威胁情报驱动的动态威胁狩猎方法

摘要：

近年来,随着开源威胁情报自动化提取技术的发展,在威胁情报驱动下对溯源图(Provenance Graph)进行威胁狩猎有着无需专家知识且能提供完整攻击场景的优势,是一种有效的威胁检测手段.然而,现有的威胁狩猎方法仍存在以下不足:一方面,现有方法依赖威胁指标(Indicators of Compromise,IOC)进行威胁搜索,难以在攻击逃避检测的情况下对威胁进行有效检测;另一方面,现有方法鲜有考虑持续狩猎的应用场景,忽视了持续狩猎导致的高开销.为解决以上问题,文章提出一种威胁情报驱动的动态威胁狩猎方法(Threat Intelligence-Driven Dynamic Threat Hunting Method,DyHunter),可以在攻击逃避检测导致威胁情报与真实攻击不一致的情况下进行持续的威胁狩猎.DyHunter使用复合的候选子图选择算法避免攻击节点与攻击子图被遗漏,使用一种多层图相似性学习方法分别对拓扑结构相似性与节点属性相似性进行学习以提高模型鲁棒性,生成并维护一个可疑子图以减少持续狩猎的开销.实验结果表明,与已有方法相比,DyHunter可以有效保证在攻击逃避检测的情况下的高准确性,并在持续狩猎过程中减少94.1％以上的空间开销.

关键词：威胁情报、溯源图、威胁狩猎、图相似性学习

所属期刊栏目：23

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金;贵州省省级科技计划

在线出版日期：2023-07-26（万方平台首次上网日期，不代表论文的发表时间）

页数：共13页

页码：91-103