APT-CGSV：基于对比GNN与语义验证的APT检测方法

《IEEE Access》：APT-CGSV: APT Detection via Contrastive GNNs and Semantic Validation

　　

摘要：

高级持久威胁不断采用“利用现有系统资源”的技术，这使得传统的基于特征的检测方法失效。虽然利用系统来源图进行基于查询的威胁检测能够提供重要的行为上下文，但现有的方法，尤其是基于图神经网络的方法，存在结构模仿的严重缺陷，即良性的管理任务在拓扑结构上可能与恶意攻击相似。大型语言模型具备解决这种模糊性所需的深度语义推理能力，但将其应用于原始企业日志时，会受到高延迟、有限上下文以及数据隐私限制的制约。在本文中，我们提出了一种新的神经符号框架，通过高效的两阶段级联架构来弥补这一缺陷。首先，一种具有边特征的自监督对比图同构网络（GINE）充当高召回率的结构过滤器。该编码器仅在24,000个子图的精选数据集上进行训练，这一规模远小于现有基于监督学习的方法所使用的数据集，但它能够学习出对图噪声具有强抵抗力的表示形式，并在我们精心设计的测试集中成功消除了87%到99%以上的良性结构模仿案例。其次，经过筛选后的候选集由一个本地化的LLM处理，该LLM利用确定性特征匹配和受限的思维链行为匹配来进行语义推理。通过在DARPA TC3和OpTC数据集的测试集中，对多种操作系统（Windows、Linux、FreeBSD）进行评估，我们的框架在精确度和F1分数方面均优于现有的基准系统。通过结合对比图神经网络的数据效率与本地化大型语言模型的语义深度，我们提供了一种可扩展、高精度且高效的威胁检测解决方案。