CN119420491A 一种基于特征增强社区检测的apt攻击发现方法 （浙江工业大学）

一种基于特征增强社区检测的APT攻击发现基于特征增强社区检测的APT攻击发现方法，包源图进行特征增强的社区检测来进行攻击社区22.根据权利要求1所述的基于特征增强社3.根据权利要求2所述的基于特征增强社区检测若两个三元组提取的事件特征分别记为事件u与事件v，则3timestamp含义为：事件u与事件v发生的时S_domain含义为：若事件u与事件v的发起者类型都S_socket含义为：若事件u与事件v的发起者类型都S_type含义为：若事件u与事件v的发起者类型都为套接O_pname含义为：若事件u与事件v的操作对象类型都为进程，其进程的进程名是否相O_domain含义为：若事件u与事件v的操作对象类型都为套接字，O_ip含义为：若事件u与事件v的操作对象类型都为套接字，其套接字O_socket含义为：若事件u与事件v的操作对象类型都为套接字，O_type含义为：若事件u与事件v的操作对象类型都为套接字4.根据权利要求2所述的基于特征增强社区检测的APT攻击通过逻辑回归算法得到一个权重向量使用特征关联向量与权重向量进行点乘作46.根据权利要求2所述的基于特征增强社区征关联向量和增强后的自环权重作为新的三元组的自环特征关联向量和自5[0002]APT攻击(AdvancedPersistentThreat，高级持续性威胁)是指某些组织对特定[0004]社区检测也常被用于攻击行为的聚合以及分类，依赖于节[0007]一种基于特征增强社区检测的APT攻击发现方法，所述基于特征增强社区检测的[0009]步骤2、将起源图分割为若干个子图，并为每个子图生成特征关联向量集与权重6[0023]作为优选，所述特征关联向量包括的属性有：Subjecttype、Objecttype、[0029]S_pid含义为：若事件u与事件v的发起者类型都为进程，则其进程的id号是否相7[0044]通过逻辑回归算法得到一个权重向量使用特征关联向量与权重向量进行点8征关联向量中第i位上值为1值为与0的向量[0054]步骤3_4_4、取步骤2_3中通过逻辑回归算法得到的权重向量根据特征关联向自环特征关联向量和增强后的自环权重作为新的三元组的自环特征关联向量和自环权9[0067]本实施例从每个三元组中提取事件特征，并与其他三元形成特征关联向量该向量中所有的属性的值(eq)都是0或1，形成的特征关联向量如下[0078]timestamp含义为：事件u与事件v发生的时间是否相近，若u.timestamp_[0087]事件e1与事件e2的发起者(Subject)类型相同，都为进程，且为同一个进程[0088]事件e1与事件e2的操作(Operator)类型不同，事件e1为下载，事件e2为上传[0090]事件e1下载类型(如可执行文件)与事件e2上传类型(如PDF文件)不同(O_type=关联向量为11011100000001回归算法找到一个权重向量使用特征关联向量与该向量进行点乘作为每两个三元组之高效处理的Louvain算法进行社区检测并对其进行改进，使其在每一次迭代中都进行特征表示所有与三元组j相关的特征关联向量所对应的权重之和。Aij表示三元组i和三元组j之形成一个增强后的自环特征关联向量其中，使用所有社区内的特征关联向量通过按位分在同一社区的重要依赖属性，于是根据以上公式计算得到一个新的特征关联向量在特征关联向量和特征关联向量采用步骤2_3的权重计算公式计算社区增强后的自环参与划分。[0119]步骤4_2、进行规则匹配：社区划分好后，在每个社区中检查其作为subject与operator形成operator集合，并将subject集合中的每个subject与表2中具体操作的社区中攻击三元组的数量大于该社区中三元组总数的五分之一，则判定该社区为攻击社[0120]若一个社区有一个三元组的subject为命令行进程，operator为netshadvfirewallsetallprofilesstateoff，那么表示进行了文件操作中的一个关闭