面向APT时空行为的受损主机检测

摘要

高级持续性威胁(APT)给企业、政府等组织带来沉重的损失。然而大多数检测方法没有同时考虑到APT攻击本质上的两个特性,即时间性和空间性。被入侵主机的行为模式与被入侵之前相比会产生一系列时序性的异常。在空间性方面,受损主机往往会继续渗透其他主机。因此,提出一种基于时空特性检测APT受损主机的方法。该方法针对APT攻击中必不可少的身份验证行为进行检测,构建主机认证图,从图中提取特征,利用LSTM学习主机的时序性特征,建立主机关联图,利用GAT提取主机间的空间特征。该方法利用神经网络提取特征,无须人工的特征选择。该方法在公共数据LANL上进行实验,F_(1)得分达到了0.979。