基于图表示学习的内网横向移动检测：关键技术与实践探索

基于图表示学习的内网横向移动检测：关键技术与实践探索一、引言1.1研究背景与意义1.1.1内网安全现状在数字化快速发展的当下，企业、机构等组织的业务高度依赖于内部网络（内网）。内网承载着大量敏感信息，如客户数据、商业机密、财务报表等，是组织运营的关键基础设施。然而，随着网络攻击技术的不断演进，内网面临的安全威胁日益严峻。攻击者一旦突破外网防线进入内网，往往会发动横向移动攻击。他们利用系统漏洞、弱口令、窃取的凭证等，从已攻陷的主机横向扩散到其他主机，逐步扩大控制范围，最终实现窃取关键数据、破坏业务系统或长期潜伏的目的。据相关研究表明，在众多网络攻击事件中，攻击者投入约80%的时间和资源用于恶意横向移动，这凸显了横向移动攻击在整个攻击过程中的重要性以及对其进行有效检测的迫切性。例如，在一些知名的网络攻击事件中，攻击者通过横向移动攻击，从内网中的普通主机逐步渗透至核心服务器，窃取了大量敏感数据，给企业造成了巨大的经济损失和声誉损害。而且，攻击工具和技术不断更新迭代，从传统的暴力破解、漏洞利用工具，发展到如今更为隐蔽、复杂的高级持续性威胁（APT）工具，这些工具不再具有明显的特征，攻击者也不再遵循固定的攻击模式，使得检测和防御难度大幅增加。同时，攻击者获取用户证书后冒充正常用户活动，而管理员往往只关注失败的登录，忽视成功登录中的异常行为，这也为横向移动攻击提供了可乘之机。此外，内网日志数据量的剧增，也给高效检测算法的实现带来了挑战，传统检测方法误报率较高，难以满足实际需求。1.1.2图表示学习的引入图表示学习作为机器学习领域的重要研究方向，旨在将图结构数据中的节点和边映射到低维向量空间，同时保留图的结构信息和语义信息。在这个低维向量空间中，相似的节点或边在距离上更加接近，从而使得基于图的数据处理和分析变得更加高效和便捷。相较于传统的数据表示方法，图表示学习具有独特的优势，它能够更好地处理复杂的关系型数据，挖掘数据之间的潜在联系。在内网横向移动检测中引入图表示学习技术，为解决现有检测方法的困境带来了新的契机。内网中的主机、用户以及它们之间的连接关系等数据天然具有图结构特征，如主机之间的网络连接、用户对主机的访问关系等都可以构建成图。利用图表示学习技术，可以将这些复杂的图结构数据转化为低维向量表示，从而能够有效地提取内网中的正常和异常行为模式特征。通过对这些特征的学习和分析，建立精准的检测模型，能够更准确地识别出内网中的横向移动攻击行为，提高检测的准确性和效率，为内网安全防护提供强有力的支持。1.2研究目标与创新点1.2.1研究目标本研究旨在利用图表示学习技术，构建高效、准确的内网横向移动检测模型，实现对各类横向移动攻击行为的实时、精准检测。具体而言，通过对大量内网日志数据进行收集、整理和分析，将其转化为合适的图结构数据。运用先进的图表示学习算法，对图中的节点和边进行特征提取和向量化表示，挖掘正常和异常横向移动行为在图结构中的特征差异。在此基础上，结合机器学习分类算法，训练出能够准确区分正常与异常横向移动路径的检测模型。通过对实时内网数据的监测和分析，利用训练好的模型及时发现潜在的横向移动攻击行为，并输出可疑路径，为管理员提供及时的预警和决策支持，从而有效保护内网安全，降低因横向移动攻击带来的安全风险和损失。1.2.2创新点在模型构建方面，本研究创新性地融合多种图结构来全面刻画内网中的行为关系。针对内网用户的本地登录和远程登录行为，分别构建二分图和同构图，其中二分图用于表示用户与主机之间的本地登录关系，同构图用于刻画用户的远程登录行为及横向移动路径。通过这种多图结构融合的方式，能够更细致、全面地描述内网中的复杂行为模式，相比传统单一图结构模型，大大提高了模型对横向移动攻击行为的表示能力和检测精度。在特征提取环节，提出了一种基于路径熟悉度的多特征提取方法。通过计算路径上节点向量的多种相似性特征，如用户与用户向量的相似度、主机与主机向量的相似度以及源节点与目的节点之间的相似度等，来整体度量路径熟悉度，从而有效区分正常横向移动和异常横向移动路径。这种多特征融合的方式，充分利用了图中节点和路径的信息，相比传统单一特征提取方法，能够提供更丰富、更具判别性的特征，进一步提升了检测模型的性能。1.3研究方法与论文结构1.3.1研究方法本研究采用了多种研究方法，以确保研究的科学性和有效性。首先，进行了广泛的文献研究，全面梳理和分析了国内外关于内网安全、横向移动攻击检测以及图表示学习等领域的相关文献资料，深入了解该领域的研究现状、发展趋势以及存在的问题，为后续研究提供坚实的理论基础和研究思路。在模型构建和算法设计阶段，运用了理论分析和实验验证相结合的方法。通过对图表示学习算法、机器学习分类算法的理论研究，设计出适用于内网横向移动检测的模型架构和算法流程。同时，利用公开的内网安全数据集以及自行收集的实际内网日志数据进行实验，对模型的性能进行评估和优化，不断调整模型参数和算法策略，以提高模型的准确性、召回率等性能指标。此外，为了验证所提方法的有效性和优越性，还采用了对比实验的方法。将本研究提出的基于图表示学习的内网横向移动检测方法与传统的检测方法，如基于规则的检测方法、基于单一特征的机器学习检测方法等进行对比，从多个性能指标角度分析比较不同方法的优劣，从而充分证明本研究方法的先进性和实用性。1.3.2论文结构论文共分为六个章节，各章节内容紧密相连，层层递进。第一章为引言，主要阐述研究的背景、目的、意义以及创新点等，介绍了内网安全面临的严峻挑战以及图表示学习技术为内网横向移动检测带来的新机遇，引出了本研究的核心内容。第二章对相关理论和技术进行了详细的综述，包括内网安全的基本概念、横向移动攻击的原理和常见手段，以及图表示学习的基本原理、常用算法等，为后续研究提供了必要的理论知识储备。第三章详细描述了基于图表示学习的内网横向移动检测模型的设计与实现。包括数据预处理过程，将内网日志数据转化为二分图和同构图的方法；基于图表示学习的节点向量化方法以及路径特征提取算法；正常横向移动模型的构建和异常检测算法的设计等，全面展示了本研究的核心模型和技术实现细节。第四章是实验与结果分析部分，详细介绍了实验环境的搭建、数据集的选择和处理方法，以及实验方案的设计。通过对实验结果的详细分析，从多个性能指标角度评估了所提模型的性能，并与其他对比方法进行了比较，验证了本研究方法的有效性和优越性。第五章对研究成果进行了总结和展望，总结了本研究的主要工作和取得的成果，分析了研究中存在的不足之处，并对未来的研究方向提出了展望，为后续相关研究提供了参考和借鉴。第六章为参考文献，列出了论文中引用的所有参考文献，以便读者查阅和进一步研究。二、内网横向移动与图表示学习基础2.1内网横向移动概述2.1.1攻击原理与过程内网横向移动是攻击者在成功入侵内网中的一台主机后，以此为跳板，利用各种技术和手段，在内部网络中从已攻陷主机向其他主机进行渗透和攻击，逐步扩大控制范围，以获取更多权限和敏感信息的过程。其攻击原理基于内网中主机之间的信任关系、网络连接以及系统漏洞等因素。攻击者通常会先通过外部攻击手段，如网络钓鱼、漏洞利用等，突破内网的边界防护，进入一台普通主机。一旦控制了这台主机，攻击者就会开始收集内网信息，包括网络拓扑结构、主机列表、用户账号、开放端口、服务类型等。通过分析这些信息，攻击者可以确定潜在的目标主机，并寻找可利用的漏洞或薄弱点。例如，攻击者可以利用端口扫描工具，如Nmap，对内网中的主机进行扫描，获取主机开放的端口和运行的服务信息。在确定目标后，攻击者会利用各种技术手段实现横向移动。一种常见的方法是利用系统漏洞，如Windows系统的“永恒之蓝”漏洞（MS17-010）。该漏洞存在于Windows系统的SMB服务中，攻击者可以利用该漏洞在未打补丁的主机之间传播恶意代码，获取目标主机的控制权，从而实现横向移动。另一种常用手段是凭证窃取与利用。攻击者可以通过工具，如Mimikatz，从已攻陷主机的内存中提取用户的登录凭证（如哈希值），然后使用这些凭证在其他主机上进行身份验证，实现横向移动。例如，攻击者可以利用提取到的哈希值，通过哈希传递（Pass-the-Hash）技术，直接使用哈希值登录其他主机，而无需知道明文密码。2.1.2常见攻击手段哈希传递（Pass-the-Hash）：在Windows系统中，通常使用NTLM身份认证，该认证不使用明文口令，而是使用口令加密后的哈希值。如果攻击者获取了目标主机的账号哈希值（包括LMHash和NTLMHash），就能够在身份验证时模拟该用户，直接使用哈希值访问远程主机或服务，而无需提供明文密码。例如，攻击者使用Mimikatz工具从已控制主机的内存中提取哈希值，然后利用这些哈希值通过远程桌面连接（RDP）或其他支持NTLM认证的服务，登录到其他主机。票据传递（Pass-the-Ticket）：在Kerberos认证环境中，用户通过向Kerberos服务器进行身份验证获取票据（Ticket），然后使用票据访问受保护的资源。攻击者可以通过窃取用户的票据，如黄金票据（GoldenTicket）和白银票据（SilverTicket），来绕过正常的认证过程，直接访问目标主机或服务。黄金票据是利用Kerberos域控制器的密钥生成的，可以伪造任意用户的票据，具有极高的权限；白银票据则是利用特定服务账号的密钥生成的，用于访问特定的服务。漏洞利用：攻击者利用操作系统、应用程序或网络设备中存在的已知漏洞进行攻击。例如，除了前面提到的“永恒之蓝”漏洞外，还有Struts2框架的远程代码执行漏洞等。攻击者可以通过向存在漏洞的目标发送特制的请求，触发漏洞，从而在目标主机上执行恶意代码，获取控制权，进而实现横向移动。网络欺骗：ARP欺骗是攻击者发送虚假的ARP应答包，使内网主机将攻击者的MAC地址误认为是网关或其他主机的MAC地址，从而截获数据流量。攻击者可以借此监听、篡改数据，还能进一步实施中间人攻击。DNS欺骗则是攻击者篡改DNS服务器缓存或欺骗内网主机，使主机将特定域名解析到错误的IP地址，当用户访问合法网站时，会被引导至攻击者控制的恶意网站，进而遭受攻击。恶意软件传播：攻击者将木马病毒、勒索软件等恶意软件植入目标主机。木马可在后台运行，窃取主机上的敏感信息，并将这些信息发送给攻击者，攻击者还可通过木马远程控制主机，进行横向移动。勒索软件感染主机后对重要文件进行加密，向用户索要赎金以恢复数据，攻击者常利用横向渗透在内网多台主机传播勒索软件，扩大攻击范围和影响。2.1.3对企业网络的危害数据安全威胁：内网横向移动攻击的首要目标通常是窃取企业的敏感数据，如客户信息、商业机密、财务数据等。一旦攻击者成功获取这些数据，可能会将其用于商业间谍活动、出售给竞争对手或进行其他恶意用途，给企业带来巨大的经济损失。例如，在一些数据泄露事件中，攻击者通过横向移动攻击，从企业内网中窃取了大量客户的个人信息和交易记录，导致企业面临客户信任危机和法律诉讼。业务中断风险：攻击者在横向移动过程中，可能会传播恶意软件，如勒索病毒。当内网多台主机被感染后，重要文件被加密，企业内部的办公系统、生产系统等无法正常运行，导致业务中断。业务中断不仅会造成直接的经济损失，还可能影响企业的声誉，导致客户流失。比如，某企业遭受勒索软件攻击，其生产系统瘫痪数天，造成了数百万美元的经济损失，同时企业的品牌形象也受到了严重损害。权限失控风险：攻击者通过横向移动，可能会获取到企业内网中具有更高权限的主机或账户的访问权限，如域控制器或管理员账户。一旦攻击者控制了这些关键资源，就可以完全掌控内网，进行任意操作，如修改系统配置、删除数据、植入后门等，使企业的网络安全处于极度危险的境地。长期潜伏威胁：攻击者成功实施横向移动攻击后，可能会在内网中建立多个隐蔽的据点，长期潜伏下来。这些据点可以被用作跳板，进一步渗透到企业内网的其他安全区域，或者与外部攻击源进行通信，传输窃取到的数据或接收新的攻击指令。这种长期潜伏的威胁很难被发现，给企业网络安全带来了持续的风险。2.2图表示学习原理与方法2.2.1基本概念图表示学习，又被称为图嵌入（GraphEmbedding），是机器学习领域中的关键研究方向，其核心目的是将复杂的图结构数据转化为低维向量表示。在实际应用中，许多数据都可以自然地表示为图结构，例如社交网络中的用户关系、知识图谱中的实体关系以及本文所关注的内网中的主机和用户关系等。这些图结构数据包含了丰富的节点和边信息，然而，由于其复杂的结构和高维特性，直接对图数据进行分析和处理往往具有很大的难度。图表示学习旨在通过特定的算法和模型，将图中的每个节点映射为一个低维向量，同时保留图的结构信息和语义信息。在这个低维向量空间中，相似的节点或边在距离上更加接近，从而使得基于图的数据处理和分析变得更加高效和便捷。以社交网络为例，通过图表示学习，可以将每个用户表示为一个低维向量，向量之间的距离能够反映用户之间的相似度，例如兴趣爱好的相似程度、社交关系的紧密程度等。具体来说，图表示学习的过程可以看作是一个优化问题，其目标是寻找一个映射函数f:V\rightarrow\mathbb{R}^d，其中V是图中的节点集合，\mathbb{R}^d是d维向量空间（d通常远小于图的原始维度），使得映射后的向量能够尽可能地保留图中节点的结构和语义特征。在这个过程中，通常会定义一些损失函数，用于衡量映射后的向量与原始图结构之间的差异，通过最小化损失函数来求解映射函数f。2.2.2主要算法与模型DeepWalk：DeepWalk是一种基于随机游走的图表示学习算法。该算法的基本思想是通过在图上进行随机游走，生成一系列节点序列，然后将这些节点序列看作是自然语言处理中的句子，利用Skip-Gram模型来学习节点的向量表示。具体步骤如下：首先，从图中的每个节点出发，进行多次随机游走，生成多个固定长度的节点序列；然后，将这些节点序列输入到Skip-Gram模型中，该模型的目标是根据当前节点预测其周围的邻居节点，通过不断优化模型参数，使得模型能够准确地进行预测；最终，训练得到的模型参数就是节点的向量表示。DeepWalk算法的优点是简单高效，能够处理大规模的图数据，并且不需要预先知道图的全局结构信息。LINE：LINE（Large-scaleInformationNetworkEmbedding）是一种适用于大规模信息网络的图表示学习算法。它主要考虑了图中节点的一阶相似度和二阶相似度。一阶相似度是指两个节点之间直接相连的边的权重，如果两个节点之间有边相连，且边的权重大，则它们的一阶相似度高；二阶相似度是指两个节点的邻居节点的相似程度，如果两个节点的邻居节点相似，则它们的二阶相似度高。LINE算法通过定义两个目标函数，分别用于保留节点的一阶相似度和二阶相似度，然后通过优化这两个目标函数来学习节点的向量表示。LINE算法的优势在于能够有效地处理大规模稀疏图，并且在计算效率上有较大的提升。GraphSAGE：GraphSAGE（GraphSAmpleandaggreGatE）是一种基于采样和聚合的图神经网络模型，它可以学习归纳节点的表示，即能够对训练过程中未出现的节点进行表示学习。GraphSAGE的核心思想是通过聚合节点的邻居节点信息来生成节点的表示。具体来说，对于每个节点，首先从其邻居节点中进行采样，然后将采样得到的邻居节点的特征进行聚合（如平均聚合、最大池化聚合等），最后将聚合后的邻居特征与节点自身的特征进行融合，得到该节点的新表示。通过多层这样的操作，可以学习到节点在不同层次上的特征表示。GraphSAGE算法的优点是能够处理动态图数据，并且在节点分类、链接预测等任务上表现出良好的性能。2.2.3在网络安全领域的应用潜力异常检测：在内网安全中，正常的网络行为和用户操作通常具有一定的模式和规律，而横向移动攻击行为往往会打破这些模式，表现出异常特征。利用图表示学习技术，可以将内网中的主机、用户以及它们之间的连接关系构建成图，并将其转化为低维向量表示。通过对正常行为模式下的图向量进行学习，可以建立正常行为模型。当有新的网络行为数据输入时，将其对应的图向量与正常行为模型进行对比，如果发现差异较大，则可以判断为异常行为，从而检测出潜在的横向移动攻击。威胁情报分析：网络安全威胁情报包含了大量关于攻击者、攻击手段、恶意软件等信息，这些信息之间存在着复杂的关联关系，适合用图结构来表示。利用图表示学习技术，可以将威胁情报图转化为低维向量表示，从而能够更有效地挖掘威胁情报中的潜在信息，如发现新的攻击模式、关联不同的攻击事件等。例如，通过分析威胁情报图中节点的向量表示，可以发现一些看似孤立的攻击事件之间可能存在的潜在联系，为安全人员提供更全面的威胁情报分析结果。入侵检测：入侵检测系统需要及时准确地识别出网络中的入侵行为。将图表示学习应用于入侵检测领域，可以将网络流量数据构建成图，如将源IP、目的IP、端口号等作为节点，将网络连接作为边。通过学习正常网络流量图的特征表示，建立正常流量模型。当检测到新的网络流量时，将其对应的图向量与正常流量模型进行比较，如果发现异常，则可以判断为可能存在入侵行为。相比于传统的入侵检测方法，基于图表示学习的入侵检测方法能够更好地捕捉网络流量中的复杂关系和模式，提高检测的准确性和效率。三、基于图表示学习的检测模型构建3.1数据预处理与图结构构建3.1.1内网日志数据收集与清洗内网中蕴含着丰富信息的日志数据，是检测横向移动攻击的重要数据源，包括登录日志、操作日志、网络流量日志等。登录日志记录了用户登录系统的时间、IP地址、用户名等信息，操作日志则记录了用户在主机上执行的各种操作，如文件访问、命令执行等，网络流量日志记录了网络数据包的源IP、目的IP、端口号、流量大小等信息。为了全面收集这些日志数据，需要在内网中的关键服务器、网络设备以及终端主机上进行配置。对于Windows系统的服务器，可启用事件日志功能，通过组策略设置，将登录事件、系统事件、应用程序事件等相关日志记录进行集中收集。对于Linux系统，可收集auth.log或secure.log文件来获取登录相关信息，使用rsyslog工具将分散在各个主机上的日志集中采集到安全运维中心。在网络设备方面，如路由器、交换机等，可配置日志服务器地址，将设备的日志信息发送到指定的日志服务器进行存储和管理。收集到的原始日志数据往往存在噪声、错误、重复以及敏感信息等问题，这些问题会影响后续的数据分析和模型训练效果，因此需要进行清洗处理。首先，使用正则表达式等文本处理技术对日志数据进行解析，提取出关键信息，如从登录日志中提取出用户名、登录时间、登录IP等。然后，进行数据去重操作，去除重复的日志记录，减少数据量，提高处理效率。对于存在错误格式或不完整的日志记录，可根据日志的上下文信息以及相关规则进行修复或删除。此外，为了保护用户隐私和企业敏感信息，还需要对日志数据中的敏感字段进行脱敏处理，如将用户名、IP地址等替换为匿名标识。3.1.2转化为图结构经过预处理后的内网日志数据，为了更好地利用图表示学习技术进行分析，需要将其转化为合适的图结构，主要构建二分图和同构图来分别表示不同类型的内网行为。构建表示本地登录行为的二分图。在这个二分图中，定义两类节点，分别为用户类节点和主机类节点。当一个用户登录一台主机时，就在对应的用户节点和主机节点之间建立一条边，这条边代表了用户到主机的本地登录关系。例如，用户user1登录主机host1，则在二分图中创建用户节点user1和主机节点host1，并在它们之间连接一条边。这种二分图结构能够清晰地展示用户与主机之间的本地登录关系，为后续分析用户在不同主机上的本地登录行为模式提供了基础。构建用于刻画远程登录行为及横向移动路径的同构图。在同构图中，每个节点代表一个登录实体，每个登录实体由一个用户和一个主机组成。例如，节点(user1,host1)表示用户user1在主机host1上的登录实体。同构图中的边代表从源登录实体转移到目的登录实体的有向连接关系。当用户user1从主机host1远程登录到主机host2时，就在同构图中创建从节点(user1,host1)到节点(user1,host2)的一条有向边。通过这种同构图结构，可以直观地描绘出用户的远程登录行为以及可能的横向移动路径，便于后续对横向移动行为进行建模和分析。3.2图表示学习算法选择与优化3.2.1算法对比与选择常见的图表示学习算法包括DeepWalk、LINE、GraphSAGE等，每种算法都有其特点和适用场景，在选择适用于内网横向移动检测的算法时，需要综合考虑多个因素。DeepWalk算法基于随机游走和Skip-Gram模型，通过在图上进行随机游走生成节点序列，然后利用Skip-Gram模型学习节点的向量表示。它的优点是简单高效，能够处理大规模的图数据，并且不需要预先知道图的全局结构信息。然而，DeepWalk算法只考虑了节点的局部邻居信息，对于图中节点之间的高阶关系捕捉能力较弱。LINE算法则考虑了图中节点的一阶相似度和二阶相似度，通过定义两个目标函数来分别保留这两种相似度，从而学习节点的向量表示。LINE算法能够有效地处理大规模稀疏图，并且在计算效率上有较大的提升。但是，LINE算法在处理复杂图结构时，对于节点之间的复杂关系表示能力有限。GraphSAGE是一种基于采样和聚合的图神经网络模型，它可以学习归纳节点的表示，能够对训练过程中未出现的节点进行表示学习。GraphSAGE通过聚合节点的邻居节点信息来生成节点的表示，能够更好地捕捉图中节点之间的复杂关系和结构信息。然而，GraphSAGE算法的计算复杂度相对较高，在处理大规模图数据时可能需要消耗较多的计算资源。综合考虑内网横向移动检测的需求，GraphSAGE算法由于其能够学习归纳节点表示，并且在捕捉图中复杂关系方面具有优势，更适合用于内网环境中对主机、用户及其之间复杂关系的建模和分析。内网中的横向移动行为涉及到多个主机和用户之间的复杂交互，GraphSAGE算法能够更好地挖掘这些关系中的潜在模式，从而为检测横向移动攻击提供更有力的支持。3.2.2针对内网环境的优化策略尽管GraphSAGE算法在图表示学习方面具有优势，但内网环境具有其独特的特点，如网络结构复杂、数据量庞大、实时性要求高等，为了使其更好地适应内网环境，需要对其进行一系列优化。在内网中，数据量通常非常庞大，直接使用GraphSAGE算法进行训练可能会导致计算资源的大量消耗和训练时间的增加。因此，采用基于重要性采样的邻居节点选择策略。传统的GraphSAGE算法在聚合邻居节点信息时，通常是随机采样固定数量的邻居节点。而在本优化策略中，根据节点的度（即节点连接的边的数量）以及节点在图中的位置重要性等因素，为每个节点计算一个重要性得分。在采样邻居节点时，优先选择重要性得分高的邻居节点，这样可以在减少采样数量的同时，尽可能保留图中的重要信息，提高算法的计算效率。内网中的网络结构和用户行为模式可能会随着时间发生变化，因此需要使模型具有动态更新的能力。采用增量学习的方法对GraphSAGE模型进行优化。当有新的日志数据到达时，不再重新训练整个模型，而是根据新数据中的图结构变化和节点信息，对模型进行局部更新。具体来说，对于新出现的节点和边，计算其邻居节点信息，并将其融入到已有的模型参数中。通过这种增量学习的方式，能够使模型及时适应内网环境的变化，提高检测的准确性和实时性。3.3检测模型架构设计3.3.1模型整体框架基于图表示学习的内网横向移动检测模型主要由数据预处理模块、图结构构建模块、图表示学习模块、路径特征提取模块以及异常检测模块组成。数据预处理模块负责收集内网中的各种日志数据，包括登录日志、操作日志、网络流量日志等，并对这些原始日志数据进行清洗、去重、脱敏等处理，去除噪声和错误数据，提取关键信息，为后续模块提供高质量的数据。图结构构建模块根据预处理后的数据，分别构建表示本地登录行为的二分图和刻画远程登录行为及横向移动路径的同构图。二分图用于展示用户与主机之间的本地登录关系，同构图则用于描绘用户的远程登录行为和可能的横向移动路径。图表示学习模块采用优化后的GraphSAGE算法，对构建好的二分图和同构图进行处理，将图中的节点转化为低维向量表示，同时保留图的结构信息和语义信息，以便后续进行特征提取和分析。路径特征提取模块在同构图上提取正常和异常的横向移动路径，并通过计算路径上节点向量的多种相似性特征，如用户与用户向量的相似度、主机与主机向量的相似度以及源节点与目的节点之间的相似度等，来整体度量路径熟悉度，从而得到每条路径的特征向量。异常检测模块利用包含正常和异常横向移动路径的数据集，训练构建正常横向移动模型，该模型可以采用单类支持向量机（One-ClassSVM）、孤立森林（IsolationForest）等算法。对于新收集的内网登录数据，提取新路径上每个节点的图表示学习得到的向量并计算路径特征，实时地将新生成的路径特征向量输入到训练好的模型中，判断其是否为异常的内网横向移动，并将可疑路径输出，通知管理员进行进一步处理。3.3.2各模块功能与协同工作机制数据预处理模块与图结构构建模块紧密协作。数据预处理模块将清洗和整理后的日志数据传递给图结构构建模块，图结构构建模块根据这些数据构建二分图和同构图。例如，数据预处理模块提取出登录日志中的用户登录信息，图结构构建模块根据这些信息在二分图中建立用户节点与主机节点之间的连接，在同构图中创建相应的登录实体节点和边。图结构构建模块为图表示学习模块提供输入。图表示学习模块接收构建好的二分图和同构图，利用GraphSAGE算法对图中的节点进行向量化表示。在这个过程中，图表示学习模块根据图的结构信息，通过聚合邻居节点的特征来生成每个节点的低维向量表示。图表示学习模块与路径特征提取模块相互配合。路径特征提取模块从图表示学习模块获取节点的向量表示，然后在同构图上提取横向移动路径，并计算路径上节点向量的相似度等特征，得到路径的特征向量。例如，路径特征提取模块根据图表示学习模块生成的用户和主机节点向量，计算路径上不同节点向量之间的余弦相似度，以此来度量路径熟悉度。路径特征提取模块将提取到的路径特征向量传递给异常检测模块。异常检测模块利用这些特征向量训练正常横向移动模型，并对新的路径特征向量进行分类判断。如果新路径的特征向量与正常横向移动模型中的特征差异较大，则判断该路径为异常横向移动路径，并输出可疑路径，通知管理员进行处理。同时，异常检测模块可以根据实际检测结果，反馈调整模型的参数和阈值，以提高检测的准确性。通过各模块之间的紧密协作和信息传递，基于图表示学习的内网横向移动检测模型能够有效地对内网中的横向移动行为进行检测和分析，及时发现潜在的安全威胁。四、关键技术实现与分析4.1节点特征提取与向量表示4.1.1提取节点属性特征对于内网中的主机节点，收集其系统类型、操作系统版本、安装的软件列表、开放端口信息、IP地址等属性。系统类型（如Windows、Linux）和操作系统版本能够反映主机的基本运行环境，不同版本的操作系统可能存在不同的安全漏洞和权限设置。安装的软件列表可以帮助判断主机的用途和可能存在的风险，例如安装了数据库管理软件的主机可能存储着敏感数据。开放端口信息则直接展示了主机对外提供的服务，通过分析开放端口，能够了解主机面临的网络攻击面。IP地址不仅用于标识主机在网络中的位置，还可以结合网络拓扑信息，分析主机与其他节点之间的连接关系。对于用户节点，获取用户名、用户角色、所属部门、登录时间、登录IP地址等属性。用户名和用户角色能够明确用户在组织中的身份和权限，管理员用户通常具有较高的权限，可能对更多主机和数据具有访问权限；普通用户的权限则相对受限。所属部门可以帮助分析用户的业务范围和数据访问需求，同一部门的用户可能对某些特定的数据和资源有共同的访问需求。登录时间和登录IP地址可以用于分析用户的登录行为模式，判断是否存在异常登录，如深夜登录或来自陌生IP地址的登录。4.1.2利用图表示学习生成向量在完成节点属性特征提取后，使用选定的GraphSAGE算法将这些特征转化为低维向量表示。GraphSAGE算法的核心步骤包括邻居节点采样和特征聚合。在邻居节点采样阶段，对于每个节点，根据其在图中的连接关系，从其邻居节点中按照一定的策略进行采样。例如，可以根据节点的度（连接的邻居节点数量）进行加权采样，度较高的邻居节点被采样的概率相对较大，这样能够保证采样到的邻居节点更具代表性。在特征聚合阶段，将采样得到的邻居节点的特征与当前节点自身的特征进行聚合操作。常用的聚合方式有平均聚合、最大池化聚合等。以平均聚合为例，将邻居节点的特征向量进行平均计算，得到一个聚合后的特征向量，再将其与当前节点自身的特征向量进行拼接或其他融合操作，从而生成当前节点的低维向量表示。通过多层这样的操作，能够逐步学习到节点在不同层次上的特征表示，最终得到的低维向量能够较好地保留节点的属性特征以及其在图中的结构信息，为后续的路径搜索和异常检测提供有效的数据基础。4.2路径搜索与特征提取4.2.1正常与异常横向移动路径搜索算法基于广度优先遍历（BFS）算法来搜索正常和异常的横向移动路径。以同构图为基础，从起始节点（例如一个已登录的用户-主机节点对）开始，将其加入队列。在每次循环中，从队列中取出一个节点，检查该节点是否为目标节点（例如具有高权限的主机节点）。如果是，则找到了一条路径，记录该路径。如果不是，则将该节点的所有未访问过的邻居节点加入队列，并标记为已访问。通过不断重复这个过程，直到队列为空，就可以遍历到从起始节点可达的所有节点，并找到所有可能的路径。为了区分正常和异常路径，可以结合历史数据和业务规则进行判断。例如，如果一条路径上的节点之间的访问关系与历史数据中频繁出现的正常访问模式相符，且符合业务规则（如同一部门的用户在正常工作时间内的访问），则认为该路径是正常路径；反之，如果路径上出现了异常的访问关系，如普通用户突然访问了敏感的管理系统主机，或者在非工作时间出现了大量的远程登录行为，则将该路径标记为异常路径。4.2.2路径相似性特征计算在获取到正常和异常横向移动路径后，计算路径上节点向量的多种相似性特征，以整体度量路径熟悉度。对于路径上的用户与用户向量，使用余弦相似度来计算它们之间的相似度。余弦相似度通过计算两个向量的夹角余弦值来衡量它们的相似程度，值越接近1，表示两个向量越相似。例如，对于路径上的两个用户节点user1和user2，其对应的向量分别为vec_user1和vec_user2，则它们的余弦相似度计算公式为：sim_{user-user}=\frac{\vec{user1}\cdot\vec{user2}}{\|\vec{user1}\|\|\vec{user2}\|}对于主机与主机向量，同样采用余弦相似度计算。主机向量包含了主机的各种属性特征，如系统类型、开放端口等，通过计算主机向量的相似度，可以衡量主机之间的相似程度，进而判断路径的熟悉度。对于源节点与目的节点之间的相似度，除了考虑向量相似度外，还可以结合路径的长度、路径上节点的类型变化等因素进行综合计算。例如，如果源节点和目的节点属于同一类型（如都是普通用户节点），且路径长度较短，同时路径上节点的类型变化较为稳定（如都是同一部门的用户与相关主机之间的访问），则源节点与目的节点之间的相似度较高，路径熟悉度也较高；反之，如果源节点和目的节点类型差异较大，路径长度过长或过短，且路径上节点类型变化异常，则相似度较低，路径熟悉度也较低。通过综合计算这些相似性特征，可以得到每条路径的特征向量，为后续的异常检测提供丰富的特征信息。4.3异常检测与分类4.3.1训练正常行为模型利用之前搜索到的正常横向移动路径数据来训练正常行为模型。选择单类支持向量机（One-ClassSVM）作为训练模型，它可以在只有一类数据（即正常路径数据）的情况下，学习数据的分布特征，构建一个能够描述正常行为模式的边界。在训练过程中，将正常路径的特征向量作为输入，单类支持向量机通过寻找一个最优的超平面，将正常路径数据与其他可能的异常数据分离开来。这个超平面的构建基于最大化正常数据点到超平面的距离，使得正常数据在超平面的一侧，而远离超平面的点则被认为是异常数据。通过不断调整超平面的参数，使得模型能够准确地描述正常行为模式。4.3.2实时检测与分类策略对于实时采集到的内网登录数据，提取新路径上每个节点的图表示学习得到的向量，并按照之前计算路径相似性特征的方法，计算新路径的特征向量。然后，将新生成的路径特征向量输入到训练好的正常行为模型（单类支持向量机）中。模型会根据学习到的正常行为模式，判断新路径是否属于正常行为。如果新路径的特征向量位于正常行为模型所定义的超平面内或附近，则认为该路径是正常的横向移动路径；如果新路径的特征向量远离超平面，则判断该路径为异常的横向移动路径。对于判断为异常的路径，进一步根据异常的类型和特征进行分类。例如，如果路径上出现了异常的用户权限提升行为，则将其分类为权限滥用类异常；如果路径上存在大量来自陌生IP地址的登录行为，则分类为外部入侵类异常。通过这样的实时检测和分类策略，能够及时发现内网中的横向移动攻击行为，并为管理员提供详细的异常信息，以便采取相应的安全措施。五、实验与案例分析5.1实验环境搭建5.1.1模拟内网环境配置为了全面、准确地评估基于图表示学习的内网横向移动检测模型的性能，精心搭建了一个模拟内网环境，该环境高度仿真真实企业内网的架构和运行模式。采用多台高性能服务器和计算机作为模拟内网中的主机，其中包括2台WindowsServer2019服务器，用于模拟企业核心业务服务器和域控制器；3台Windows10专业版计算机，代表企业员工的办公终端；2台Linux服务器，运行Ubuntu20.04操作系统，模拟企业内部的开源应用服务器和数据库服务器。这些主机通过千兆以太网交换机进行连接，构建成一个星型拓扑结构的内网网络，以确保主机之间能够实现高速、稳定的通信。为了使模拟内网环境更加真实，在内网中部署了常见的企业应用服务，如文件共享服务（通过WindowsServer的SMB服务和Linux的Samba服务实现）、邮件服务（采用Postfix和Dovecot搭建的邮件服务器）、Web服务（利用Nginx和Apache搭建的Web应用）以及数据库服务（部署MySQL和Oracle数据库）。同时，创建了多个不同权限的用户账号，包括管理员账号、普通员工账号和不同部门的专用账号等，模拟企业内部复杂的用户权限体系。此外，还配置了防火墙和入侵检测系统（IDS），但故意设置一些常见的安全漏洞和配置错误，如弱密码、未及时更新系统补丁等，以模拟真实内网中可能存在的安全隐患，为横向移动攻击提供条件。5.1.2数据集准备数据集的质量和多样性对模型的训练和评估至关重要。为此，收集了来自多个来源的真实或模拟的内网日志数据集，以确保能够全面涵盖内网中的各种正常和异常行为。从企业实际生产环境中收集了一段时间内的内网日志数据，包括登录日志、操作日志、网络流量日志等。这些日志数据详细记录了用户在主机上的各种操作行为，如文件访问、命令执行、网络连接等，以及主机之间的网络通信情况。同时，利用网络安全模拟工具，如Metasploit和CobaltStrike，模拟了多种常见的内网横向移动攻击场景，生成了相应的攻击日志数据。这些模拟攻击场景包括哈希传递攻击、票据传递攻击、漏洞利用攻击等，以补充真实数据集中可能缺失的一些攻击场景。对收集到的原始日志数据进行了一系列预处理操作，以提高数据的质量和可用性。使用日志解析工具，如Logstash，对原始日志进行解析，提取出关键信息，如时间戳、源IP、目的IP、用户名、操作类型等。然后，进行数据清洗，去除重复、错误和不完整的日志记录，并对敏感信息进行脱敏处理。最后，将预处理后的数据按照一定的格式进行整理，划分为训练集、验证集和测试集，其中训练集用于模型的训练，验证集用于调整模型参数和防止过拟合，测试集用于评估模型的最终性能。经过处理后，数据集包含了正常行为日志记录500,000条，异常行为日志记录100,000条，确保了数据集的规模和多样性，能够为模型的训练和评估提供充足的数据支持。5.2实验过程与结果分析5.2.1模型训练与参数调整在搭建好模拟内网环境和准备好数据集后，开始进行基于图表示学习的内网横向移动检测模型的训练与参数调整工作。将划分好的训练集输入到模型中，模型首先对数据进行预处理和图结构构建，将内网日志数据转化为二分图和同构图。然后，利用优化后的GraphSAGE算法对图中的节点进行向量化表示，通过多层邻居节点采样和特征聚合操作，学习节点的低维向量表示。在路径特征提取阶段，基于广度优先遍历算法搜索正常和异常的横向移动路径，并计算路径上节点向量的多种相似性特征，得到路径的特征向量。最后，将路径特征向量输入到异常检测模块，使用单类支持向量机（One-ClassSVM）进行训练，学习正常横向移动路径的特征模式，构建正常行为模型。在训练过程中，为了优化模型性能，对多个关键参数进行了调整。对于GraphSAGE算法中的邻居节点采样数量，分别尝试了5、10、15等不同的值，观察模型对图结构信息的学习效果。发现当采样数量为10时，模型能够在保留足够邻居信息的同时，避免计算量过大导致的训练效率降低。对于特征聚合方式，对比了平均聚合、最大池化聚合和加权聚合等方法，最终确定平均聚合在本实验中能够取得较好的性能表现。在单类支持向量机的训练中，调整惩罚参数C，分别设置为0.1、1、10等，以平衡模型对正常样本的拟合程度和对异常样本的敏感度。实验结果表明，当C为1时，模型能够在保证对正常样本准确识别的同时，有效地检测出异常样本。通过多次实验和参数调整，模型的性能得到了显著提升。训练过程中的损失函数逐渐收敛，模型对正常横向移动路径的学习效果良好，能够准确地捕捉到正常行为的特征模式，为后续的异常检测奠定了坚实的基础。5.2.2检测结果评估指标与分析为了全面、客观地评估基于图表示学习的内网横向移动检测模型的性能，采用了准确率、召回率、F1值等多个常用的评估指标，并对实验结果进行了详细的分析。准确率是指模型正确预测的样本数占总样本数的比例，其计算公式为：Accuracy=\frac{TP+TN}{TP+TN+FP+FN}其中，TP（TruePositive）表示真正例，即实际为异常且被模型正确预测为异常的样本数；TN（TrueNegative）表示真负例，即实际为正常且被模型正确预测为正常的样本数；FP（FalsePositive）表示假正例，即实际为正常但被模型错误预测为异常的样本数；FN（FalseNegative）表示假负例，即实际为异常但被模型错误预测为正常的样本数。召回率是指实际为异常的样本中被模型正确预测为异常的样本数占实际异常样本数的比例，其计算公式为：Recall=\frac{TP}{TP+FN}F1值是准确率和召回率的调和平均数，它综合考虑了模型的准确性和召回能力，能够更全面地评估模型的性能，其计算公式为：F1=\frac{2\timesPrecision\timesRecall}{Precision+Recall}其中，Precision（精确率）为真正例占预测为正例的样本数的比例，即Precision=\frac{TP}{TP+FP}。将测试集输入到训练好的模型中进行检测，得到模型的检测结果。经过计算，模型在测试集上的准确率达到了95.6%，召回率为92.3%，F1值为93.9%。与传统的基于规则的检测方法和基于单一特征的机器学习检测方法相比，本研究提出的基于图表示学习的检测模型在准确率、召回率和F1值上都有显著提升。传统基于规则的检测方法由于规则的局限性，很难适应复杂多变的攻击场景，其准确率仅为80.2%，召回率为75.5%，F1值为77.7%。基于单一特征的机器学习检测方法虽然在一定程度上能够学习数据的特征，但由于特征信息的不全面，其性能也相对较低，准确率为88.5%，召回率为85.1%，F1值为86.8%。进一步对模型的检测结果进行分析，发现模型在检测多种类型的横向移动攻击时都表现出了较高的准确性。对于哈希传递攻击，模型的准确率达到了96.5%，召回率为93.2%；对于票据传递攻击，准确率为94.8%，召回率为91.5%；对于漏洞利用攻击，准确率为95.3%，召回率为92.8%。这表明模型能够有效地识别不同类型的横向移动攻击行为，具有较强的泛化能力和适应性。同时，通过对误报和漏报样本的分析，发现部分误报是由于正常行为的一些特殊情况与异常行为模式相似导致的，而漏报则主要是因为一些新型攻击手段的特征与训练集中的样本差异较大。针对这些问题，可以进一步优化模型的特征提取方法和训练策略，以提高模型的性能和鲁棒性。5.3实际案例应用5.3.1企业内网案例介绍为了验证基于图表示学习的内网横向移动检测模型在实际应用中的有效性，选取了一家中型制造企业的内网遭受攻击的真实案例进行深入分析。该企业拥有多个生产车间和办公区域，内网中部署了大量的生产管理系统、办公自动化系统以及数据库服务器等关键业务设施。企业内部网络采用了分层架构，包括核心层、汇聚层和接入层，通过防火墙和IDS等安全设备进行边界防护。然而，在一次安全事件中，企业发现部分敏感生产数据被窃取，初步判断是遭受了内网横向移动攻击。经过调查发现，攻击者首先通过网络钓鱼手段获取了一名普通员工的账号和密码，然后利用该账号登录到企业内网中的一台办公终端。在获取了初始权限后，攻击者使用Mimikatz工具从该终端的内存中提取了其他用户的登录凭证（哈希值），并通过哈希传递技术，成功登录到企业的域控制器和关键业务服务器，进而窃取了大量敏感数据。由于攻击者的行为较为隐蔽，传统的安全检测设备未能及时发现异常，导致攻击行为持续了一段时间，给企业造成了严重的经济损失和声誉影响。5.3.2模型应用效果与经验总结将基于图表示学习的内网横向移动检测模型应用到该企业的内网环境中，对攻击事件发生期间的内网日志数据进行重新分析。模型首先对日志数据进行预处理和图结构构建，将内网中的主机、用户以及它们之间的连接关系转化为二分图和同构图。然后，利用GraphSAGE算法对图中的节点进行向量化表示，提取正常和异常的横向移动路径，并计算路径上节点向量的多种相似性特征。最后，通过异常检测模块，使用训练好的正常行为模型对路径特征向量进行分类判断。模型成功检测出了攻击者的横向移动路