采用双塔Transformer模型的APT攻击序列检测方法

摘要

现有APT检测研究多针对APT攻击部分阶段数据，缺少对完整APT攻击阶段的上下文关联分析。为解决上述挑战，结合主机侧和网络侧数据，构建包含APT完整阶段的多变量时序数据集，提出一种基于特征选择和双塔Transformer模型的APT攻击序列检测方法。首先，利用特征优选模块，筛选出重要特征子集作为输入；其次，采用双塔结构，从时间维度上捕获APT攻击序列前后时刻状态间的关联信息，从特征维度上挖掘特征变量间的隐含关系；最后，引入门控结构，连接合并双塔的权重，自适应地融合APT攻击序列在时间维度和特征维度的隐含信息，以达到提升检测性能的目的。实验结果表明，与循环神经网络（RNN）、长短时记忆网络（LSTM）和Transformer模型相比，该方法表现更好，检测准确率达到95.42%。

关键词

APT检测 / 特征选择 / Transformer模型 / 多变量时序分析