申请/专利权人：电子科技大学长三角研究院(湖州)

申请日：2023-12-04

公开（公告）日：2024-03-22

公开（公告）号：CN117749437A

主分类号：H04L9/40

分类号：H04L9/40;G06N3/045;G06N3/042;G06N3/08

优先权：

专利状态码：在审-实质审查的生效

法律状态：2024.04.09#实质审查的生效;2024.03.22#公开

摘要：本发明公开了一种基于图注意力时序网络的APT攻击检测与溯源方法，基于系统审计日志文件，实现了系统级的APT攻击检测与溯源。与之前动态网络采取先应用图神经网络捕捉拓扑属性信息，再应用循环神经网络模型捕捉时序信息的两步学习框架不同，本发明提出图注意力时序网络模型实现同时捕捉溯源图中的拓扑属性信息和时序信息，有效提升了网络捕捉时空信息能力。并应用负采样和边界损失函数完成对异常行为检测。同时本发明考虑了异常行为之间的因果关联，应用因果关联分析判断所有异常边是否均具有因果关系，若不是则二次更新图注意力时序网络模型参数，直至所有异常边均具有因果关联。最后，通过连接所有异常边实现对整个APT攻击事件的准确检测与溯源。

主权项：1.一种基于图注意力时序网络的APT攻击检测与溯源方法，其特征在于，具体包括以下步骤：1溯源图构建与属性表征：以审计日志中的系统实体为顶点，系统事件为边构建溯源图，按照时间顺序划分溯源图快照，并对系统实体的关键属性信息应用层次化特征哈希得到对应节点的属性表征；2图注意力时序网络模型构建：取只包含正常数据的连续溯源图快照集合，对一定比例的正常边进行负采样，得到视为异常的边，每个溯源图快照经过图注意力时序网络模型，获得其节点隐藏状态表征，基于此表征计算每条边的异常分数，通过边界损失函数更新模型参数，使得异常边的异常分数均大于某临界值，并得到最终的图注意力时序网络模型；3异常行为检测：取含有异常数据的连续溯源图快照集合，输入最终的图注意力时序网络模型，获得节点的隐藏状态表征，计算每条边的异常分数，大于临界分数的边预测为异常边，视为系统中的异常行为，小于临界分数的边预测为正常边；4异常行为因果关联判断：对所有异常边进行前向和反向的因果关联分析，若所有异常边均具有因果关联，则转向步骤6，若存在某条边没有其他相关联的异常边，则认为该边预测错误，并转向步骤5；5图注意力时序网络模型二次更新：基于步骤4将所有预测错误边的标签信息修改为正常边，对图注意力时序网络模型进行二次更新，并在原本含有异常数据的连续溯源图集合上，应用二次更新后的图注意力时序网络模型，再次预测异常边，转向步骤4；6攻击场景图构建：此时所有异常边均具有因果关联，根据时间顺序依次连接所有异常边，以构建完整攻击场景图。

全文数据：

权利要求：

百度查询： 电子科技大学长三角研究院(湖州) 一种基于图注意力时序网络的APT攻击检测与溯源方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD