基于样本特征强化的APT攻击多阶段检测方法OA北大核心CSTPCD

针对高级持续性威胁(APT)攻击检测方法普遍缺乏对APT攻击多阶段流量特征多样性的感知,对持续时间较长的APT攻击序列检测效果不佳且难以检测处于不同攻击阶段的多类潜在APT攻击等不足,提出一种基于样本特征强化的APT攻击多阶段检测方法.首先,根据APT攻击特点,将恶意流量划分至不同攻击阶段并构建APT攻击标识序列.其次,通过序列生成对抗网络模拟生成APT攻击多个阶段的标识序列,增加不同阶段序列样本数量实现样本特征强化并提高多阶段样本特征的多样性.最后,提出一种多阶段检测网络模型,基于多阶段感知注意力机制对提取的多阶段流量特征与标识序列进行注意力计算,得到阶段特征向量,并作为辅助信息与标识序列进行拼接操作,增强检测模型对不同阶段感知能力并提高检测精度.实验结果表明,所提方法在2个基准数据集上均有良好的检测效果,对多类潜在APT攻击的检测效果优于其他模型.