CN119402300A 基于链路对抗识别的主机入侵检测对抗净化方法及装置 （浙江工业大学）

基于链路对抗识别的主机入侵检测对抗净一种基于链路对抗识别的主机入侵检测对抗净为链路样本集和对抗攻击链路样本集训练异常2基于正常运行情况下得到的第一异构溯源图样本集，对每一个第基于包含恶意行为和罕见行为的第二异构溯源图样本集，采用链路预对第二异构溯源图样本集进行对抗扰动，并根据对抗扰动结果生基于恶意行为链路样本集、罕见行为链路样本集和对抗攻击链路样针对待净化的异构溯源图，采用链路预测模型和异常链路分类模型2.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在3.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在二阶邻居采集：对于每个节点vjENstep-1，获取与节点vj直接连接的节点集合j=1,2,3,…,]Nrep-l，INsep-rl为节点集合Nstep=1的长度；4.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在取子图的邻接矩阵以及子图中节点对应的节点特征作为图卷积神经;3根据交叉熵损失函数的值对图卷积神经网络进行优化更新，直至训5.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在（1）取第二异构溯源图样本集中的第二异构溯源图样本转化为第二同构溯源图样本有节点的图，为第二同构溯源图样本中的节点路加入到集合中，将此时图所对应的邻接矩阵与图中6.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在所述对抗扰动结果为对抗扰动后的第二异构溯源图样本集SG'，对比原始的第二异构溯源图样本集SG和对抗扰动后的第二异构溯源图样本集SG'，得到存在于对抗扰动后的7.根据权利要求1所述的基于链路对抗识别的主机入侵检测对抗净化方法，其特征在将恶意行为链路样本集、罕见行为链路样本集和对抗攻击链路样本集基于第二异构溯源图样本集，取分类训练样本集中每条链路的起始节点和目标节点，8.一种基于链路对抗识别的主机入侵检测对抗净化装要求7中任意一项所述基于链路对抗识别的主机入侵检测对4[0005]本发明的目的在于提供一种基于链路对抗识别的主机入侵检测对抗净化方法及5j=1,2,3,…,]Nrep-l，INsep-rl为节点集合Nstep=1的长度；[0020]取子图的邻接矩阵以及子图中节点对应的节点特征作为；[0024]作为优选，所述采用链路预测模型识别第二异构溯源图样本集中的所有异常链只有节点的图Gfm。'=(v%mp,Em。)，为第二同构溯源图样本中的节6将链路加入到集合中，将此时图所对应的邻接矩阵与图[0030]所述对抗扰动结果为对抗扰动后的第二异构溯源图样本集SG'，对比原始的第二异构溯源图样本集SG和对抗扰动后的第二异构溯源图样本集SG'，得到存在于对抗扰动后的第二异构溯源图样本集SG'中，且不存在于原始的第二异构溯源图样本集SG中的链[0036]本发明提供的一种基于链路对抗识别的主机入侵检测对抗净化方法及装置，首[0037]图1为本发明的一种基于链路对抗识别的主机入侵检测对抗净化方法在训练阶段[0038]图2为本发明的一种基于链路对抗识别的主机入侵检测对抗净化方法在测试或应7[0041]如图1所示，本实施例提供的一种基于链路对抗识别的主机入侵检测对抗净化方起源节点类型目标节点类型系统事件名称进程文件文件进程从文件载入进程进程套接字进程注册表进程进程[0047]本实施以K=7为例进行说明，如表2所示，节点的节点特征为一个7维向量8应用于传统的同构图上的链路预测算法。将第一异构溯源图样本Ger中的所有类型的节的值为f。[0053]步骤1.4.1、一阶邻居采集：获取与节点vi直接连接的节点集合Nstep=1，i=1,2,3,…,I，I为第一同构溯源图样本中的节点总数。j=1,2,3,…,]Nrep-l，INsrep-al为节点集合Nstep=1的长度。骤1.4得到子图集合ZG，对于每个子图G;EZG，以G=(V;,E)代表的邻接矩阵Ai与节[0057]predap=GCN(A;,Features;,(va,vp)),va,VEV；；9构溯源图样本，删除第二同构溯源图样本中所有的链路，得到一个只有节点的图Gfm。'=(v%mp,Em。)，为第二同构溯源图样本[0065]步骤2.1.1.2、在每个时间步中，随机选择一条,将链路加入到集合中，将此时图所对应的邻接矩阵与图中节点的节点特征输入到链路预测模型中，对此时集合中的机的入侵检测系统OSSEC等）对异常链路进行再检测，得到被判定为恶意的链路集合Linkmau，以及被判定为良性的链路集合Linkpen。则将恶意的链路集合Linkmau作为恶意行为链路样本集，并为其中的每条链路添加恶意行为标签，将良性的链路集合Linkpen样本集SG进行对抗扰动，并比较对抗扰动后的溯源图样本集SG'与原始溯源图样本集SG的链路差异，得到存在SG'中而不存在SG中的链路集，记为对抗让扰动的链路集合Linkaav，则将集合Linkaav作为对抗攻击链路样本集，并为其中的每条链路添加对抗攻击标签。罕见行为链路样本集和对抗攻击链路样本集训练异常链路分类模型。具体为将集合Linkmau、Linkpen和Linkaav进行拼接得到分类训练样本集Linkau，获取Linkau中每eoeoe,ELinkauLinkau[0071]如图2所示，本实施例提供的一种基于链路对抗识别的主机入侵检测