于僵尸网络攻击通常伴随分布式拒绝服务攻击（Distributed Denial-of-Service,DDo S）并产生大量网络数据包文的特点,为适配数据处理能力较弱的终端设备上部署检测机制的需求,本文对用于检测攻击过程中所依靠的网络数据包文提出优化方法。本文提出了一种基于有效载荷首次出现时间选取数据包的方式,降低检测准确率对数据包文数量的依赖程度。实验结果表明,经过优化后仅需要完成对一个数据包的特征提取就能够达到99.27%的僵尸网络检测准确率,与常规数据处理方式相比,在1D-L-UNet模型上减少了87%的计算量,极大降低了终端设备所需处理的数据规模。