基于多粒度语义压缩与元路径采样的异构溯源图APT攻击检测方法

《Information》：Facial Expression Recognition Integrating Multi-Stage Feature Sparse Constraints and Key Region Graph Learning Guanghui Xu, Yan Hong, Wanli Zhao, Zhongjie Mao, Duantengchuan Li and Yue Li

　　

摘要——针对大规模异构溯源图(Provenance Graph)中高级持续性威胁(Advanced Persistent Threat, APT)攻击模式隐蔽、传统检测方法难以兼顾语义丰富性与计算效率的问题，研究人员提出了一种融合多粒度语义压缩(Multi-Granularity Semantic Compression, MGS Compression)与基于λ控制的线性渐进元路径采样剪枝搜索(Linear Progressive Meta-Path Sampling with Pruning Search, LMSPS)的异构注意力网络(Heterogeneous Attention Network, HAN)检测方法。该方法首先通过MGS压缩对节点邻域进行语义偏移评估以降低图规模；随后采用LMSPS策略从广度优先搜索(Breadth-First Search, BFS)生成的候选集中按可衰减比例λ动态采样并加权筛选Top?M高语义权重元路径，将指数级枚举降为O(|V|·L·f·M)的线性复杂度；最终将筛选出的元路径输入HAN进行节点级与语义级聚合以识别异常。实验表明该方法在保持较高检测精度的同时显著降低了计算开销，适用于大规模溯源数据实时APT攻击检测。

本文发表于《Information》(MDPI, 2026)。研究背景方面，现有溯源图(Provenance Graph)上的APT攻击检测方法多面临两难困境：基于规则的方法无法捕捉复杂隐蔽攻击模式，而基于全图深度学习方法因元路径(Meta-path)空间随关系类型数|R|和长度L呈指数级爆炸(|R|^L)导致计算不可承受，且粗暴截断会丢失关键语义信息。此外，异构信息网络(Heterogeneous Information Network, HIN)中不同节点与边类型蕴含的细粒度语义未被充分利用。因此，研究人员开展了融合多粒度语义压缩(MGS Compression)、线性渐进元路径采样与剪枝搜索(LMSPS)及异构注意力网络(HAN)的APT攻击检测框架研究，结论表明该方案可在线性时间复杂度内高效筛选语义富集的元路径并准确检测攻击行为，对大规模系统溯源取证具有重要实用意义。

主要关键技术方法：

研究人员以系统调用级溯源图（节点类型含进程(Process)、文件(File)、网络套接字(Socket)，边类型含读写(read/write)、执行(exec)、网络通信(net)等）为输入样本。(1) MGS压缩：遍历各节点及其邻居，计算语义偏移并压缩冗余邻接信息，时间复杂度O(|V|·?d?)，空间复杂度O(|V|+|E|)；(2) LMSPS搜索：以BFS深度限L=5生成初始候选元路径集S_C（基数≈|R|^L多项式增长），每轮按C=?λ(K-V)+V?确定保留数（λ∈[0,1]线性衰减），均匀无放回采样M条路径并计算带温度τ的Softmax权重q'_k∝exp((α_k+u_k)/τ)，经若干迭代收敛至Top?M高权重建模路径；(3) 攻击检测模块：将筛选后的元路径按类型分组，输入HAN进行节点级聚合h_i^(k+1)=σ(W·h_i^(k)+Σ_j∈N(vi)a_ijh_j^(k))与语义级（按节点类型t）聚合，最终通过分类层判定正常/攻击节点。

研究结果

4.3. Meta-Path Sampling with Progressive Pruning（基于渐进剪枝的元路径采样）

研究人员通过BFS(L=5)生成初始候选集避免指数爆炸，设计搜索空间大小C=?λ(K-V)+V?由λ控制并从1衰减至0实现训练期由粗到精筛选。每轮从保留集S_C中均匀无放回抽取M条元路径，按架构分数α_k加探索扰动u_k经Softmax计算路径强度q'_k，前向传播仅激活采样M条路径对应参数（公式Z=MLP(Σ_k∈Sq'_k·MLP_k(X_k))），使搜索代价取决于M而非全空间K。复杂度分析表明MGS压缩为O(|V|·?d?)，LMSPS每轮迭代O(M·L·f)，整体O(|V|·L·f·M)，较暴力枚举O(|R|^L)大幅降低，证明该方法具线性可扩展性。

4.4. Attack Detection Module（攻击检测模块）

基于LMSPS输出的语义优化元路径，研究人员采用HAN[22]进行节点表示学习。节点级聚合公式如式(4)，W为可学习权重矩阵，a_ij为节点i到j的注意力权重，σ为激活函数。语义级聚合按不同节点类型t分别对各类型邻居N_t(v_i)做加权求和再汇总，以捕获多类型节点异质语义。最终节点嵌入送入全连接层与softmax分类器区分正常行为与APT攻击模式（如隐蔽提权、非常规文件注入、C2通信链等）。模块直接继承元路径筛选结果，确保关键攻击模式对应的结构特征不被剪枝丢弃。

讨论与结论

研究人员指出，所提框架通过MGS压缩消除图冗余，通过LMSPS将元路径搜索从指数级降至与图规模和路径长度成线性关系（O(|V|·L·f·M)，M?|R|^L），解决了异构溯源图上APT检测的计算瓶颈与语义丢失矛盾。HAN充分利用筛选后元路径的多粒度语义进行异质节点聚合，提升了隐蔽攻击模式的判别力。实验验证该方法在公开溯源图数据集上优于基线规则方法与全图GNN方法，在检测率与误报率间取得良好平衡且支持大规模数据实时处理。综上所述，多粒度语义压缩结合渐进元路径采样剪枝与异构注意力网络可有效实现异构溯源图中APT攻击的高效语义感知检测，为系统安全取证提供了一种可扩展的新思路。