CN119449445A 基于动态溯源图的异常检测方法及系统 （华中科技大学）

本发明公开了基于动态溯源图的异常检测t的图结构在t_时刻的状态向量st_以及et的生成时刻t输入图注意力网络，得到et的嵌入向量z，并对et的接长短期记忆网络和多个全连接层；计算P(et)2收集系统溯源信息后将其转化为溯源图，对于所述溯源t的图结构在t_时刻的状态向量s-以及边et的生成时刻t输入图所述解码器包括依次连接长短期记忆网络和多个3.如权利要求1或2所述的基于动态溯源图将边et、围绕边et的源节点vsrc的图结构在t_时刻的状态向量输入门控神经网t的源节点vsrc的状态特征向量进行更新；_t的目的节点vdst的图结构在t时刻的状态向量输入门控神经网t的目的节点vdst的状态特征向量进行更新。_4.如权利要求1或2所述的基于动态溯源图的异常检测方法对于每一个子串，利用第一散列函数h将子串中的各个字符映射到子串特征的相应维5.如权利要求1或2所述的基于动态溯源图的分别获取节点v的各入边的边类型向量，并依据边类型向量将各入边映射为分别获取节点v的各出边的边类型向量，并依据边类型向量将各出边映射为Ne～2Ne_1将节点v的入边和出边映射所得的整数按顺序拼接，得到与节点v相连的边的特征Ψ3e表示边类型总数。~5任一项所述的基于动态溯源图的异常检测方法。4丰富的对手精心策划。然而传统的基于规则的检测系统(IDS)和基于签名的方法难以跟上[0003]基于溯源的异常检测已经成为对抗APT的一种很有前途的方法，该方法往往先收[0008]持续监测系统溯源信息并对溯源图进行动态更新；当溯源图中生成新的边et时，____5t的源节点vsrc的状态特征向量进行更新；t的目的节点vdst的状态特征向量进行更新。[0021]对于每一个子串，利用第一散列函数h将子串中的各个字符映射到子串特征的相[0024]分别获取节点v的各入边的边类型向量，并依据边类型向量将各入边映射为0~[0025]分别获取节点v的各出边的边类型向量，并依据边类型向量将各出边映射为Ne~[0034](1)本发明在建立初始的溯源图并生成溯源图中各节点的初始状态特征向量后，6种节点/边类型的场景中具有更强的表现力；进一步利用长短期记忆网络和连接层根据新[0036](3)在本发明的优选方案中，利用门控神经网络对新边的源节点和目的节点的状[0038](5)在本发明的优选方案中，通过将节点的各个入边和出边依据边类型映射为整[0041]图3为本发明实施例提供的节点和边在时序数据库中的数据结构示意图；其中，7[0056]持续监测系统溯源信息并对溯源图进行动态更新；当溯源图中生成新的边et时，8[0058]t_时刻表示边et的生成时刻的前一时刻，图结构在t_时刻的状态向量由该图结构邻居节点在t_时刻的状态特征向量经图卷积[0061]步骤S3：计算预测向量P(et)与边et的实际边类型向量之间的重构[0064]本实施例构建溯源图后，会将溯源图存储于时序数据库timescaledb的分布式超源节点的哈希ID对应nodeid中节点的hash_id，src_index_id对应nodeid中节点的index_id。同理，dst_node是目的节点的hash_id，dst_node_index是目的节点的index_id；[0065]时序数据库timescaledb的分布式超表在存储时序数据时，将大量的数据分散在[0069]对于每一个子串，利用第一散列函数h将子串中的各个字符映射到子串特征的相9应确定，以确保划分所得的各个子串均具有相应的物理含义。以节点v的属性套接字[0077]分别获取节点v的各入边的边类型向量，并依据边类型向量将各入边映射为0~[0078]分别获取节点v的各出边的边类型向量，并依据边类型向量将各出边映射为Ne~的实施方式，本实施例具体利用门控神经网络(GRU)实现节点状态特征向量的更新，相应用长短期记忆网络和两个全连接层依次相连构成的解码器依据新边的嵌入向量预测边的中自适应地捕捉不同节点之间的重要关系，这使得模型在处理有多种节点/边类型的场景际边类型向量的重构误差反映了新边偏离正常行为的程度，良性的边的重构误差会比较解码器输出的边类型预测向量与实际边类型向量之间的重构误差为目标，对编码器_解码可读存储介