基于樣本特征強化的APT 攻擊多階段檢測方法

謝麗霞，李雪鷗，楊宏宇,2，張良，成翔

（1.中國民航大學計算機科學與技術學院，天津 300300；2.中國民航大學安全科學與工程學院，天津 300300；3.亞利桑那大學信息學院，美國 圖森 AZ85721；4.揚州大學信息工程學院，江蘇 揚州 225127；5.江蘇省知識管理與智能服務工程研究中心，江蘇 揚州 225127）

0 引言

高級持續性威脅（APT,advanced persistent threat）攻擊作為網絡攻擊中最難防范的攻擊手段之一，已經成為網絡安全的重大威脅。APT 攻擊通常使用入侵技術和軟件源代碼漏洞[1]，對目標網絡和系統造成長期的嚴重威脅。與傳統攻擊相比，APT攻擊具有攻擊目標明確、攻擊過程具有階段性和持續性、難以感知等特性[2-3]。如何有效防范APT 攻擊已成為網絡安全熱點問題之一。因此，APT 攻擊檢測研究具有重要的理論價值和現實意義。

由于APT 攻擊序列基于網絡流量包，針對APT攻擊序列檢測的方法研究主要基于流量分析。基于流量分析的APT 攻擊檢測方法包括基于模式匹配的方法[4]、基于圖的方法[5]和基于深度學習的方法等。隨著基于深度學習的檢測方法被更多地運用于網絡攻擊檢測中[6-7]，利用深度學習方法對海量流量進行分析并檢測APT 攻擊已成為研究熱點。

Alrehaili 等[8]構建長短期記憶堆疊自動編碼器（SAE-LSTM,stacked autoencoder with long short-term memory）和長短期記憶卷積神經網絡（CNN-LSTM,convolutional neural network with long short-term memory）2 種混合深度學習模型檢測APT 攻擊各階段，但無法檢測完整APT 攻擊序列。劉海波等[9]提出一種基于生成式對抗網絡-長短期記憶（GAN-LSTM,generative adversarial network-long short term memory）模型的APT 攻擊檢測方法，通過生成式對抗網絡（GAN,generative adversarial network）生成攻擊樣本并利用長短期記憶（LSTM,long short-term memory）網絡檢測APT攻擊。但是該方法對攻擊時間較長的APT 攻擊序列檢測效果不佳且未對潛在APT 攻擊進行檢測。其中，潛在APT 攻擊是指未包含完整攻擊周期的APT攻擊序列。董濟源[10]提出一種基于GAN 的APT 攻擊序列生成與檢測方法，將LSTM 作為生成器和判別器用于擴展APT 數據集和檢測APT 攻擊。但是該方法對長時間攻擊檢測精度較低且缺乏對潛在APT 攻擊的檢測。Johnson 等[11]提出一種用于文本分類的深度金字塔卷積神經網絡（DPCNN,deep pyramid convolutional neural network），可以有效感知長距離關聯，提高多類別分類檢測精度。Akbar等[12]將APT 攻擊序列轉換為圖節點并利用集成卷積（Setconv,set convolution）模型解決類不平衡問題，采用機器學習方法進行APT 攻擊檢測。但該方法直接使用基準數據集，未解決樣本流量特征單一問題。Lai 等[13]提出一種基于文本的循環卷積神經網絡（TextRCNN,text recurrent convolutional neural network），通過捕獲上下文信息提高長序列檢測精度。

隨著APT 攻擊步驟增加和持續時間增長，攻擊流量特征逐漸多樣，已有研究方法采用的樣本較少且特征單一，未體現APT 攻擊多階段流量特征。同時，由于APT 攻擊的階段性和持續性，在檢測持續時間較長的攻擊序列時，檢測模型難以感知時間跨度較大的流量特征之間的關聯性，導致檢測效果不佳。此外，絕大多數的檢測方法僅考慮完整攻擊周期內的歷史APT 攻擊序列檢測，缺乏對多類潛在APT 攻擊的檢測和預警手段。

針對上述不足，本文提出一種基于樣本特征強化的APT 攻擊多階段檢測方法。通過增強檢測模型對不同攻擊階段的感知能力，有效提高APT 攻擊多階段檢測精度。本文主要工作如下。

1) 根據APT 攻擊特點，將包含不同網絡攻擊的惡意流量劃分為不同攻擊階段，提取各階段流量特征并根據階段順序分別構造多類APT 攻擊序列。

2) 利用序列生成式對抗網絡（seqGAN,sequence generative adversarial network）模擬生成多類APT 攻擊序列。為了實現樣本特征強化，利用seqGAN 生成樣本，擴充不同類型APT 攻擊序列特征數量，提高特征多樣性及檢測模型的泛化能力。

3) 提出一種多階段檢測網絡（MSDN,multi-stage detection network）模型，分析當前序列特征并檢測多類APT 攻擊。在MSDN 中，采用多階段感知注意力機制，增強檢測模型對不同攻擊階段的感知能力，提高APT 攻擊多階段檢測精度。為解決持續時間較長、序列檢測效果不佳的問題，采用多頭注意力（MHA,multi-head attention）機制感知時間跨度較大的流量特征之間的關聯性。

1 APT 攻擊多階段檢測方法

APT 攻擊一般分為5 個階段，各階段間存在關聯性，即后一階段的攻擊基于前一階段的攻擊效果[14]。第一階段為偵察，攻擊者通常會長時間反復分析偵測攻擊目標，該階段流量數據量較多，會出現大量發送至相同IP 地址的流量。第二階段為建立立足點，攻擊者通過諸如暴力破解、釣魚軟件和零日漏洞等多種攻擊技術手段突破系統防御，進入目標計算機或網絡并建立立足點。由于APT 流量需要規避防御系統，該階段使用的目標端口多為固定常用端口，而正常流量多使用動態端口。第三階段為橫向移動，攻擊者通過獲取管理權限提取關鍵信息，滲透其他機器，最終獲得特定域內權限[15]。該階段攻擊流量持續時間較長，但流量數據量較少。第四階段為竊取信息或破壞系統，攻擊者竊取目標系統重要信息或破壞目標系統。攻擊者可能會將數據發送到具有不同IP 地址的服務器，其流量數據量較少。第五階段為繼續攻擊或清除攻擊痕跡，攻擊者將繼續攻擊目標系統或者銷毀攻擊痕跡。

從DAPT2020 數據集中獲取的不同階段部分流量特征如表1 所示，各階段選取3 條流量進行對比。由表1 可知，偵察階段發送流量數據量較多，發送和接收流量數據包數量較多；建立立足點階段使用的目標端口號為固定常用端口；橫向移動階段傳輸時間相對其他階段較長；攻擊階段流量數據量較少，該階段發送和接收流量數據包數量和發送流量數據量較少。由于APT 攻擊各階段流量特征不同，通過選取不同階段流量特征生成多類APT 攻擊序列，可以體現APT 攻擊已完成的多階段特性。

表1 不同階段部分流量特征

本文提出的基于樣本特征強化的APT 攻擊多階段檢測方法架構如圖1 所示。該方法架構由樣本預處理、樣本特征強化和APT 攻擊檢測3 個部分組成。每部分完成的主要工作介紹如下。

圖1 基于樣本特征強化的APT 攻擊多階段檢測方法架構

1) 樣本預處理。根據APT 攻擊各階段特征，經過特征提取將原始樣本重構為攻擊階段樣本，根據APT 攻擊階段順序構建APT 攻擊序列。創建攻擊序列到標識序列（attack2id,attack to identification）映射表，將APT 攻擊序列映射為APT 攻擊標識序列，并生成正常流量標識序列。

2) 樣本特征強化。利用seqGAN 生成器對高斯隨機噪聲進行隨機采樣并生成APT 標識序列，經過seqGAN 判別器辨別模擬生成樣本與原始樣本，利用重構誤差使生成器生成更符合原始樣本概率分布的APT 標識序列。通過生成器和判別器的動態博弈使模型達到納什均衡，得到基于樣本特征強化的APT 攻擊標識序列樣本。

3) APT 攻擊檢測。將基于樣本特征強化的APT攻擊標識序列樣本和正常流量標識序列輸入MSDN，經過多階段特征提取和多階段感知注意力機制構建，將計算得到的各APT 攻擊標識序列對應的階段特征向量作為輔助信息檢測當前潛在和歷史APT 攻擊，分別記為APT1、APT2、APT3、APT4和APT5，并將正常流量標識序列記為NAPT。

2 樣本預處理

在實際流量中，由于APT 攻擊不同階段的流量特征不同，將對應的特征流量進行順序重構和標識序列映射，得到最終的APT 攻擊標識序列。

2.1 APT 攻擊各階段流量樣本重構

根據APT 攻擊的各階段特點，將各類攻擊標簽分為5 個階段，再對各階段流量及正常流量進行數據清洗和特征選擇。為更準確地描述APT 各階段特征之間的相關程度，本文采用皮爾遜相關系數進行相關性分析，通過計算2 個變量之間的協方差和標準差的商來衡量向量間的相似度。其中，當皮爾遜相關系數絕對值大于0.8 時，為高度相關；當該值為0.5～0.8 時，為顯著相關；當該值為0.3～0.5 時，為低度相關；當該值小于0.3時，不存在相關性。

數據清洗過程中刪除僅包含單一值和空值特征，避免此類異常值對特征選擇造成不良影響。特征選擇過程首先對流量特征進行分析，得到流量中關鍵特征指標，如目標端口號、傳輸時間、總發送包數和總接收包數等。由于關鍵特征指標在后續分析中易對其余特征分析造成影響，僅考慮除關鍵特征指標外的其他流量特征進行特征選擇。通過計算各階段流量特征間的皮爾遜相關系數，對于相關性系數大于0.8 的兩類特征，僅保留一類特征，再對保留的類別特征和關鍵特征編碼，得到各階段流量和正常流量樣本。

對DAPT2020 數據集樣本進行流量樣本重構，各階段流量特征維度變化如表2 所示。經過數據清洗和特征選擇，對各階段的流量特征和正常流量特征進行降維，有效減少冗余特征的噪聲干擾。

表2 流量特征維度變化

2.2 APT 攻擊序列構建

在APT 攻擊各階段隨機選取一條流量樣本并按照攻擊階段順序進行拼接，得到符合APT 特征的攻擊序列。同時，考慮到在實際網絡環境中，攻擊者會在每次攻擊中穿插一系列非攻擊性的操作，從而繞過檢測及防御系統[16]。因此，在上述得到的攻擊序列中，隨機插入不同數量和類型的正常流量樣本，得到APT 攻擊序列。

DAPT2020 數據集構建的5 類APT 攻擊序列如表3 所示，其中APT5中部分流量特征類型對應攻擊階段特征如表4 所示。偵察階段與其他攻擊階段相比，發送流量數據包數量較多；建立立足點階段目標端口流量特征為固定端口號9003；橫向移動階段流量傳輸時間較長；攻擊階段數據包數量較少。綜上，選取的攻擊特征與各攻擊階段具有唯一對應關系。

表3 5 類APT 攻擊序列

表4 APT5 中部分流量特征類型對應攻擊階段特征

APT 攻擊序列構建過程如圖2 所示，其中S1、S2、S3、S4、S5和SN分別表示階段1～階段5 的流量樣本及正常流量樣本。

圖2 APT 攻擊序列構建過程

2.3 APT 攻擊標識序列構建

由于樣本特征強化過程和APT 攻擊檢測過程中將APT 攻擊序列作為模型的輸入，需要對序列中元素進行編碼。為提高模型訓練效率，本文通過構建attack2id 映射表，將APT 攻擊序列映射為APT攻擊標識序列。

首先，統計APT 攻擊序列中出現的離散型編碼特征。其次，對編碼特征進行賦值。最后，利用字典對attack2id 映射表進行存儲。通過attack2id 映射表，將所生成的APT 攻擊序列映射為APT 攻擊標識序列，得到最終的APT 攻擊數據。根據APT 攻擊標識序列類型生成對應的標簽，其中僅包含階段1 的APT攻擊標識序列標記為1，包含前2個階段的APT攻擊標識序列標記為2，以此類推，給5 類APT 攻擊標識序列分別標記對應標簽。APT 攻擊標識序列構建算法如算法1 所示。

算法1APT 攻擊標識序列構建算法

輸入APT 攻擊序列seq

輸出攻擊序列到標識序列映射表attack2id，APT 攻擊標識序列APT_seq

2.4 正常流量標識序列構建

MSDN 不僅要對處于不同階段的APT 攻擊進行檢測，還要檢測出序列是否為APT 攻擊。因此，需根據正常流量樣本生成正常流量標識序列。

為避免序列長度不一致影響檢測精度，分別生成與不同階段的APT 攻擊序列長度相同的正常序列，根據正常流量序列中的離散型編碼特征更新attack2id 映射表，映射生成對應標識序列。根據生成的正常流量序列生成對應標簽，標記為0。正常流量標識序列構建過程如圖3 所示。

圖3 正常流量標識序列構建過程

3 樣本特征強化

3.1 基于無監督的樣本特征強化

由于APT 攻擊持續時間長、隱蔽性高，在APT攻擊檢測領域可用于評估的數據集較少。當前研究多使用網絡異常流量數據集，其中包含的各階段攻擊序列樣本不足，流量特征的多樣性較低，進而導致多階段檢測模型訓練出現過擬合，檢測效果不佳。APT 攻擊樣本特征強化旨在采用無監督方式，模擬生成APT 攻擊標識序列并增加各階段樣本特征數量，從而提高多階段樣本特征的多樣性和檢測模型的泛化能力，防止出現過擬合。

GAN 是當前深度學習領域最具發展前景的一類無監督深度生成模型，由生成器和判別器構成。生成器需要盡可能生成更接近真實樣本的模擬樣本，判別器需要盡可能區分真實樣本和模擬樣本。GAN 在達到納什均衡時全局最優，即生成器生成樣本與真實樣本高度相似，判別器無法區分模擬樣本與真實樣本。

GAN 判別器一般采用JS 散度（JSD,Jensen-Shannon divergence）衡量真實樣本與生成樣本之間的差異，JS 散度計算過程為

其中，P表示真實樣本，Q表示生成樣本，P(x)和Q(x)分別表示真實樣本P和生成樣本Q的概率分布。JSD 計算2 個概率分布信息熵的差值并轉換為對稱值，從而度量真實樣本和生成樣本概率分布的相似度，即P(x)和Q(x)相似度越高，KL(P||Q)越小，JSD(P||Q)越小，樣本P和Q差異性越小。

生成器產生的樣本為映射到高維空間的低維流型，只有其分布與真實樣本存在重疊時，JSD 才能作為訓練過程中的評判標準。由于APT 攻擊樣本為離散值，生成樣本與原始樣本的分布互不重疊，其JSD 恒為ln2，因此，在重構誤差過程中無法將離散輸出梯度反向傳播到生成器中，生成的APT攻擊序列無法得到對應的標識序列。為解決傳統GAN 生成器無法輸出離散值的問題，本文通過引入強化學習中的獎勵策略[17]，將序列生成問題轉化為序列決策問題，將判別器的損失作為獎勵值回傳生成器并更新生成器參數。

3.2 樣本特征強化模型結構設計

本文使用seqGAN模型分別生成多類APT攻擊標識序列，基于seqGAN 的APT 攻擊樣本特征強化模型結構如圖4 所示，其目標函數為

圖4 基于seqGAN 的APT 攻擊樣本特征強化模型結構

其中，D(x)表示判別器判斷原始樣本x為原始APT攻擊標識序列樣本的概率，P(x)表示原始樣本x的概率分布，D(G(z))表示判別器判斷生成樣本z為生成APT 攻擊標識序列樣本的概率，Q(z)表示生成樣本z的概率分布。

根據最大似然原理，在似然函數已知的前提下對高斯隨機噪聲進行隨機采樣并將其作為seqGAN生成器的輸入z。生成器采用門限循環單元（GRU,gated recurrent unit）生成模擬APT 攻擊標識序列a，將卷積神經網絡（CNN,convolutional neural network）作為seqGAN 判別器，判斷生成序列與原始樣本x的相似性。通過梯度策略將判別器損失反饋生成器更新生成器參數，將各個APT 攻擊標識序列作為一個整體進行獎勵值回傳，即每條序列僅使用單一獎勵，進而加快模型收斂。經過若干次迭代后使模擬生成的APT 攻擊標識序列服從真實攻擊序列分布的似然最大。最后，對多類APT 攻擊標識序列分別進行樣本特征強化，得到經過樣本特征強化的APT 攻擊標識序列。

4 APT 攻擊檢測

4.1 檢測模型架構設計

MSDN 由多階段特征提取、多階段感知注意力機制構建和APT 攻擊多階段檢測3 個部分構成，如圖5 所示。通過引入多階段感知注意力機制，對提取的多階段特征與標識序列樣本進行注意力計算，增強MSDN 對APT 攻擊不同階段的感知能力，然后分析當前標識序列特征及其關聯性并檢測APT攻擊序列。

圖5 APT 攻擊檢測模型MSDN 架構

4.2 多階段特征提取

由于APT 攻擊具有階段性特點，故利用CNN作為多階段特征提取網絡，分別對APT 攻擊中的不同階段進行特征提取，增強MSDN 對APT 攻擊不同階段的感知能力，從而提高APT 攻擊標識序列檢測精度。多階段特征提取過程如圖6 所示。多階段特征提取具體方法設計如下。

圖6 多階段特征提取過程

1) 流量嵌入矩陣構建。對APT 攻擊多階段流量特征進行向量映射，將不同攻擊階段的流量特征轉化為流量嵌入矩陣E，該矩陣長度與攻擊階段中最長的流量特征序列長度T相同，對長度不足的流量特征則采取填充操作。

2) 特征提取。對流量嵌入矩陣進行卷積運算并提取特征，該卷積層包含m個神經元，每個神經元對應的卷積核K用于對流量嵌入矩陣進行卷積操作，從而將APT 流量序列鄰域內的特征點聚合得到新的特征。第i個神經元輸出的特征為

其中，ET表示序列長度為T的流量嵌入矩陣，*表示卷積核的內積運算，bi表示偏置項，ReLU 表示非線性激活函數。

按照卷積滑動窗口大小，每隔t步長執行一次卷積運算，得到第i個神經元輸出的特征向量。為避免由卷積層參數誤差造成的估計偏差，使用最大池化層提取特征向量中關鍵的特征。

3) 多階段特征表示生成。將卷積層中m個神經元的輸出結果進行線性拼接，得到多階段特征表示MSF

其中，[;]表示向量拼接操作，msfi表示第i個APT攻擊階段對應的特征向量，為前i個神經元輸出的特征向量的最大值。MSF 為APT 攻擊多階段特征表示，由APT 攻擊的各個階段對應的特征向量msfi拼接得到，用于后續多階段感知注意力機制構建。

4.3 多階段感知注意力機制構建

由于APT 攻擊具有階段性特征，為了提高MSDN 對攻擊各個階段特征的感知能力，本文提出一種多階段感知注意力機制。通過對每條標識序列進行注意力計算，得到其與多階段特征的相關度。再將相關度作為補充知識與標識序列一同作為檢測模型的輸入，提升模型對多階段特征的感知程度，進而提高APT 攻擊多階段檢測的準確率。MSDN 通過對每條標識序列進行注意力計算，實現對各階段流量特征的關注。

首先，對MSF 與APT 攻擊標識序列APT_seq={a1,a2,a3,…,an}進行點積計算，得到貢獻度得分eij。其次，將貢獻度得分轉換為注意力系數αij，根據注意力系數對APT 多階段特征進行加權求和計算，得到多階段感知注意力si。最后，將多階段感知注意力生成的階段特征向量與APT 攻擊標識序列進行拼接。具體計算方法為

其中，atten(·)表示注意力點積計算，θi表示APT 攻擊多階段檢測階段的第i個輸入。

4.4 多階段檢測

多階段檢測階段將根據4.2 節和4.3 節的處理步驟得到的標識序列θ作為輸入，通過構建Transformer 模型編碼器結構、計算多頭注意力和構建全連接層進行APT 攻擊多階段檢測。

首先，構建Transformer 模型編碼器結構，由于Transformer 模型不能捕捉時序信息，處理具有時序特征的APT 標識序列前，需進行位置編碼。

其次，MSDN 利用自注意力機制[18]，尋找APT攻擊標識序列內部不同位置之間的聯系。MSDN 由2 個編碼層堆疊，各編碼層由自注意力層和前饋神經網絡2 個子層構成，各個子層之間采用殘差連接和求和與歸一化處理，避免訓練過程中出現梯度消失，從而加速訓練。

自注意力層采用多頭注意力機制，在不同位置共同關注源自不同表示子空間的信息，感知APT每個階段內的特征和不同階段間關聯性。考慮到APT 攻擊標識序列包括5 個攻擊階段，將h設置為5，多頭注意力計算式為

其中，Q、K、V分別表示經過4.3 節計算得到的階段特征序列所對應的查詢向量、鍵向量和值向量，dk表示鍵向量維度，分別表示對應變換矩陣，softmax(·)表示歸一化指數函數，WO表示權重矩陣。

最后，構建全連接層，對經過編碼層處理的標識序列進行檢測，得到當前輸入的標識序列類型實現多階段檢測。

5 實驗與分析

5.1 實驗環境及樣本

實驗的計算機配置為：Intel(R) Xeon(R) Silver 處理器，32 GB 主存，16 GB 內存，NVIDIA Quadro RTX5000 顯卡（16 GB 顯存）。訓練和測試實驗均在Ubuntu 操作系統上進行，使用編程語言Python3.8 和深度學習框架Pytorch1.8 實現本文檢測方法。

實驗中采用的檢測樣本為CICIDS2017 數據集[19]和DAPT2020 數據集[20]。CICIDS2017 數據集由加拿大網絡安全研究所創建，將正常通信和部分常見攻擊分別標記為正常流量和 15 類攻擊流量。DAPT2020網絡流量數據集是用于APT攻擊檢測的最新公開數據集，將在模擬環境中收集的網絡流量分別標記為正常流量或APT 攻擊各階段流量。

5.2 評價指標

在實驗中，分別采用準確率（Accuracy）、F1分數（F1-score）和宏平均（Macro_avg）3 個指標評價檢測方法和模型的檢測性能。準確率是指所有樣例中檢測結果正確的比例。F1 分數綜合考慮精確率和召回率，其中精確率是指正確檢測為正例樣本與所有檢測為正例樣本的比例，召回率是指正確檢測為正例樣本與所有正例樣本的比例。宏平均綜合考慮不同類別分類結果，計算多個類別F1 分數的算數平均值。3 個指標評價分別表示為

其中，TP（true positive）為正例樣本檢測為正例樣本的樣例數，FP（false positive）為攻擊樣本檢測為正例樣本的樣例數，FN（false negative）為正例樣本檢測為攻擊樣本的樣例數，ALL 為所有樣例數。

5.3 結果與分析

將多類 APT 攻擊標識序列分別輸入基于seqGAN 的APT 攻擊樣本特征強化模型，再與正常流量標識序列進行洗牌操作得到最終的標識序列樣本。本文標識序列樣本共分為3 個部分，其中60%為訓練集，20%為驗證集，20%為測試集。本文的實驗包括APT 攻擊二分類對比實驗、APT 攻擊多階段檢測對比實驗和攻擊序列不同占比檢測對比實驗。

在二分類對比實驗中，分別采用文獻[8-13]檢測模型和本文方法中的MSDN 在DAPT2020 數據集上進行二分類檢測實驗，使用準確率和F1 分數評估APT 攻擊檢測效果，不同模型對APT 攻擊的檢測結果如表6 所示。

表6 不同模型對APT 攻擊的檢測結果

由表6 可知，MSDN 采用多頭注意力機制感知時間跨度較大的流量特征之間的關聯性，并采用多階段感知注意力機制，增強檢測模型對APT 攻擊感知能力。與對比模型相比，MSDN 具有較好的攻擊檢測效果。

由于MSDN 將APT 攻擊標識序列作為檢測模型輸入，采用文本分類經典模型和APT 攻擊序列檢測模型作為對比模型進行實驗分析，可以證明本文方法在APT 攻擊多階段檢測效果良好。在多階段檢測對比實驗中，分別將 MSDN 與GAN-LSTM[9]、DPCNN[11]和TextRCNN[13]模型作為APT 攻擊多階段檢測模型，在2 個數據集上的多階段F1 分數檢測結果分別如表7 和表8 所示，宏平均結果對比如圖7 所示。

表7 CICIDS2017 數據集多階段F1 分數檢測結果

表8 DAPT2020 數據集多階段F1 分數檢測結果

圖7 4 種模型的宏平均結果對比

由表7、表8 和圖7 可知，MSDN 具有較好的APT 攻擊多階段檢測效果，其宏平均高于其他3 種模型。在對APT 攻擊多階段檢測中，GAN-LSTM在檢測較長攻擊序列時會出現參數訓練較慢及梯度消失現象，導致檢測精度降低。DPCNN 通過提取間隔距離較遠的APT 特征之間關聯性，對較長攻擊序列檢測精度較高，但由于其未考慮APT 攻擊序列特性，在正常流量檢測時效果不佳。TextRCNN 利用循環網絡結構提取遠距離特征，但該模型在分析序列特征時對各流量特征進行單獨分析，對較長攻擊序列檢測效果不佳。MSDN能夠充分感知各階段特征及其關聯性，經過相同樣本特征強化后，對APT 攻擊多階段檢測具有較好效果。隨著APT 攻擊持續時間增長，流量特征逐漸多樣，正常流量的隨機嵌入會引入一定噪聲，導致檢測模型對時間跨度較大的流量特征之間關聯性的感知能力出現一定程度的下降，進而導致對長持續時間的攻擊序列檢測精度降低。MSDN引入多階段感知注意力機制，相較對比模型，在長序列檢測中具有較好的檢測效果。

由于APT 攻擊具有隱蔽性和長期性等特點，APT 攻擊流量在真實網絡流量中的比重較低，需要從網絡流量中檢測出不同占比的APT 攻擊序列。因此，采用本文方法對2 個數據集中不同占比的攻擊序列進行檢測，實驗結果如圖8 和圖9所示。

圖8 CICIDS2017 數據集中不同占比的攻擊序列的檢測結果

圖9 DAPT2020 數據集中不同占比的攻擊序列的檢測結果

由圖8 和圖9 可知，在較低的攻擊序列占比中，本文方法仍具有較高檢測精度。在CICIDS2017 數據集中，當攻擊序列占比為10%時，APT1檢測F1分數達到96.17%。隨著攻擊序列在樣本中占比的提高，APT 攻擊多階段檢測精度逐漸提高。由于攻擊序列在標識序列樣本中占比越高，經樣本特征強化，APT 攻擊檢測過程中感知的攻擊特征增加，對攻擊的檢測精度逐漸提升。實驗結果證明，在不同真實網絡流量占比情況下，本文方法對多類APT攻擊標識序列具有較好的檢測效果。

6 結束語

為提高APT 攻擊多階段檢測精度，本文提出一種基于樣本特征強化的APT 攻擊多階段檢測方法。通過重構APT 攻擊多階段流量構建APT 攻擊標識序列，基于seqGAN 生成更符合真實網絡流量的APT攻擊標識序列并對原始序列樣本進行樣本特征強化。通過提出的MSDN 模型進行APT 攻擊多階段檢測，構建多階段感知注意力機制來增強模型對不同攻擊階段的感知能力。實驗結果表明，本文方法在增強攻擊階段流量特征多樣性的同時能夠提高APT 攻擊多階段檢測精度，對多類APT 攻擊序列的檢測性能較突出。

在未來研究中，筆者將從多角度分析APT 攻擊檢測的關聯影響因素，考慮在提取各個階段流量特征時進一步優化特征選擇方法，從而進一步提高對長持續時間APT 攻擊的檢測性能。