本技术属于网络安全和深度学习技术领域,公开了一种基于多源知识融合的APT攻击检测方法及系统,包括构建良性行为知识库和威胁情报知识库,根据良性行为知识库筛选起源图中的可疑节点和候选路径,根据威胁情报知识库得到输入大语言模型的线索,并根据大语言模型的输出形成异常集群,取平均罕见得分最高的异常集群重建攻击图。本发明有效减少误报和漏报,显著提升检测准确性。
背景技术
在当今复杂的网络环境中,高级持续威胁日益严峻,逐渐成为企业面临的主要安全挑战。为了有效应对这一挑战,端点检测和响应系统开始广泛应用。但是其存在的大量误报和漏报的问题,导致安全分析人员需要花费人力和时间去进行研判,这导致可能会错过最佳的响应事件。
为了解决这个问题,学术界开始探索基于内核级因果来源图的入侵检测系统。在研究过程中不断总结良性的应用行为特征,并构建知识库来辅助攻击检测。然而,现有的入侵检测系统仍面临着诸多挑战。一方面,基于规则的检测系统,高度依赖于预定义的规则库来识别入侵检测。由于规则库的有限性以及网络攻击手段的日新月异,导致可能会将正常的行为判定为攻击行为,从而产生误报。另一方面,基于异常的检测系统则通过建立正常行为的模型,将与模型不匹配的行为视为异常。然而,由于数据集的不完整性和模型的性能限制而难以区分真正的攻击行为。
此外,无论是基于规则还是基于异常的检测系统,都面临着知识孤岛的问题。单纯依赖单个知识源进行威胁检测往往难以应对未知的威胁和复杂的攻击手段。因此,如何有效地融合多源知识,提高威胁检测的准确性和效率,成为当前研究的难点和热点。
实现思路