[发明专利]一种基于因子图的推断攻击阶段最大似然估计方法及系统

权利要求书

1.一种基于因子图的推断攻击阶段最大似然估计方法，其特征在于，包括以下步骤：

从APT数据集中提取攻击事件-攻击阶段的二元序列；

基于攻击事件-攻击阶段的二元序列进行训练，得到相关参数，生成概率转移矩阵；

具体包括：

(1)定义APT序列：

单个事件e_i：在i时刻发生的事件；

单个攻击阶段s_i：在i时刻的攻击阶段；

实际上APT是由多个事件及其对应的攻击阶段组成的，因此给出了下面的定义：

E_c：以先后顺序依次发生的事件e的序列；

S_c：中每个事件所对应的攻击阶段组成的序列；

(2)定义APT采样；

第i个APT记为A_i；

(3)将数据预处理，规范化；

(4)将采样得到的数据输入系统；

每个APT把它的信息以事件序列或攻击阶段序列二元组的形式输入系统中进行处理；

所述的相关参数为：因子函数f_1-Basic(x)、f_{1-Commonality}(x)和f₂(x,y)；

f₁(x)是连接节点e，s的函数，表现事件e与对应攻击阶段s的关系；f₁(x)的表达式是f_1-Basic(x)和f_{1-Commonality}(x)共有的表达式，以指数函数的形式表示；f₂(x,y)是连接节点s之间的过渡函数，表现攻击阶段在时间维度上相互影响的关系；f₂(x,y)的表达式为：f₂(x,y)＝Matrix[x][y]，其中，矩阵Matrix是一个通过训练阶段得出的齐次马尔科夫链的单步概率转移矩阵，矩阵的第x行，第y列表示由σ_x引发下一时刻σ_y的概率；

再利用得到的数据集进行训练，得到对应参数；

具体得到以下参数：

f₁(x)＝exp{q(E_c,S_c)}，其中，P(E_c,S_c)表示E_c-S_c的联合概率，且有：

f₂(x,y)＝Matrix[x][y]；

矩阵Matrix是一个通过训练阶段得出的齐次马尔科夫链的单步概率转移矩阵；

矩阵的第x行，第y列表示由σ_x引发下一时刻σ_y的概率；

接收攻击链并构建对应的因子图，将攻击链的攻击阶段转化为因子图的节点和因子函数；

具体包括：

接收攻击链的输入并构建因子图；

(1)节点的构建：依次读取测试数据的事件，在因子图中加入事件节点e_i，并加入e_i对应的未知攻击阶段s_i

(2)选取因子函数加入因子图：

加入f₁(x)：根据事件e_i的两种特征进行分类，从而根据分类情况构建因子函数，提高了因子图的复杂性，同时也增加了后续推断的容错率，使推断的偏差更小；

加入f₂(x,y)：相邻的s_i和s_i-1用一个f₂(x,y)连接；

至此，系统已经构建了一个完整的因子图；

通过对因子图进行处理，得到攻击链所对应攻击阶段序列的最大似然估计；

具体地，通过Loopy Belief Propagation算法对因子图进行处理，得到攻击阶段序列的最大似然估计；所述Loopy Belief Propagation算法的具体步骤包括：

初始化；

初始化信息的原则为使得节点周围所有信息之和为1，即

消息更新；

使要传递消息的节点接收来自其他节点的消息并整合，将新的消息传递给选择的节点；

消息更新分为两种类型：

1)因子图的节点向因子函数传递消息：

Ne(s)表示与s节点相邻的节点；

传递信息的节点把除接收消息的节点外，其它相邻节点的信息相乘并传递给目标节点；

2)因子函数向因子图的节点传递消息：

发送消息时为求和操作，求和操作对象包括所有与f相关的变量值，f是发消息的节点，但是它能使s的值保持不变，s是将要发送消息的对象节点，假定s的值是i；

然后乘以其他所有相邻变量节点s’的消息，除过正在给它发消息的节点，将所有s’发送给f的消息相乘，同时在这个求和中考虑这个因子涉及到的变量s’所取的值。