[发明专利]基于威胁情报和消息传递模型的高级持续性威胁检测方法

权利要求书

1.一种基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，所述方法包括：

在目标网络系统内收集主机的网络行为数据并存储至网络行为数据库中，其中，所述网络行为数据包括但不限于主机的网络请求数据、域名解析数据、网络响应数据；

利用开源网络情报OSINT对所述网络行为数据进行扩充，得到网络信息数据，其中，所述开源网络情报OSINT包括但不限于Passive DNS、Whois记录、X.509证书记录；

根据所述网络信息数据构建网络实体异质图，其中，异质图节点为所述网络信息数据中的网络实体，异质图边为实体关联关系；

利用所述异质图节点的特征对所述异质图节点进行嵌入得到网络实体特征向量，其中，所述网络实体特征向量包括由威胁情报得到的实体标签特征和实体局部特征，所述实体标签特征包括良性实体标签特征和恶意实体标签特征，所述实体局部特征为实体本身的特征，包括但不限于域名类实体的字符分布特征、域名长度特征、域名与通用域名之间的最大Levenshtein距离特征；

根据所述网络实体特征向量构建消息传递模型，以更新每个异质图节点的自身特征，并根据更新后的异质图节点特征判断所述异质图节点是否为恶意网络实体；若是，将所述恶意网络实体补充至威胁情报库，

其中利用所述异质图节点的特征对所述异质图节点进行嵌入得到网络实体特征向量，包括：将所述实体标签特征嵌入到与所述实体局部特征相同的空间中；以及将嵌入后的实体标签特征与所述实体局部特征相加得到所述网络实体特征向量。

2.如权利要求1所述的基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，根据所述网络实体特征向量构建消息传递模型，包括：

根据标签传播算法和添加了注意力机制的图神经网络算法构建消息传递模型，以更新每个异质图节点的自身特征；

其中，通过标签传播算法传播所述实体标签特征，通过添加了注意力机制的图神经网络算法传播所述实体局部特征。

3.如权利要求1所述的基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，所述方法还包括：

将预设比例带标签的异质图节点的实体标签特征转化为零向量；以及

通过所述网络实体局部特征、未转化的带标签的异质图节点的实体标签特征和注意力矩阵构建标签预测模型，以预测无标签网络实体的实体标签特征。

4.如权利要求1所述的基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，所述方法还包括：

在威胁情报库中出现的网络实体的标签特征被标记为恶意实体标签特征，在网络中公开的白名单中出现的网络实体的标签特征被标记为良性实体标签特征。

5.如权利要求1所述的基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，根据所述网络信息数据构建网络实体异质图，包括：

根据所述网络信息数据构建网络实体异质图：G_h＝(V,E,T,X)，其中，V表示网络实体集合，E表示网络实体关联边的集合，X＝{x_i|v_i∈V}表示所有网络实体的特征集合，T＝T_v,T_e表示网络实体异质图的网络模式，T_v为网络实体的类型集合，T_e为网络实体关联边的类型集合，满足|T_v|+|T_e|2。

6.如权利要求5所述的基于威胁情报和消息传递模型的高级持续性威胁检测的方法，其特征在于，所述方法还包括：

所述网络实体的类型集合包括但不限于主机、域名、IP地址，所述网络实体关联边的类型集合包括但不限于IP与域名的映射、主机查询域名。