公开(公告)号：CN113821793B

公开(公告)日：2023-12-19

申请号：CN202110992620.8

申请日：2021-08-27

Applicant: 北京工业大学

Inventor： 刘静 ,  吕宏硕 ,  赖英旭 ,  毛北逢 ,  王一鹏

IPC: G06F21/55 ,  G06F18/214 ,  G06F18/241 ,  G06N3/0464

Abstract: 本发明公开了基于图卷积神经网络的多阶段攻击场景构建方法及系统，从网络流量中匹配IDS警报对应的可疑攻击流。利用匹配到的可疑攻击流提取特征并计算流之间的相似度用于构建相似关系矩阵，将流的特征转化为节点属性，相似关系矩阵转换为邻接矩阵构建可疑流图。利用图卷积神经网络对步骤2构建的可疑流图进行半监督分类，将可疑流划分为不同攻击阶段。并对每个攻击阶段建立带权重的阶段通信图，并从阶段通信图中提取高质量场景子图，得到完整攻击场景。本发明对比多个模型的检测效果。实验结果证明，本发明可以提高精度的同时降低误报的出现。还可以准确划分攻击阶段效果并可以构建完整多步攻击场景，方便安全管理员对于检测信息的直接利用。

公开(公告)号：CN113821793A

公开(公告)日：2021-12-21

申请号：CN202110992620.8

申请日：2021-08-27

Applicant: 北京工业大学

Inventor： 刘静 ,  吕宏硕 ,  赖英旭 ,  毛北逢 ,  王一鹏

IPC: G06F21/55 ,  G06K9/62 ,  G06N3/04

Abstract: 本发明公开了一种基于图卷积神经网络的多步攻击检测和场景构建方法，从网络流量中匹配IDS警报对应的可疑攻击流。利用匹配到的可疑攻击流提取特征并计算流之间的相似度用于构建相似关系矩阵，将流的特征转化为节点属性，相似关系矩阵转换为邻接矩阵构建可疑流图。利用图卷积神经网络对步骤2构建的可疑流图进行半监督分类，将可疑流划分为不同攻击阶段。并对每个攻击阶段建立带权重的阶段通信图，并从阶段通信图中提取高质量场景子图，得到完整攻击场景。本发明对比多个模型的检测效果。实验结果证明，本发明可以提高精度的同时降低误报的出现。还可以准确划分攻击阶段效果并可以构建完整多步攻击场景，方便安全管理员对于检测信息的直接利用。