基于因果追踪与增量对齐的图结构威胁狩猎系统Actminer研究

为应对高级持续性威胁(APT)检测中高误报率(FP)、高漏报率(FN)及效率低下等问题，浙江大学团队开发了基于因果追踪与增量对齐的威胁狩猎系统Actminer。该系统通过等效语义转移(EST)启发式搜索和攻击行为因果过滤机制，在DARPA-TC数据集上实现FP降低39.1%、FN清零，显著提升对抗性攻击防御能力，为APT攻击链精准捕获提供新范式。

　　

在网络安全领域，高级持续性威胁(APT)如同潜伏的"数字特工"，通过精心设计的攻击链长期窃取敏感数据。传统检测方法如基于规则或机器学习的系统面临三重困境：攻击者通过文件重命名等手段制造语义鸿沟(C1)，单点检测忽视攻击因果链导致误报(C2)，数据爆炸式增长拖累检测效率(C3)。这些问题使得攻击驻留时间从2022年的84分钟缩短至2023年的62分钟，安全防御面临严峻挑战。

浙江大学团队在《Knowledge-Based Systems》发表的研究中，创新性提出Actminer系统。该系统通过三大核心技术突破：基于等效语义转移(EST)的启发式搜索解决语义鸿沟，攻击行为因果过滤机制降低误报，增量更新的树结构设计提升处理持续APT攻击的效率。研究采用DARPA Engagement数据集验证，通过自动化CTI报告提取构建查询图，在动态对齐过程中实现攻击链精准重构。

【系统设计】
Actminer采用四层架构：1)数据采集层处理系统审计日志；2)查询图构建层从CTI提取攻击模式；3)因果对齐层通过EST和时序分析实现精准匹配；4)增量更新层采用树结构避免重复扫描。其中EST算法通过实体交互上下文语义融合，有效识别如/etc/passwd文件访问的恶意意图。

【评估结果】
在DARPA E3/E4数据集测试显示：1)检测效能方面，较POIROT降低39.1% FP且FN归零；2)对抗性攻击测试中，通过因果过滤有效抵抗路径混淆攻击；3)组件分析证实EST贡献率达68%的精度提升；4)效率测试显示增量更新使内存开销降低3.2倍；5)在良性数据集测试误报率仅0.7%。

研究结论表明，Actminer首次实现攻击链的端到端因果追踪，其创新性体现在：1)语义-时序双维度对齐机制；2)首次解决跨批次APT攻击检测难题；3)为威胁狩猎提供可解释性框架。该研究获国家自然科学基金(U22B2028等)支持，未来将探索CTI自动生成查询图技术，推动APT防御从"被动响应"向"主动狩猎"范式转变。