[发明专利]一种基于图神经网络的高鲁棒性威胁狩猎系统与方法

权利要求书

1.一种基于图神经网络的高鲁棒性威胁狩猎方法，其特征在于，包括如下步骤：

步骤1、将主机的系统行为数据收集并保存到系统行为数据库中；

步骤2、溯源图构建步骤，使用不同粒度的系统行为构建溯源图，所述系统行为包括内核层，操作系统层，应用层的行为；

步骤3、利用Locating算法初步筛选溯源图，得出可疑子图；

所述Locating算法利用威胁情报提供的威胁实体IOC,Locating算法对溯源图执行初步地搜索以生成全部可疑子图；具体执行如下步骤：

步骤3.1、变量初始化可疑子图对象candidate，保存全部可疑子图的列表Susp；

步骤3.2、从可疑节点中选择“种子”节点，溯源图中可疑节点的识别方法：为IOC中出现的每个威胁实体m在溯源图中找到其对应的节点，具体做法是根据实体名称、哈希值直接或使用正则表达式进行匹配，其中N为所匹配到的节点的个数，所谓“种子”节点是指以该节点作为起始，从溯源图中搜索可疑子图，选择“种子”节点的方法是：将N最大的P_m设定为“种子”节点；

步骤3.3、从每个“种子”节点出发，执行自适应的广度优先搜索，所谓自适应广度优先搜索，是指在广度优先搜索时保留所遇到的全部进程节点和所有与IOC中威胁实体对应的匹配的节点；

步骤3.4、搜索结束，将本次搜索到的子图合并到上次得到的子图中；

步骤3.5、检查IOC中的威胁实体是否已全部被搜索，如果已全部被搜索，将合并后的子图保存到Susp中，如果没有全部被搜索，重新执行步骤3.2，再次执行步骤3.2时，需要从剩余的可疑节点中选择“种子”节点；

步骤3.6、过滤重复的可疑子图；步骤4、查询图生成，根据威胁情报描述的攻击行为生成查询图，使用图神经网络模型为每个可疑子图计算其与查询图的匹配分数，分数超过阈值则发出告警。

2.根据权利要求1所述的一种基于图神经网络的高鲁棒性威胁狩猎方法，其特征在于，所述步骤4中图匹配模型神经网络模型包括三部分：查询图嵌入网络，溯源图嵌入网络和关系学习网络；其中，查询图嵌入网络和溯源图嵌入网络分别将查询图G_q和由Locating算法生成的可疑子图G_p表示为嵌入向量和然后将和交由关系学习网络学习它们之间的关系。

3.根据权利要求2所述的一种基于图神经网络的高鲁棒性威胁狩猎方法，其特征在于，使用两种不同的图神经网络结构分别嵌入G_q和G_p。

4.根据权利要求2所述的一种基于图神经网络的高鲁棒性威胁狩猎方法，其特征在，查询图嵌入网络使用现有的图神经网络模型GCN，并且在GCN基础上增加注意力机制；溯源图嵌入网络使用具有抵抗噪声功能的DenseNet.图神经网络结构；关系学习网络使用Siamese神经网络框架，直接将和映射到同一向量空间，或使用NTN关系学习模型。