面向APT时空行为的受损主机检测

来源：计算机应用研究杂志2022年第6期北京时间：

作者：孙一丁,李强,

单位：吉林大学计算机科学与技术学院,长春130012；

摘要：高级持续性威胁（APT）给企业、政府等组织带来沉重的损失。然而大多数检测方法没有同时考虑到APT攻击本质上的两个特性，即时间性和空间性。被入侵主机的行为模式与被入侵之前相比会产生一系列时序性的异常。在空间性方面，受损主机往往会继续渗透其他主机。因此，提出一种基于时空特性检测APT受损主机的方法。该方法针对APT攻击中必不可少的身份验证行为进行检测，构建主机认证图，从图中提取特征，利用LSTM学习主机的时序性特征，建立主机关联图，利用GAT提取主机间的空间特征。该方法利用神经网络提取特征，无须人工的特征选择。该方法在公共数据LANL上进行实验，F1得分达到了0.979。

关键词：高级持续性威胁,时空性分析,身份验证,神经网络,

基金资助：国家自然科学基金资助项目(62072208,61772229)；；