九游老哥云
论文入选 CCNIS 2020 | 基于知识图谱的威胁识别详解
2020-12-22
12月18日至20日，为期三天的第十三届中国盘算机网络与信息清静学术聚会（CCNIS 2020）在中国�？谡倏� 。九游老哥科技研究员所提交的论文《AKGAE-基于属性知识图谱自编码器的企业侧威胁识别要领》被本届CCNIS任命并推荐到《通讯学报》 �；嵘�，论文第一作者九游老哥科技集团高级清静研究员薛见新博士揭晓主题演讲 。
九游老哥科技集团高级清静研究员 薛见新博士（下起第二排，右数第二位）
聚会配景
CCNIS是由西安电子科技大学、国家盘算机网络入侵提防中心、国家盘算机病毒应急处置惩罚中心、《通讯学报》编委会等单位提倡和主理，旨在探讨盘算机网络与信息清静及相关领域最新研究希望和生长趋势，展示中国盘算机网络与信息清静学术界最主要的学术、手艺和效果的学术交流平台 。
目今，“清静装备告警数目过多，运维职员无法周全排查”已组成企业清静运营现状的逆境 。企业需要能够在海量告警中举行有用筛选的能力 。这在以往，严重依赖于清静运营职员的小我私家知识与履历 。现在，基于机械学习的威胁评估，同样依赖专家知识，且只是伶仃的处置惩罚告警，无法顾及人与告警的关联，以及攻击情形中的上下文信息 。九游老哥科技于12月18日宣布了业内首份《AISecOps智能清静运营手艺白皮书》，并提出基于人工智能的清静运营手艺（AISecOps）将大幅提升威胁检测、危害评估、自动化响应等要害运营环节的处置惩罚效率，大幅镌汰对专家履历的太过依赖，有用降低企业、组织以致国家级要害信息基础设施、数据资产的整体清静危害 。本次CCNIS入选论文中，基于知识图谱的攻击者威胁评估和攻击行为识别，正是AISecOps的主要组成 。
攻击源威胁评估挑战
实战化的攻防对抗，正在成为磨练企业真实清静运营能力的主要依据 。近年国家级攻防演练运动，无论是规�Ｕ站衫醋愿卟愕闹厥铀蕉荚嚼丛酱�，越来越强 。高烈度的红蓝对抗，让企业最先加大对攻击溯源能力的重视 。
攻击源即为攻击行为的起点，通常指的是机械（这一点和攻击者有所区分），是溯源的目的或是中心历程 。APT攻击行为已经说明，目今的网络攻击可以是很是重大、高手艺含量、多路径的 。这点在清静运营侧的体现即是海量的告警 。以是，对攻击源有用的威胁评估，已经成为攻击溯源和清静运营的要害 �；谑粜灾锻计鬃员嗦肫鳎ˋKGAE）的威胁评估，对攻击，可以更高精度的定位攻击源甚至是攻击者；对清静运营，可以从真实危害角度举行越发高效、准确的告警筛选，以越发自动化的方法，镌汰清静运维压力以及对真正高危害攻击的遗漏 。这是该研究效果对真实清静运营的重大意义和价值所在 。
基于属性知识图谱的威胁建模
属性知识图谱主要包括三部分：体现结构的毗邻矩阵，极点属性特征和边特征体现 。在威胁评估中，我们用极点体现攻击者或受害者的IP地点 。图的结构特征通常用毗邻矩阵，体现极点之间相邻关系 。这里毗邻矩阵体现攻击者对受害者执行的攻击行为，即清静运营职员吸收到的告警 。
简单的清静告警所能提供的信息是有限的，这就需要一种有用的关联告警上下文的要领来辅助清静运营 。为了挖掘告警间的因果依赖，需要构建告警因果关联图，并使用图体现学习要领DeepWalk学习告警的向量体现，即将告警序列向量化 。
深度学习自编码实现威胁评估
深度自编器可以通过在编码解码历程中应用多层线性单位和激活函数来捕获高维输入数据的非线性信息 。这个特征是深度学习所具有的特征，因此在这方面要显着优于古板的浅层学习 。但古板的深度自编码器只能用于自力同漫衍的属性-值数据，因此不可直接移植到网络清静威胁评估场景 。以是，AKGAE是一种刷新的自编码器，编码解码误差是评估攻击者威胁度和攻击行为识别的标准 。
整体威胁评估框架如下：
在效果验证方面，该研究主要通过果真数据集NB15以及九游老哥科技的真实红蓝对抗数据举行了AKGAE的有用性举行验证 。在真实红蓝对抗且暂不思量漏报数据的场景下，本要领更多的准确掷中真实攻击，可以更有用的识别真实攻击源，为攻击溯源提供有用支持 。
真实红蓝对抗数据验证效果
据薛见新先容，该手艺效果已经集成到九游老哥科技相关产品中 。
