通过基于图的学习方法对网络模式进行序列分析，实现高级持续性威胁（APT）的检测

《Scientific Reports》：Advanced Persistent Threat detection through Sequential Analysis of Network patterns with Graph based Learning approach

　　

摘要

高级持续性威胁（APT）攻击由于其复杂的多阶段攻击模式而带来重大挑战，尤其是在快速发展的工业物联网（IIoT）环境中。APT的复杂性会干扰操作系统的功能，并对网络环境造成严重破坏。虽然已经部署了多种机器学习和深度学习模型来检测APT攻击模式，但这些模型往往无法捕捉到APT攻击的细微演变及其复杂的攻击过程。针对这一问题，本文提出了一种基于图学习的序列网络模式分析方法（SANGL），用于在IIoT环境中实现强大的APT攻击检测与防御。该方法包括三个阶段：(i) 使用PyPCA方法提取关键的APT攻击模式；(ii) 应用Motif超图方法，通过motif三重过程对APT攻击阶段之间的高阶关系进行聚类，该过程利用motif增强技术进行预训练，并通过注意力机制选择top-k个关键motif；(iii) 基于多目标梯度调节器（MoGraM）的优化图卷积网络，以增强对APT行为演变的检测能力，并准确建模APT攻击的阶段性转换。通过CICAPT IIoT、DAPT20、Unraveled和Edge IIoT等数据集验证了SANGL方法的优越性，并在准确性、精确度、检测率、F1分数、假阳性率（FPR）、注意力差异分数、阶段对比度分数以及阶段转换准确性等方面与现有最先进模型进行了比较。结果表明，所提出的方法显著提升了APT检测效率，增强了网络安全防护机制。