基于样本特征强化的APT攻击多阶段检测方法

• Published in: 通信学报 Vol. 43; no. 12; pp. 66 - 76
• Main Authors: 谢丽霞, 李雪鸥, 杨宏宇, 张良, 成翔
• Format: Journal Article
• Language: Chinese
• Published: 中国民航大学安全科学与工程学院,天津 300300%亚利桑那大学信息学院,美国图森 AZ85721%扬州大学信息工程学院,江苏扬州 225127 2022; 江苏省知识管理与智能服务工程研究中心,江苏扬州 225127; 中国民航大学计算机科学与技术学院,天津 300300%中国民航大学计算机科学与技术学院,天津 300300
• Subjects: 多阶段流量特征; APT攻击检测; 样本特征强化; 多阶段感知注意力
• ISSN: 1000-436X
• DOI: 10.11959/j.issn.1000?436x.2022238

TP393; 针对高级持续性威胁(APT)攻击检测方法普遍缺乏对APT攻击多阶段流量特征多样性的感知,对持续时间较长的APT攻击序列检测效果不佳且难以检测处于不同攻击阶段的多类潜在APT攻击等不足,提出一种基于样本特征强化的APT攻击多阶段检测方法.首先,根据APT攻击特点,将恶意流量划分至不同攻击阶段并构建APT攻击标识序列.其次,通过序列生成对抗网络模拟生成APT攻击多个阶段的标识序列,增加不同阶段序列样本数量实现样本特征强化并提高多阶段样本特征的多样性.最后,提出一种多阶段检测网络模型,基于多阶段感知注意力机制对提取的多阶段流量特征与标识序列进行注意力计算,得到阶段特征向量,并作为辅助信息与标识序列进行拼接操作,增强检测模型对不同阶段感知能力并提高检测精度.实验结果表明,所提方法在2个基准数据集上均有良好的检测效果,对多类潜在APT攻击的检测效果优于其他模型.