CN115883213B 基于連續時間動態異質圖神經網絡的apt檢測方法及系統 （南京南瑞信息通信科技有限公司）

號A,2021.06.11A,2019.07.23A,2020.10.02A,2020.10.20A,2021.03.19A,2021.04.06A,2022.01.21A,2022.10.11基于連續時間動態異質圖神經網絡的APT檢本發明公開了基于連續時間動態異質圖神經網絡的APT檢測方法和系統，包括選取指定時互事件的完整的上下文信息，容易識別惡意攻2選取指定時間段內的網絡交互事件數據，從所述網絡交互事件數據中提2.根據權利要求1所述的基于連續時間動態異質圖神經網{(src,e,dst,t,src_type,dst_type,edge_type,src_feats,dst_feats,edge_3.根據權利要求1所述的基于連續時間動態異質圖神經針對連續時間動態異質圖中每一個邊，均利用消息函數，根據利用聚合函數分別將本批次所有源節點和目標節點在各交互事件發生的時刻對應消在源節點和目標節點之間發生交互事件后更新節點在本批次各源節點和目標節點的根據各源節點和目標節點包含時間上下文信息的嵌入表示、源將邊的源節點包含時間上下文信息的嵌入表示和目標節點包含空間上下文信息的嵌4.根據權利要求3所述的基于連續時間動態異質圖神經網絡的APT3若同一個源節點在不同時間連接到同一個目標節點，則聚合函若同一個源節點在不同的時間連接到不同的節點目標，則5.根據權利要求1所述的基于連續時間動態異質圖神經6.根據權利要求1所述的基于連續時間動態異質圖神經網絡的;其中，j(r)是由所述連續時間動態異質圖模型輸出的t時刻第i個邊異常判定的結果，所述圖構建模塊，用于選取指定時間段內的網絡交互事件數據，從所所述網絡編碼器，用于將所述連續時間動態異質圖的各類型的邊轉所述網絡解碼器，用于對連續時間動態異質圖中各類型邊的嵌入表8.根據權利要求7所述的基于連續時間動態異質圖神經網絡9.根據權利要求7所述的基于連續時間動態異質圖神經網絡的所述第一聚合模塊，用于利用聚合函數分別將本批次所有源節點和目標4所述記憶更新模塊，用于在源節點和目標節點之間發生交互事件后所述記憶融合模塊，用于分別將各源節點和目標節點在本批次更新后的嵌入表示記所述注意力模塊，用于根據各源節點和目標節點包含時間上下文信息所述第二聚合模塊，用于根據各節點的注意力分數，聚合各源節點邊的類型得到各類型邊的包含時間和空間上下文信息的嵌10.根據權利要求9所述的基于連續時間動態異質圖神經網絡的APT檢測系統，其特征其中l為當前異質圖卷積層的層數；H(l_1)[src]表示源節點的第l_1異質圖卷積層的嵌為不同的節點類型分配一個獨立的節點的注意力權重矩陣為不同的邊類型分意力權重矩陣和邊的注意力權重矩陣w7.計算源節點的第d個注意力頭的注意力對所有m個頭的注意力分數進行拼接并進行歸一化，得到源節點與目標節點之間在當5為不同的節點類型分配一個獨立的節點的消息權重矩陣為不同的邊類型分配消息權重矩陣和對應邊的消息權重矩陣生成第d個注意力頭的消息向量表示為：對所有m個頭的消息向量進行拼接，得到源節點在當下第l異質圖卷積層的最終消息6[0001]本發明屬于網絡安全領域，具體涉及到基于連續時間動態異質圖神經網絡的APT力系統的網絡攻擊頻發。APT攻擊是具有高水平專業知識和豐富資源的組織利用復雜的攻等實體行為是否包含入侵行為。此類方法基于專家知識和經驗積累了大量行之有效的規方式對網絡中的主體和對象以及它們之間的關系建模，接著輸入GNN模型進行圖表示學習的方式不能完全表征計算機網絡的屬性，因為真實計算機網絡的交互事件通常在連續時間7中節點和邊的信息傳播過程中，對連續時間動態圖中承載的計算機網絡實體自身和實體間t,src_type,dst_type,edge_type,src_feats,ds源節點與目標節點發生交互事件的時刻；src_type,dst_type,edge_type分別為源節點的[0016]利用聚合函數分別將本批次所有源節點和目標節點在各交互事件發生的時刻對[0017]在源節點和目標節點之間發生交互事件后更新節點在本批次各源節點和目標節8[0020]將邊的源節點包含時間上下文信息的嵌入表示和目標節點包含空間上下文信息某個時間點某源節點和某目標節點之間邊的嵌入表示是否[0028]其中，是由所述連續時間動態異質圖模型輸出的t時刻第i個邊異常判定的[0029]第二方面，本發明提供了基于連續時間動態異質圖神經網絡的APT檢測系統，包事件數據中提取實體作為源節點和目標節點，提取源節點和目標節點之間交互事件作為[0032]所述網絡解碼器，用于對連續時間動態異質圖中各類型9[0039]所述注意力模塊，用于根據各源節點和目標節點包含時間上下文信息的嵌入表點包含時間上下文信息的嵌入表示和目標節點包含空間上下文信息的嵌入表示進行合并，根據邊的類型得到各類型邊的包含時間和空間上下文信息[0044]上一個異質圖卷積層的目標節點與邊的嵌入表示拼接生成dst向量，表示為：;[0045]將上一個異質圖卷積層的源節點與邊的嵌入表示拼接生成srce向量，表示為：;點的第l-1異質圖卷積層的嵌入表示；[0047]使用線性變換層K_linear_no射到第d個Key向量k"(sreo)和第d個Query向量；[0048]為不同的節點類型分配一個獨立的節點的注意力權重矩陣w,；為不同的邊類節點的注意力權重矩陣,T和邊的注意力權重矩陣w:T，計算源節點的第d個注意力頭；[0053]對所有m個頭的注意力分數進行拼接并進行歸一化，得到源節點與目標節點之間;換層V_linear_noded，將上一個異質圖卷積層的源節點與邊的嵌入表示拼接生成的srce向lt"el，進行線性映射；重矩陣和對應邊的消息權重矩陣生成第d個[0060]對所有m個頭的消息向量進行拼接，得到源節點在當下第異質圖卷積層的最終[0070]下面將結合附圖詳細說明基于連續時間動態異質圖神經網絡的APT檢測方法。如應的各類安全設備產生的海量異質歷史日志。例如，包括但不局限于系統日志數據[0074]步驟102：連續時間動態異質圖(Continuous一timeDynamicHeterogeneous[0091]3)格式化器（formatter）針對采樣得到的實體和相應的交互事件進行格式化處[0092]采用連續時間動態異質圖對計算機網絡中交互式關系進行建模。令src表示源節屬性和邊的屬性。因此，帶時間戳的交互事件日志定義為十元組(src,e,dst,t,src_type,dst_type,edge_type,src_feats,dst_feats,edge_feats)。相應地，連續時間異質動態圖（Continuous_timedynamicHeterogeneousGraph,CDHG）定義為該元組的集合{(src,e,dst,t,src_type,dst_type,edge_type,src_feats,dst_feats,edge_feats)}。這里主體為源節點src，客體為目標節點dst。例如，當用戶(User123)在時間t登錄PC個時間戳對應的操作：User123→logon@9am→PC456表示User123在上午9:00對PC456執行了logon登陸操作，這意味著員工早上剛剛在工作站打開計算機。以此類推，PC456→visit@10am→Website、Website→download@11am→File，表示PC456在上午10:00對某對該文件進行了寫操作；User123→logoff@8pm→PC456表示用戶User123在晚上8:00對為t時刻的節點的記憶；為融合歷史信息的節點j的嵌入表示；Aha'(src,e,dst)為源節點的第d個注意力頭的注意力分數；為邊的第l-1異質圖卷積層的嵌入表示；為源節點的第l-1異質圖卷積層的嵌入表示；k"(srcp)為第d個Key向量；[0106]⑨異常邊檢測：將由⑧獲得的邊的時間空間上下文嵌入表示輸入CDHGN解碼器并[0107]⑩輸入下一批次數據：將下一批次的原始數據向量化得兩個消息和消息，其中消息表示節點(連接著節點)的;[0115]其中dt表示時間間隔。源節點消息函數msgs和目標節點消息函數msga直接將情況。因此，當每個交互事件生成一條消息時，使用以下機制來進行聚合發生后進行更新。這里，mem是一個可學習的記憶更新函數，采用長短期記憶網絡(Long[0134]節點空間注意力網絡在空間維度上，為不同類型的節點和邊使用專門的參數矩[0138]在復雜的APT攻擊檢測任務中，為了更好地利用連接源節點和目標節點的邊所包含的信息，將邊的特征分別與Query和Key向量進行拼接擴展得到dste向量和srce向量。達式為，將上一個異質圖卷積層的源節點與邊生成[0144]使用線性變換層K_linear_noded和Q_linear_noded,將它們映射到第d個Key向量K"(sreo)和Query向量；[0145]為不同的節點類型分配一個獨立的節點的注意力權重矩陣w,；為不同的邊類型分配一個獨立的邊的注意力權重矩陣w:rr；w,和；。變換層V_linear_noded，將上一個異質圖卷積層的源節點與邊的嵌入表示拼接生成的srlt"el，進行線性映射；;入到SoftMax層得到該邊屬于攻擊交互[0169]其中，是由所述連續時間動態異質圖模型輸出的t時刻第i個邊異常判定的[0172]實驗的基線方法包括Tiresias（Tiresias:Predictingsecurityeventsthroughdeeplearning[J].Proceedingsofthe2018ACMSIGSACConferenceonComputerandCommunicationsSecurity,2018）、Log2vec/Log2vec++（Log2vec:Aheterogeneousgraphembeddingbasedapproachfordetectingcyberthreatswithinenterprise[J].Proceedingsofthe2019ACMSIGSACConferenceonunsupervisedmultidetectorapproachforidentifyingmaliciouslateralmovement[C]//2017IEEE36thSymposiumonReliableDistributedSystems(SRDS).IEEE,theuseofhiddenmarkovmodels[C]//Proceedingsofthe8thACMCCSInternationalworkshoponmanaginginsidersecuritythreats.2016:47_56）、StreamSpot（Fastmemory_efficientanomalydetectioninstreamingheterogeneousgraphs[C]//Proceedingsofthe22ndACMSIGKDDInternationalConferenceonKnowledge（Arefinedshieldforcomplexmulti_stepattackdetectionbasedontemporal[0174]Log2vec是一種無監督方法，可將惡意活動和良性活動分成不同的集群并識別惡[0182]實驗運行在IntelCorei92.8GHz32GBRAM的PC主機上，操作系統為Windows10互事件數據集（Cybersecuritydatasourcesfordynamicnetworkresearch[M]//DynamicNetworksandCyber_Security.[S.l.]:WorldScientific,2016:37_65另一個是人工智能生成的數據集_CERT內部威脅測試數據集（Bridgingthegap:Apragmaticapproachtogeneratinginsiderthreatdata[C]//2013IEEESecurity[0185]LANL數據集代表從該公司內部計算機網絡中的五個來源（authentication,據集由復雜的用戶模型生成，共包含五類日志文件，模擬了組織中所有員工的基于計算機件流量(emailtraffi