本技术公开了基于动态溯源图的异常检测方法及系统,属于网络异常检测领域,包括:构建溯源图,将各节点的节点特征和与该节点相连的边的特征拼接作为对应节点的状态特征向量;持续监测系统溯源信息并对溯源图进行动态更新;当生成新的边e<subgt;t</subgt;时,执行:将e<subgt;t</subgt;、围绕e<subgt;t</subgt;的图结构在t<supgt;‑</supgt;时刻的状态向量s<subgt;t</subgt;‑以及e<subgt;t</subgt;的生成时刻t输入图注意力网络,得到e<subgt;t</subgt;的嵌入向量z,并对e<subgt;t</subgt;的源、目的节点进行更新;将z输入解码器,预测e<subgt;t</subgt;的类型,得到预测向量P(e<subgt;t</subgt;);解码器包括依次连接长短期记忆网络和多个全连接层;计算P(e<subgt;t</subgt;)与e<subgt;t</subgt;的实际边类型向量之间的重构误差RE,若RE>Th,则判定存在异常,否则,判定不存在异常。本发明能够提高异常检测的检测精度和实时性。
背景技术
近年来,网络安全威胁的形势发生了重大变化,高级持续性威胁(APT)变得越来越复杂,越来越难以检测。APT是一种隐蔽的、持续的、自适应的网络攻击,旨在获得对网络的未经授权的访问,并在很长一段时间内不被发现。这些攻击通常针对高价值信息,并由资源丰富的对手精心策划。然而传统的基于规则的检测系统(IDS)和基于签名的方法难以跟上APT的动态和复杂性。
基于溯源的异常检测已经成为对抗APT的一种很有前途的方法,该方法往往先收集系统中的溯源信息,并将溯源信息转换为对应的溯源图,再通过对溯源图的进一步分析实现异常检测。
现有的基于溯源的异常检测方法更侧重于对已有的溯源信息进行检测,而无法实现动态的、持续的检测,此外,随着神经网络的不断发展,现有的基于溯源的异常检测方法多依赖于卷积神经网络、自编码器等神经网络结构实现相关的分析,而忽略了溯源信息内部的语义信息,在语义理解、检测精度、实时性等方面都有待进一步提高。
实现思路