[发明专利]一种基于异质图网络的横向移动攻击检测方法及系统

说明书

本发明涉及一种基于异质图网络的横向移动攻击检测方法及系统。该方法基于内网的认证日志，将用户与主机之间的登录行为图结构化，构建用户登录图和源主机路径图，之后在图上进行两阶段异常检测。第一阶段基于用户登录图，使用互信息最大化的图神经网络算法学习主机的行为模式，再通过局部异常因子算法计算得到部分异常样本；第二阶段基于源主机路径图和第一阶段得到的有标签样本，使用异质图注意力网络算法进行半监督学习，检测横向移动攻击行为。本发明法可以在没有样本标签的情况下简洁有效地检测横向移动攻击行为，效果超过了大部分有监督学习的方法，具有高召回率和低误报率。

技术领域

本发明涉及计算机网络安全领域，用于对抗高级持续性威胁中所实施的横向移动攻击行为，更具体地，是一种基于异质图网络的横向移动攻击检测方法及系统。

背景技术

近年来，随着互联网的高速发展，网络环境变得日益复杂，网络攻击愈发呈现出一种高发频发的态势。其中，高级持续性威胁(Advanced Persistent Threat，APT)受益于攻击手法的进步以及攻击组织性的提高，攻击日益频繁。相比于其他攻击，APT攻击具有更长的潜伏周期以及更大的破坏力，如干预美国大选、破坏电网等。其攻击手法也更加全面且能够通过对目标的长期观察开发定制化攻击工具，威胁巨大。因此，对APT攻击的检测和防护已成为当前网络安全中亟待解决的问题。

横向移动作为APT攻击极为重要的一环，是攻击者进入内网后实施攻击的主要过程。根据ATTCK框架，横向移动由攻击者用来进入和控制网络上的远程系统的技术组成。当攻击者成功入侵到网络并建立落脚点后，为了下一步的攻击和收集目标网络的信息，通常都会在网络中进行横向移动，最终获得整个网络的控制权，达成破坏目标网络或基础设施、窃取机密数据或核心知识产权等目的，危害巨大。

目前，横向移动攻击检测仍处于较为初步的阶段，对横向移动攻击检测的研究主要是将其转换为内网中异常用户或主机的检测，通过对用户或主机的行为进行建模，检测超出阈值的异常表现。根据检测目标的不同，可以将其分为移动目标型和移动路径型。移动目标型方法主要检测横向移动攻击中攻击者攻陷的用户或主机；而移动路径型方法则以横向移动攻击中发生的移动路径为检测目标。现有的许多研究工作大都集中于移动目标型横向移动攻击检测，而对横向移动攻击的移动路径研究较少。

综上，横向移动攻击通常通过窃取用户凭证伪装正常用户进行操作，具有高隐蔽性，难以检测。现有的横向移动攻击检测研究方法通常将其转换为内网中异常用户或主机的检测，但仍存在以下几点缺点和不足：其一，海量多源的安全日志使得现有方法的误报率通常较高。其二，实际网络环境中往往不能或者只能观测到很少一部分异常的用户或主机，这部分异常的用户或主机尚未被充分利用；其三，内网本质上是一张由用户和主机组成的关联图，在图上进行横向移动攻击检测还有待研究。

发明内容

为了解决上述问题，本文提出一种基于异质图网络的两阶段横向移动攻击检测方法HGLM(Lateral Movement detection using Heterogeneous Graph)。

本发明的原理是是：基于内网的认证日志，将用户与主机之间的登录行为图结构化，构建用户登录图和源主机路径图，之后在图上进行两阶段异常检测。第一阶段基于用户登录图，使用互信息最大化的图神经网络算法学习主机的行为模式，再通过局部异常因子算法计算得到部分异常样本；第二阶段基于源主机路径图和第一阶段得到的有标签样本，使用异质图注意力网络算法进行半监督学习，检测横向移动攻击行为。

为达到上述目的，本发明采用的具体技术方案是：

一种基于异质图网络的横向移动攻击检测的方法，包括以下步骤：

1)数据集抽取。由于横向移动攻击涉及用户与主机之间的登录认证行为，因此数据集抽取即收集内网设备产生的认证日志，构建数据集。

2)安全日志图结构化。利用抽取的数据集，构建用户登录图和源主机路径图。