一种基于因果学习的APT攻击异常检测方法

随着互联网技术的广泛应用，针对高级可持续性网络攻击异常检测技术中的基于图的异常检测技术困难点：序列构建难、攻击特征自动识别难。本发明提供了一种基于因果图的APT攻击异常检测方法，通过审计日志的事件数据，使用频率统计定义因果图中的路径列表和异常路径，并通过优化因果图以降低日志的复杂性，在优化的因果图基础上抽象出非攻击序列样本和攻击序列(异常)样本并选择性采样，再平衡后的样本输入到基于Highway Network的卷积神经网络模型中学习样本特征。训练后的模型实现APT攻击的异常检测任务。本发明提供的方法有助于APT攻击的检测，有助于网络攻击取证和推理，且通过构建因果图获得精确的序列和模型不会给正运行的系统带来额外开销。