计算机科学与探索

作者：何厚翰, 芦天亮, 张岚泽, 袁梦娇, 曾高俊

单位：中国人民公安大学 信息网络安全学院，北京 100038

关键词：溯源图,APT攻击检测,图注意力网络,边优化,图采样

基金：公安部科技计划项目（2023JSM09）；中央高校基本科研业务费专项资金（2023JKF01ZK08）。

考虑到高级持续性威胁（APT）的复杂特性，利用溯源图能够将系统事件以因果关系联系起来，现有研究尝试将溯源图技术应用于检测此类攻击及取证分析。针对溯源图规模爆炸、数据样本不均衡引起的过度平滑现象，以及系统事件类型过度多样化导致的关系型算法数据稀疏性问题，提出了一种多维度边优化溯源图改进的APT攻击检测方法。面向系统内核日志设计多模块化的前端解析方案，解决海量日志的溯源图建模问题，并对原有上下文语义缺失进行补全；通过边缩减优化策略的[K]阶子图采样方法关注与攻击活动相关的局部结构，将提取到的多维度边特征利用图嵌入技术学习并融合为边属性的嵌入表达；通过在图注意力网络（GAT）中引入多维度边属性与节点特征的注意力计算，并与节点间的注意力计算相融合以构建混合注意力机制。调参及消融实验结果表明，所提方法有效缩减了溯源图规模，同时具备较低的计算资源消耗与算法时间复杂度。对比实验结果验证了所提方法在数据不均衡及事件类型多样化背景下，模型的综合检测性能有较大提升，相比R-GCN等传统关系型算法，Precision、Recall和F1值分别提高5.70、4.35和5.08个百分点。

来源：2025年第6期

《计算机科学与探索》期刊编辑部

查看计算机科学与探索杂志2025年第6期