CGCLGAT-APT：一种基于对比自监督学习的面向网络APT检测的溯源图框架

《Computer Networks》：CGCLGAT-APT: A network-oriented provenance-graph framework for APT detection via contrastive self-supervised learning

　　在溯源图上无需负样本对即可检测APT。通过小波增强的图注意力网络学习多尺度特征，并配合自适应去噪。使用无参数协方差预测器对齐表征，实现稳定、快速的训练。在StreamSpot、Wget和DARPA E3数据集上取得优异结果，误报率低。支持分布式部署，采用本地编码与中心关联方式。高级持续性威胁（APT）是针对*网络系统*的隐蔽性强、破坏性高的网络攻击，攻击者通过长期维持对分布式主机的非授权访问来窃取敏感信息或干扰运营[1], [2]。近期报告显示APT活动显著增加，零日漏洞被大量成功利用[3], [4]。其不可预测的多阶段行为对政府、金融和关键基础设施等行业构成严重风险[5]。传统基于签名的入侵检测系统（IDS）依赖预定义规则，难以应对零日和演变中的威胁[6]。监督机器学习虽能提高标注数据上的准确率[7], [8]，但在动态的企业和云网络中进行大规模标注不切实际[9]。在实践中，许多系统还会产生可观的计算开销、检测延迟和较高的误报率，阻碍了在分布式主机和链路上的规模化部署。为应对这些挑战，数据溯源技术提供了一种有前景的替代方案[10], [11], [12], [13], [14]。与原始审计日志相比，溯源图编码了实体（进程、文件、套接字）之间的因果关系和时间依赖关系，实现了丰富的上下文分析和多阶段行为的*全网关联*。这催生了一系列基于溯源的APT检测方法。代表性方法包括ThreaTrace，它在不依赖大量先验知识的情况下对溯源图应用GraphSAGE，但将异构交互视为统一处理[15]；ShadeWatcher，将检测重构为推荐问题，但计算成本更高[16]；以及MAGIC，它重构了被遮蔽的拓扑/特征，但主要依赖节点类型作为重构目标[17]。这些方法展示了语义保真度、可扩展性和计算之间的权衡，并激发了在保留丰富上下文的同时能在网络环境中部署的设计需求。最近，SGCL [18]用非参数预测器替代了MLP预测器，将表征隐式映射到不同特征方向，缓解了塌缩问题，并消除了可学习的预测器参数，从而实现更快、更稳定的收敛。受此启发，我们提出了CGCLGAT-APT，一个面向网络环境的基于溯源的APT检测的对比自监督框架。编码器采用基于小波的多尺度去噪增强图注意力网络[19], [20]来捕获局部和全局行为。无参数的基于协方差的预测器在无负样本对的情况下对齐当前和前一表征，在降低复杂度的同时提高了稳定性。单视图迭代目标鼓励表征连续性和实例级去相关，设计天然支持分布式部署，即主机执行本地编码并共享紧凑嵌入以实现中心关联。本文的主要贡献如下：1. 面向网络的框架。 我们设计了CGCLGAT-APT，一个面向网络环境的基于溯源的对比自监督框架，将增强GAT编码器与无参数协方差预测器结合，避免使用负样本对并降低复杂度。2. 小波增强GAT。 我们将基于小波的多尺度去噪和自适应特征平滑集成到GAT中，以提高对噪声日志的鲁棒性和对未知攻击的泛化能力。3. 实验验证： 在多个数据集上，CGCLGAT-APT将精确率/召回率/F1分别提高了最多72%/34%/62%，并将误报率降低了最多15%。本文其余部分组织如下。第2节综述了基于溯源的APT检测和对比学习。第3节介绍了系统模型和方法概述。第4节详细阐述了CGCLGAT-APT框架。第5节报告了实验评估和网络级分析。第6节讨论了部署考虑因素和局限性。第7节总结全文。构建溯源图需要从审计日志或其他来源中提取攻击相关数据。基于规则的检测方法通过生成预定义规则并将其与溯源图进行匹配来识别潜在攻击。例如，Milajerdi等人[21]提出了HOLMES，一个多层次APT检测框架，将实体行为映射到ATT&CK矩阵并生成高级事件图来识别入侵。然而，HOLMES在完整图上运行，可能会……近年来，基于图的 数据分析技术受到了广泛关注。溯源图是有向异质图，其中节点代表系统实体，边编码基于事件的关系（表1、图1）。图2展示了一次来自DARPA E3的真实世界APT攻击。CGCLGAT-APT的设计如图3所示。CGCLGAT-APT包含以下关键组件：1. 小波增强GAT编码器。 一种基于GAT的编码器，配合轻量级的小波去噪捕获……本节详细介绍了CGCLGAT-APT：一种无负样本的对比自监督学习方法，与改进的GAT自编码器集成。我们通过引入小波变换和自适应去噪机制来增强传统GAT架构，以在溯源图上检测APT。本节中使用的符号定义见表3。CGCLGAT-APT的性能在多个数据集上进行了评估，包括StreamSpot [32]、Unicorn Wget [33]和DARPA E3 [34]，仅使用良性样本进行训练。StreamSpot和Unicorn数据集由受控环境中模拟的批量审计日志组成。具体而言，StreamSpot数据集包含600个批量审计日志，其中5个模拟良性用户行为，1个模拟驱动下载攻击。Unicorn数据集包含125个良性活动日志和25个攻击日志，……优势与部署视角。 CGCLGAT-APT将基于溯源的表征学习与对比、无参数预测器相结合，取得了具有竞争力的准确率和较低的误报率。该设计面向部署：终端执行本地溯源编码，将紧凑嵌入或告警导出到中央收集器进行跨主机关联。这避免了原始日志的聚合，减少了带宽消耗，并适合分布式网络中的常见SOC管道。本文提出了CGCLGAT-APT，一种基于溯源图的APT检测框架，采用对比自监督学习。通过将小波增强GAT与自适应去噪机制和无参数协方差预测器相结合，该方法在无需负样本对的情况下学习多尺度表征。该设计面向网络：终端执行本地溯源编码并将紧凑嵌入或告警导出到中央收集器进行跨主机关联，从而保持……Gang Xu：写作–审阅与编辑，监督，获取资金，概念化。Yachao Chang：写作–审阅与编辑，写作–初稿，可视化，验证，监督，软件，方法论，调查，形式化分析，数据整理，概念化。Bowen Tian：验证，调查。Xin Liu：写作–审阅与编辑，监督，获取资金。Xiu-Bo Chen：写作–审阅与编辑，监督。Yuling Chen：写作–审阅与编辑，……本工作得到了国家自然科学基金（项目编号72293583、72293580、62441212）的资助，以及北京邮电大学网络与交换技术国家重点实验室开放基金（项目编号SKLNST-2024-1-06）和2025年内蒙古自治区自然科学基金重大项目（2025ZD008）的支持。作者声明不存在已知的竞争性经济利益或个人关系，这些关系可能影响本文所报告的工作。我们感谢DARPA透明计算E3数据集的维护者以及支持我们实现和实验的开源社区。Gang Xu|Yachao Chang|Bowen Tian|Xin Liu|Xiu-Bo Chen|Yuling Chen|Zongpeng Li