摘要
高级持续威胁（APT）对企业入侵检测提出了特别严峻的挑战，因为它们具有时间演化性、分布性，且在变化的网络环境下难以检测。传统的基于机器学习的入侵检测系统（IDS）通常依赖节点级特征，容易受到概念漂移、拓扑变化和严重类别不平衡的影响，可能在整体准确率较高的情况下忽视罕见但关键恶意活动。本研究提出了一种图感知深度强化学习（GADRL）框架，该框架将图神经网络（GNN）、双深度Q网络（DDQN）和优先经验回放（PER）相结合，以实现自适应APT检测。网络流量被建模为时序图，以学习通信模式和邻域交互的时空关系表示。这些表示随后提供给基于DDQN的威胁狩猎智能体，而PER则在训练过程中对高严重性和罕见攻击经验进行优先采样。该框架使用五份按时间顺序排列的企业网络流量快照进行评估，以考察其在不断演变的网络条件下的性能。在一份未见过的未来快照上，GADRL达到了100.00%的召回率，优于随机森林基线方法和一种与图无关的强化学习消融模型。召回率的提升伴随着误报数量的增加，表明这是一种有意为之的权衡策略，即优先考虑减少入侵漏报而非减少误报。总体而言，结果表明，将拓扑感知的图表示学习与优先级感知的强化学习相结合，可以提高在不断演变的网络条件下对持续变化APT的自适应检测能力。
