面向APT攻击检测及溯源的行为大数据表达、融合及关联分析方法研究

The APT attack has break the existing signature-based defense system, and has brought unprecedented challenges to the network security. To construct the multi-dimensional, cooperative, and in-depth defense system against APT attacks, this proposal studies the representation, integration and correlation analysis algorithms of the multi-source and heterogeneous behavior big data. For the lack of relevance in the behavior big data, a novel solution is proposed with context-aware behavior modelling. Taking the context as a link, we design and propose the big data integration approach based on the heterogeneous information networks. For the detection of APT attacks, we propose an anomaly detection algorithm that is based on the ranking and classification. For the difficulty that the scene and traceability for the APT attack is hard to express, we design to construct the multidimensional heterogeneous information networks with timing information. To detect APT attacks, an anomaly detection algorithm is proposed based on the ranking and classification, and an approach is further proposed for attack traceability by mining multidimensional associations. Finally, we design and develop anomaly detection, behavioral modeling and other analytical tools, and then we take specific APT attack examples to verify the validity of our approaches. This research intends to promote the development of APT attack detection, behavioral modeling and other aspects of a very important scientific significance and application values.

APT攻击突破现有基于特征值的单点防御系统，给网络安全带来前所未有的挑战。本课题以构建多维度协同的纵深防御体系为目标，围绕多源异构行为大数据的表达、融合及关联分析这一科学问题，展开面向APT攻击检测及溯源的大数据表达、融合及关联分析模型与算法研究。针对行为大数据中相关性缺失问题，以情境建模为切入点，揭示情境驱动的数据状态迁移及演变机理，研究情境感知的行为建模方法；以情境为纽带，建立基于异构信息网络的多源异构大数据融合方法，解决大数据的表达与融合这一瓶颈问题；针对APT攻击检测，提出基于排名和分类的异常检测算法；针对APT攻击场景难以溯源问题，构建具有时序的多维异构信息网络，基于多维关联分析挖掘行为之间的关联性。最后，研究异常检测、行为建模等分析工具，以具体的APT攻击样本构建实验，验证方法的有效性。本课题研究拟推动APT攻击检测、行为建模等方面的发展，具有非常重要的科学意义和应用价值。

网络安全的本质在对抗，对抗的本质在攻防两端的能力较量。当前，APT攻击已成为首要的网络安全威胁，APT攻击突破现有基于特征值的单点防御系统，给网络安全带来前所未有的挑战。本项目以构建多维度协同的纵深防御体系为目标，围绕多源异构行为大数据的表达、融合及关联分析这一科学问题，展开面向APT攻击检测及溯源的大数据表达、融合及关联分析模型与算法研究。本项目按照研究计划完成了预期的全部研究目标。依据项目申报书的研究计划，建立面向APT攻击检测及溯源的多源异构大数据表达、融合及关联分析模型；以情境建模为切入点，研究多源异构行为大数据的情境建模方法，提出情境感知的行为建模方法；建立基于异构信息网络的多源异构行为大数据融合方法，解决行为大数据的表达与融合这一瓶颈问题；针对APT异常检测，提出基于排名和分类的异常检测算法；提出基于关联分析的异常诊断和攻击溯源方法。最后，研究异常检测、行为建模等分析工具，以具体的APT攻击样本构建实验，验证本课题方法的有效性。研发建立面向APT攻击检测和溯源的数据分析、行为监控、异常检测等工具集。同时，项目课题组亦拓展完成项目申报书之外的研究工作，包括研制基于蒙塔卡罗方法的概率混合漏洞挖掘系统；设计提出一种基于神经网络的模糊测试敏感区域预测及变异算法；提出基于内存对象访问序列动态胎记的程序同源性判别方法；基于程序依赖图的安卓重打包检测方法；基于深度学习的恶意样本检测方法；一种基于时空特征一致性的Deepfake检测方法。项目资助期内获得已授权发明专利2项、已受理国防技术专利1项；在国内外著名学报和国际会议上发表论文19篇，其中其中包括顶级会议论文2篇，顶级期刊论文1篇，SCI收录论文6篇；培养毕业了3名博士生，4名硕士生，完成了预期的研究目标。