[发明专利]基于溯源图行为语义提取的威胁检测方法及系统

摘要

本发明涉及一种基于溯源图行为语义提取的威胁检测方法及系统，其方法包括：S1：从主机收集系统审计日志，提取其中事件并构建溯源图G；S2：在G中找到所有定义的兴趣事件，依据标签和设定跳数从G中划分出一组兴趣子图Gi；S3：为Gi的事件边和实体节点分配对应的文本描述，得到具有文本描述的兴趣子图，将实体节点和事件边的文本描述信息进行排序并连接，为每个Gi生成文本描述；S4：将已知的攻击子图以及非攻击子图生成文本描述用于训练检测模型；将Gi输入检测模型，输出威胁得分，判断Gi是否为攻击子图。本发明提供了的方法，对溯源图进行行为分割，为实体节点和事件边分配文本描述，并提取其与攻击的关联程度，从而判断行为的性质。