[发明专利]一种基于威胁特征融合与元学习的APT攻击检测方法

说明书

本发明涉及一种基于威胁特征融合与元学习的APT攻击检测方法，包括：特征融合：通过时间戳将系统日志syslog与网络流量进行对齐，通过Padding技术将不同维度的数据融合为元任务，并基于元学习将融合后的数据分拆为支持集和查询集；构建APT攻击检测模型；基于元学习预训练APT攻击检测模型：基于支持集训练模型，更新模型参数，用一组支持集学习初始化状态；基于查询集计算局部梯度，优化模型参数，提升模型泛化能力；基于按需微调机制优化预训练的APT攻击检测模型；基于训练完成的APT攻击检测模型进行APT攻击检测。与现有技术相比，本发明能够在攻击样本极少且类不平衡的条件下实现对高隐蔽未知APT的高效检测。

技术领域

本发明涉及APT威胁检测领域，尤其是涉及一种基于威胁特征融合与元学习的APT攻击检测方法。

背景技术

工业物联网(IIoT)已成为传统制造业向工业4.0数字化转型的一项重要赋能技术，结合其他新兴技术(如大数据、云/边缘计算、区块链等)，工业物联网的价值正在不断被挖掘。然而，与传统工业控制网络下的攻击面相比，工业物联网为对手提供了更多的转换入侵路径。一方面，需要通过互联网实现更多的远程控制功能和数据交换要求，不完善的网络隔离机制将导致APT攻击更加频繁；另一方面，由于工业物联网设备的多样性和可编程性，新的软件漏洞、硬件漏洞和算法缺陷正在出现，导致许多未知的威胁。为了保证工业物联网的安全，从各种工业物联网设备中收集更多的威胁情报，建立高性能的威胁检测模型是非常重要和必要的。

典型的威胁检测系统通常从网络流量和syslog日志中提取特征，然后计算提取的特征与开源威胁情报之间的相似性，以识别攻击行为。其中，开源威胁情报提供了关于工业部件的详细漏洞描述(例如，CWE,CWE)以及相关事件响应方法的归纳报告。然而，从分布式工业物联网网络中收集大量数据样本并将威胁情报标准化为机器可读格式是复杂和低效的。同时，威胁情报的动态性使得基于机器学习机制和基于模式匹配机制的分类标注、时间对齐和特征提取等预处理任务失效。此外，由于APT攻击具有较高的伪装能力，从海量数据样本中准确挖掘特定APT攻击的特征被认为是一个极其难以突破的问题。由于APT攻击结束阶段的数据样本通常比开始阶段的数据样本少得多，这意味着收集到的数据样本分布是不平衡的，无法获得APT攻击的完整证据链。综合而言，建立更强大的APT威胁检测机制对工业物联网的安全是重要和必要的。

发明内容

本发明的目的就是为了提供一种基于威胁特征融合与元学习的APT攻击检测方法，高效、自适应的进行攻击检测，提高检测精度。

本发明的目的可以通过以下技术方案来实现：

一种基于威胁特征融合与元学习的APT攻击检测方法，包括以下步骤：

步骤1)特征融合：通过时间戳将系统日志syslog与网络流量进行对齐，通过Padding技术将不同维度的数据融合为元任务，并基于元学习将融合后的数据分拆为支持集和查询集；

步骤2)构建APT攻击检测模型；

步骤3)基于元学习预训练APT攻击检测模型：基于支持集训练模型，更新模型参数，用一组支持集学习初始化状态；基于查询集计算局部梯度，优化模型参数，提升模型泛化能力；

步骤4)基于按需微调机制优化预训练的APT攻击检测模型；

步骤5)基于训练完成的APT攻击检测模型进行APT攻击检测。

所述基于元学习将融合后的数据分拆为支持集和查询集具体实现方式为：通过数据采样将预定义的5分类问题转换为10个3分类任务，并从3分类任务中挑选相应的任务，组成支持集和查询集。

所述5分类任务被定义为用于区分APT攻击的5个关键步骤，包括NT、RN、EF、LM和DE5个类别，其中，NT代表正常流量，RN代表侦察，EF代表建立立足点，LM代表横向移动，DE代表数据外泄。