结合动态行为和静态特征的APT攻击检测方法

来源：计算机工程与应用杂志2023年第18期北京时间：

作者：梁鹤, 李鑫, 尹南南, 李超

单位：1.中国人民公安大学 信息网络安全学院，北京 100038；2.公安部第一研究所，北京 100048

摘要：针对APT攻击网络流量难以获得，模拟的数据与现实又很难匹配的问题，提出了一种基于动态行为和静态特征结合的APT攻击检测方法。采用Noriben沙箱提取待测软件的进程行为、文件行为、注册表行为和网络行为构建动态行为特征集，基于Transformer-Encoder算法识别APT恶意软件的准确率达到了95.8%。对识别出的APT恶意软件进行组织分类，提取软件调用的DLL（dynamic link library）和API（application programming interface），并组合成DLL：API的特征形式，将1D-CNN（one dimensional convolutional neural networks）算法应用于APT恶意软件组织分类的准确率达到了98.7%，比之前的方法提高了5个百分点。与热门的深度学习算法和机器学习算法的实验效果做对比，数据表明，提出的方法相比其他方法，准确率有较大提升。

关键词：高级持续性威胁（APT）攻击,动态行为,静态特征,Transformer-Encoder,1D-CNN