[发明专利]一种基于图神经网络的高鲁棒性威胁狩猎系统与方法

说明书

本发明提出一种基于图神经网络的高鲁棒性威胁狩猎系统及方法，所述方法包括如下步骤：步骤1、将主机的系统行为数据收集并保存到系统行为数据库中；步骤2、溯源图构建步骤，使用不同粒度的系统行为构建溯源图，所述系统行为包括内核层，操作系统层，应用层的行为；步骤3、利用Locating算法初步筛选溯源图，得出可疑子图；步骤4、查询图生成，根据威胁情报描述的攻击行为生成查询图，使用图神经网络模型为每个可疑子图计算其与查询图的匹配分数，分数超过阈值则发出告警。

技术领域

本发明属于计算机图神经网络威胁狩猎，APT攻击检测领域，尤其涉及一种基于图神经网络的高鲁棒性威胁狩猎系统与方法。

背景技术

APT攻击给企业和大型组织带来巨大的经济损失。目前，企业内网规模逐渐扩大，网络边界开始变得模糊，传统部署在网络边界上的防御设备难以阻挡攻击者的渗透。除此之外，由于攻击者执行攻击的手段多种多样，而且所使用的恶意软件时刻可能出现变种，这样就导致传统基于签名和规则匹配的防御方法失效。

然而，尽管攻击者可以根据实际情况灵活地改变APT攻击链中具体的攻击方式，从而摆脱威胁告警软件的检测，但是整体的攻击链通常不会发生大的改变。这是因为大幅度调整APT攻击策略需要花费较高的成本。这点可以通过一个假想的APT攻击场景来说明。开始时攻击者通过浏览器0-day漏洞渗透到受害主机，然后下载后门程序进行CC通信。后来为躲避威胁报警软件的检测，攻击者通常是选择其他成本较低的环节使用变体的恶意软件达到同样地目的，如换用其他权限提升方法、CC通信协议等。但是攻击者一般不会换用完全不同的攻击策略，如重新收集受害者信息，发动钓鱼邮件攻击。因此，安全人员可以利用威胁情报，了解已披露的APT攻击链行为，然后从系统行为日志中狩猎已知的攻击行为，从而缓解APT攻击带来的危害。

近年来，溯源图分析在APT攻击检测和取证分析领域中发挥着重要的作用。溯源图能够表示系统实体之间的依赖关系，以及系统事件的因果关系。因此，从溯源图中能够发现持续时间很长的攻击行为。然而，由于溯源图规模太大和“依赖爆炸”问题，导致难以直接利用传统的图搜索方法从溯源图中发现对应的攻击踪迹。

传统的威胁狩猎依赖于简单的规则匹配方法。根据威胁情报中提供的IOC(Indicator of Compromise)，如文件签名、进程名等，可以在溯源数据中查找对应的可疑实体。然而，传统基于规则匹配或签名的方法难以应对恶意软件变种问题。近年来，许多[Poirot,NoDoze,Bayesian zero-day]基于攻击路径发现的方法被用于在溯源图中狩猎已知的攻击行为。具体来说，这类方法不仅从溯源图中识别可疑实体，而且利用了可疑实体之间的依赖关系，即威胁情报中描述的攻击行为，大大提升了应对APT攻击过程中恶意软件变种的能力。

与本发明最相近的威胁狩猎实现方案是Poirot。Poirot是一种基于攻击路径发现的方法。具体来说，Poirot首先将威胁情报中描述的攻击行为表示为查询图，然后根据查询图中的信息流传播路径从溯源图中找到对应的攻击路径。由于在大规模溯源图中搜索路径需要消耗极大的计算资源，Poirot根据对现有攻击的理解，设计了一种溯源图上的路径发现规则，将不可能被攻击者利用的路径排除，节省了大量的算法运行时间。简单来说，Poirot提出的路径发现规则是认为攻击者只能利用有限的漏洞资源来执行攻击。溯源图上的一条路径如果要成为攻击路径需要利用超过3个漏洞，那么这条路径不可能被攻击者利用。基于这种想法，Poirot排除了溯源图中的大部分无关路径，一定程度上解决了依赖爆炸问题，能够有效地发现溯源图中的攻击行为。

然而，基于路径发现的方法有两点不足：