一种面向溯源图实体状态演化的实时APT检测模型

A Real-time APT Detection Model for Entity Evolution in Provenance Graph

摘要

针对现有基于溯源图的高级持续性威胁（APT）检测方法存在的报警延迟问题，提出一种基于系统实体状态动态追踪的实时检测方案StreamTGN。首先，构造信息层级更高的操作级溯源图；其次，通过实体在系统运行过程中的状态演变，动态分析系统活动的合理性；最终，通过动态设置的异常阈值，检测与APT攻击潜在相关的异常行为。实验结果表明，该方案可有效应对APT攻击“低频率，长周期”的行为特征，且相较现有研究表现出更强的检测稳定性和鲁棒性。

Abstract

Addressing the alert delay issue in existing advanced persistent threat (APT) detection methods based on provenance graphs, a real-time detection scheme named StreamTGN is proposed, which relies on dynamic tracking of system entity states. An operational-level provenance graph with higher information hierarchy is first constructed. Subsequently, the rationality of system activities is dynamically analyzed through the state evolution of entities during system operation. Finally, abnormal behaviors potentially related to APT attacks are detected using dynamically set anomaly thresholds. Experimental results demonstrate that StreamTGN effectively addresses the “low-and-slow” behavioral characteristics of APT attacks while exhibiting stronger detection stability and robustness compared to existing approaches.

Graphical abstract

关键词

APT检测 / 溯源图 / 图神经网络 / 异常检测

Key words

APT detection / provenance graph / graph neural network / anomaly detection

高级持续性威胁（Advanced Persistent Threat，APT）是一种具有高度组织性和技术先进性的新式网络攻击活动，攻击目标涵盖国家政府机构和跨国商业公司，已成为网络领域最为棘手的威胁形态之一^[1]。尽管APT攻击的实现手段种类繁多，但其具体活动难免在系统审计日志中留下可追踪的活动记录（如非法文件访问）。因此，基于日志构造的溯源图被广泛认为是一种较为理想的APT检测数据载体，该图结构通过对数据传输和控制逻辑等上下文信息的建模^[2]，为检测多阶段、长周期的APT攻击提供了一种可行方案。基于溯源图的传统攻击检测主要通过标签传播^[3-4]或图匹配^[5-6]等模式实现，但这些模式高度依赖APT攻击的先验知识，难以应对不断涌现的新型攻击手段。因此，近期研究转而将APT检测建模为半监督或无监督的异常检测，通过识别溯源图中的异常子结构或指令序列，实现更为全面的APT攻击检测。尽管相关研究已取得一定成果，但在检测实时性方面还面临挑战。部分研究^[7-8]聚焦于溯源图的全局统计特征向量等宏观动态性信息，但该信息对低频攻击活动的低敏感性，导致严重的报警延迟。另一些研究^[9-12]则将连续日志流按照时间窗口分割为规模较小的子图（快照），通过缩小单次检测范围的方式提升效率。然而，快照周期性分割机制导致的硬性延迟难以避免，且其对原始溯源图长期依赖关系的破坏不利于发现渐进式攻击行为。

基于上述分析，提出了一种APT攻击实时检测方案StreamTGN。相较现有工作，StreamTGN以系统审计日志流作为输入，动态维护一个具有更高信息层级的溯源流图。在此基础上，持续监控系统实体的状态演变以捕获所有的异常边活动，从而实现对潜在APT攻击活动的实时报警。通过与该领域前沿研究的对比实验，StreamTGN被证明可在多样化攻击场景下保持稳定的识别性能。

1 相关工作

1.1 溯源图

传统意义上的溯源图属于标准的有向无环图（Directed Acyclic Graph，DAG），其节点和边分别代表审计日志中记录的系统实体和指令事件。令L和T分别代表溯源图中元素的类别信息和时间戳信息，则溯源图可表示成由节点、边和一组映射函数组成的特殊数据结构，即G=(V,E,\lambda ,\tau )。其中：V代表溯源图的节点集合；E代表有向边集合，每条有向边会关联一对节点，分别代表边的源端点和目的端点；\lambda :V\bigcup E\to L代表代表标签映射函数，为G中每个节点或边关联其类别信息；\tau :E\to T代表时间映射函数，为G中每条边关联其发生的时间戳。

1.2 基于溯源图的异常检测相关工作

表1总结了溯源图领域基于异常的APT攻击检测的代表性研究。

根据最终报警的图结构粒度，这些工作可进一步细分为全图级别、路径级别和元素级别。全图级别方法^[7-8]的基本思路是将溯源图的全局信息建模为固定维度的向量表示，通过对比不同或同一主机不同时刻的全局向量，检测存在异常行为的目标主机。此类方法的核心问题是无法提供异常活动的具体信息，且全局向量主要受占主导地位的良性背景活动影响，攻击者可通过良性模拟等策略轻易绕过检测^[18]。

路径级别方法^[13-14]主要利用攻击活动之间的顺序关系，尤其是路径信息开展APT攻击检测。此类方法通常先提取溯源图中的路径结构体，随后依据路径中元素的类别信息将其转化为自然“语句”，最终通过doc2vec^[19]等自然语言处理模型生成路径的嵌入向量并检测其中的异常值。相较于全图级别，路径级别方法因引入了更详细的上下文信息，故能够检测更隐蔽的攻击活动。然而，大规模溯源图普遍存在的依赖度爆炸问题导致路径构造的时间成本高昂，限制了此类方法的检测效率，且其难以检测离散攻击片段的特性在应对高度复杂的APT攻击活动时面临严峻挑战^[17]。

元素级别方法则旨在检测溯源图中与APT攻击活动相关的节点或者边。部分研究聚焦于元素本身的语义或类别信息，例如文献[12]提出的DISTDET方法，为每个受监控主机建立分层的系统事件树以记录其上的历史事件，进而实现一种轻量级的异常事件检测机制。

其余研究则普遍采用编码器—解码器架构，收集元素的局部拓扑或语义信息进行检测。其中：编码器通常基于图神经网络（Graph Neural Network, GNN）生成元素的嵌入表示；而解码器则基于此表示，通过半监督或无监督的异常检测机制，识别攻击相关的溯源图节点或边。在异常边检测领域，文献[15]提出的SHADERWATCHER将边代表的指令事件类比为商品推荐领域的“用户—商品”交互，并利用TransE模型^[10]预测每条边的“偏好”概率，进而将低概率边视为潜在的攻击活动。

在异常节点检测领域，由于各方法的解码器实现较为统一，此处主要讨论编码器的实现差异。SIGL^[16]利用图长短时记忆网络，生成进程节点的鲁棒嵌入，以此检测恶意软件安装行为。THREATRACE^[17]和FLASH^[11]均选择GraphSAGE^[20]作为编码器的核心模型。为进一步减少误报，前者额外引入了多模型框架，后者则分别运用Word2Vec模型和位置编码同步获取节点的语义信息和边的时序信息。MAGIC ^[9]选择结合图注意力网络（Graph Attention Network, GAT）和图掩码方法，以获取更具泛化性的正常行为特征。

目前，元素级别的检测由于可提供最细粒度的报警信息而受到广泛的关注，但本文注意到尚无研究可达到对异常实体的实时检测。

2 启发性案例

为辅助说明，启发性案例选择了一个来自DARPA E3-CADETS的攻击事件，该事件涉及的关键指令交互如图1所示。

为简化图结构，系统实体间协同完成同一操作的复数指令被汇聚为一条边，这些边按照发生的顺序编号并标注包含的指令类别，此外，实线边和虚线边分别代表攻击者的成功活动和失败尝试。该攻击的具体步骤如下：1）发送恶意HTTP请求，获取目标主机上一个正在运行的Ngnix进程的控制权（边①），建立与攻击者C&C服务器的稳定连接（边②）。2）删除上一次攻击遗留的恶意程序文件/tmp/grain（边③）以抹去攻击痕迹，完成前期准备工作。3）在正式攻击伊始，多次尝试下载名为tmux-1002的APT植入程序并提升其运行权限（边④~边⑦），但都以失败告终。4）转而下载另一种植入程序并将其保存为本地的/tmp/XIM文件，提升权限为root后运行（边⑧~边12）。5）运行的XIM进程将继续创建子进程Test，负责下载具备内网扫描功能的恶意程序/tmp/test（边13~边⑰）。6）该恶意程序对同一网段内的其他主机进行端口扫描，为后续的横向移动阶段收集必要的情报信息。

基于对类似攻击案例的总结，本文发现由于系统审计日志的信息层级较低，单条日志（指令）的信息有限，一个特定操作通常需要多条指令协同完成。例如，边⑤代表的写入操作就包括至少4条不同的指令。此外，长期运行系统涉及的海量操作令传统指令级溯源图面临严重的边规模问题。为此，本文提出操作级溯源图的概念，依据部分指令类别隐含的操作结束语义和实体对间的指令时间间隔（操作间的间隔通常远大于操作内）从原始审计日志流中提取操作级交互关系，作为本文溯源图边的基本单位。相较指令级溯源图，操作级图面对大规模日志数据具有更强的可拓展性，是StreamTGN进行实时APT攻击检测的基础。

3 StreamTGN设计

为实现对细粒度攻击活动，特别是恶意实体的检测，StreamTGN采用了如图2所示的编码器—解码器架构。

其中：编码器基于操作级溯源流图监控系统实体的实时状态，动态维护包含其全部历史活动信息的状态向量；解码器则利用该向量，通过预测实体操作交互概率的方式，检测目标系统中的异常活动和恶意实体。

3.1 编码器

现有研究的编码器大多聚焦于实体的静态信息，却忽略了实体状态随系统运行的动态演变。受限于此，这些方法难以检测一些高度隐蔽的攻击模式（如将良性进程转变为恶意活动载体的进程注入攻击）。为解决此问题，本文选择时序图神经网络（Temporal Graph Network，TGN）^[21]作为编码器的核心模型。相较传统静态GNN模型，TGN的核心改进为引入记忆结构体（记为\mathrm{M}\mathrm{o}[\bullet ]），为图中个节点动态记录其状态向量\mathit{s}、最新参与操作的时间戳m_{\mathrm{t}}和边消息向量\mathit{m}。此记忆机制赋予了TGN建模持续运行系统的长期依赖关系的能力，对检测长期潜伏的APT攻击至关重要。

具体而言，在操作级溯源图动态更新的过程中，当一条边e=(u,v)在t时刻被添加到图中时，编码器将被激活，通过特征提取、边消息计算和节点状态更新3个步骤，获取经历该操作后两个端点实体的状态向量，各步骤的具体流程如下。

1）特征提取。获取边e、节点u和v的初始化特征向量，分别记为{\mathit{F}}_e、{\mathit{F}}_u和{\mathit{F}}_v。其中{\mathit{F}}_u和{\mathit{F}}_v分别为基于节点u和v类别信息\lambda (u)和\lambda (v)生成的独热编码，而{\mathit{F}}_e则代表操作e所聚合指令事件的类别独热编码向量的逐元素求和结果。

2）边消息计算。综合考虑时间、局部拓扑和边初始化特征（即{\mathit{F}}_e）三方面要素，获取操作向两个端点传递消息的向量化表示。其中，时间维度信息的获取方式如下。首先，如式（1）所示，计算时刻t距离节点u和v上一次直接相关操作的时间间隔，记为∆t_u和∆t_v：

\left\{\begin{array}{c}∆t_u\leftarrow t^{-}\mathrm{M}{\mathrm{o}}_{t^{-}}\left[u\right].m_t;\\ ∆t_v\leftarrow t^{-}\mathrm{M}{\mathrm{o}}_{t^{-}}\left[v\right].m_t.\end{array}\right.（1）

式中：t^{-}代表t的上一时刻；\mathrm{M}{\mathrm{o}}_{t^{-}}\left[u\right]和\mathrm{M}{\mathrm{o}}_{t^{-}}\left[v\right]则分别代表节点u和v经历操作e前的记忆结构体；得到的时间间隔将通过文献[22]所提的时间编码算法，转化成代表时间维度信息的向量{\mathit{T}}_u和{\mathit{T}}_v。此外，节点在记忆结构体中记录的时间戳将同步更新，以记录其正在参与的操作，如式（2）所示：

\mathrm{M}{\mathrm{o}}_t\left[u\right].m_t,\mathrm{M}{\mathrm{o}}_t\left[v\right].m_t\leftarrow t（2）

而对于局部拓扑信息，本文将为端点实体提取其在t时刻溯源图中的一阶邻域图，通过时序图注意力网络（Temporal Graph Attention Network, TGAT）计算端点在对应子图中的嵌入（以上一步骤得到的节点特征向量为输入），作为代表局部拓扑信息的向量{\mathit{Z}}_u和{\mathit{Z}}_v。

最终，本步骤通过一个多层感知机网络（记为M_{\mathrm{1}}）汇总上述3种维度的信息，获取操作e对于节点u和v的消息向量，如式（3）所示，其中\left(\bullet ‖\bullet \right)代表向量拼接操作：

\left\{\begin{array}{l}\mathrm{M}{\mathrm{o}}_t\left[u\right].\mathit{m}\leftarrow M_{\mathrm{1}}\left({\mathit{Z}}_u‖{\mathit{Z}}_v‖{\mathit{F}}_e‖{\mathit{T}}_u\right);\\ \mathrm{M}{\mathrm{o}}_t\left[v\right].\mathit{m}\leftarrow M_{\mathrm{1}}\left({\mathit{Z}}_v‖{\mathit{Z}}_u‖{\mathit{F}}_e‖{\mathit{T}}_u\right).\end{array}\right.（3）

3）节点状态更新。为获取经历操作后的节点状态向量，此步骤被建模为一个序列预测任务，引入了门控循环单元（Gated Recurrent Unit, GRU）^[23]作为核心模型。相较LSTM、BiLSTM等其他热门循环神经网络模型，GRU在同等推理能力下所需的参数规模更小且推理效率更高，更契合StreamTGN的实时检测需求。状态更新的过程如式（4）所示：

\left\{\begin{array}{c}\mathrm{M}{\mathrm{o}}_t\left[u\right].\mathit{s}\leftarrow G_{\mathrm{r}}(\mathrm{M}{\mathrm{o}}_{t^{-}}\left[u\right].\mathit{s},\mathrm{M}{\mathrm{o}}_t\left[u\right].\mathit{m});\\ \mathrm{M}{\mathrm{o}}_t\left[v\right].\mathit{s}\leftarrow G_{\mathrm{r}}(\mathrm{M}{\mathrm{o}}_{t^{-}}\left[v\right].\mathit{s},\mathrm{M}{\mathrm{o}}_t\left[v\right].\mathit{m}).\end{array}\right.（4）

式中，G_{\mathrm{r}}代表一个GRU网络实例，端点更新前的状态向量将作为G_{\mathrm{r}}的隐藏层状态，上一步骤得到的边消息向量作为模型的输入，更新后的隐藏层状态则被视为实体新的状态向量。

通过上述步骤，动态更新的状态向量整合了节点历史活动和当前操作两方面信息，有效保证了对低频率、长周期的APT攻击活动检测。

3.2 解码器

近期的同类研究^[9,11]常将解码器负责的异常检测建模为基于指令类别的多分类问题。然而，此方案并不适用于本文的检测对象——操作级溯源图。对数据的深入统计分析发现，即使是代表同类型任务的操作，其覆盖的指令类别和数量也可能存在显著差异。

例如，图1中的边④和边⑧都是文件传输操作的实例，但后者相较前者新增了一种指令connect。此外，受传输文件大小和传输协议的影响，两个操作中的sendto和recvfrom指令的绝对数量和比例分布也存在较大差异。

基于这一事实，StreamTGN的解码器被建模为一个操作异常性的概率估计问题，即通过节点u和v在t^{-}时刻的状态信息，来评估操作e在时刻t发生的异常性概率P(e)，该过程如式（5）所示：

P\left(e\right)=M_{\mathrm{2}}\left(\mathrm{M}{\mathrm{o}}_{t^{-}}\left[u\right].\mathit{s}{‖\mathrm{M}\mathrm{o}}_{t^{-}}\left[v\right].\mathit{s}\right)（5）

式中：M_{\mathrm{2}}代表另一个需训练的多层感知机网络；而式（4）得到的\mathrm{M}{\mathrm{o}}_t\left[u\right].\mathit{s}和\mathrm{M}{\mathrm{o}}_t\left[v\right].\mathit{s}因包含操作e的存在性信息（局部拓扑信息计算），将被直接保存在对应节点的记忆结构体中，等待下一次预测任务的到来。

在训练阶段，StreamTGN将基于目标系统未遭受APT攻击期间收集的数据，学习系统的正常行为模式。其中，负样本代表目标系统中真实存在的良性活动，而正样本则在负样本的基础上，通过如下方式构建。对于给定负样本操作e，替换其目标节点v为溯源图中另一个类型的实体v^{\text{'}}，从而得到在t时刻不存在的操作e^{\text{'}}，如式（6）所示:

p=\left\{e^{\text{'}}=\left.\left(u,v^{\text{'}}\right)\right|\left(u,v\right)\in n\wedge \lambda \left(v^{\text{'}}\right)\ne \lambda \left(v\right)\right\}（6）

鉴于操作的异常概率预测本质上属于0-1二分类问题，本文引入了二元交叉熵损失^[24]（记为\mathrm{B}\mathrm{L}）进行训练阶段的损失值计算。得益于记忆结构体的支持，对应的正负样本将在相同历史操作上下文下进行预测，该过程如式（7）所示：

E_p=\mathrm{B}\mathrm{L}\left(P\left(e\right),\mathrm{0}\right)+\mathrm{B}\mathrm{L}\left(P\left(e^{\text{'}},\mathrm{1}\right)\right)（7）

式中，E_p代表当前正负样本对的损失值，通过最小化训练阶段的全局损失，编码器和解码器的参数可被同时优化，且训练完成的解码器将能够对异常行为输出更高的概率置信度。值得注意的是，在上述过程中，由于正样本实际上并不存在，因此其虽然参与模型参数的反向传播，但式（2）~式（4）对应的计算结果将不会同步入记忆结构体，以保证节点历史状态信息的真实性。

在检测阶段，StreamTGN将以目标主机在训练阶段所有负样本的概率平均值作为报警阈值，在此基础上实时评估其上发生的操作级交互的异常概率，将所有超过阈值的操作视为潜在的攻击活动，并通过图遍历的方式进一步关联攻击相关实体，完成最终的APT攻击检测。

4 对比实验

4.1 实验设置

1）实验环境。表2中列举了StreamTGN的一些关键参数，其中：节点特征维度代表据日志信息进一步细分的系统实体子类规模（进程2种、文件6种和套接字1种）；边特征维度39代表本研究涉及的系统指令类别数目，该数值远超现有研究（一般不超过10种）。

2）评价指标。本文使用精确率、召回率和F\mathrm{1}分数作为对比实验的评估指标。需要注意的是，现有研究在实验评估中，常将距离真实恶意实体2跳（甚至3跳）范围内的良性实体视为合理的告警对象，认为它们能够为威胁搜猎提供有价值的情报。然而，这种宽松的判定标准导致可疑活动范围大幅扩张，严重阻碍了运维人员快速锁定真正的攻击活动。因此，本实验设置了更为严格的真正例（TP）标准：仅覆盖检测结果中与APT攻击直接相关的实体。以图3为例，最内层红色椭圆和最外层蓝色实线椭圆划定的区域分别代表本研究和绝大部分现有研究（如THREATRACE^[17]和FLASH^[11]）的TP判定范围。

3）实验数据。本文实验数据选自DARPA E3数据集，从中挑选9个日志信息较为完整的攻击场景，并根据目标主机划分为4个数据子集：CADETS、ClearScope、THEIA和TRACE（分别包含 3、1、2、3个攻击场景）。

在每个子集内部，测试数据取自攻击发生时段的日志，包含比例悬殊的良恶性活动信息，并依照数据集提供的攻击流程文件进行了细粒度标注；训练数据则来自目标主机未遭受攻击前的良性运行日志。各数据子集的基础情况如表3所示（训练集边规模仅包括从日志中直接提取的负样本）。

4.2 对比实验

本实验的对照组包含4个基于元素级异常检测的相关方法：DISTDET^[12]、Kairos^[24]、FLASH^[11]和MAGIC^[9]。其中，DISTDET主要基于指令事件的语义信息进行异常指令检测。其他3个研究则借助GNN模型进行异常实体检测。为确保评估的粒度一致性，本研究将DISTDET报警事件的源端点和目的端点视为其检测的恶意实体。此外，为保证对比实验的公平性，所有对照方法的指令类型将按照本研究的标准予以拓展，并使用统一的数据集进行重新训练。

对比实验的结果如表4所示，受各子集攻击场景差异及本研究更严格TP判定标准的影响，对照组方法在不同测试子集上的检测能力出现明显波动。相较之下，本文方法在精确率和F\mathrm{1}分数上取得显著优势，仅在ClearScope子集上略低于MAGIC方法；同时，在大部分数据场景中（除CADETS子集外），StreamTGN也表现出较高水平的召回率。上述结果表明本文方法在检测细粒度恶意实体方面的出色性能。

针对各对照方法的性能波动，本研究展开了深度剖析：MAGIC方法在所有子集上都实现了极高的召回率指标，但其难以有效区分恶意实体和异常实体的特性导致了大量误报。特别是在良恶性活动比例不均衡的CADETS、THEIA和TRACE 3个子集上，其精确率指标均低于5%。FLASH方法在边特征构造过程中引入了基于位置编码的指令次序信息，但该信息对部分活动顺序高度交织的指令判断产生了干扰（例如sendto和recvfrom、read和write）。DISTDET方法的线索初步发现仅依赖单一指令自身的属性信息，缺乏有效的上下文活动支撑导致该方法难以有效应对多样化的攻击场景，在4个子集上的召回率指标上下限比例接近10倍。Kairos方法假设攻击活动不会在时间窗口维度上持续出现。然而，鉴于APT攻击的长期持续性，这一假设在许多真实的攻击活动中难以成立。例如，受攻击者远程控制的进程（如图1中的Ngnix进程），其与C&C服务器之间保持连接的心跳通信可能贯穿整个攻击周期。这种假设与实际情况的出入导致大量关键攻击活动被漏报。

5 结束语

提出了一个面向溯源图实体状态演化的实时APT检测模型StreamTGN，实验结果表明，该方案在面对复杂攻击场景时能够保持更稳定且鲁棒的检测性能。在后续工作中，本团队将继续改进该模型，并进一步探索识别攻击活动所采用具体攻击技术的可行方法。

参考文献

[1] 潘亚峰，朱俊虎，周天阳.APT攻击场景重构方法综述［J］.信息工程大学学报，2021，22（1）：55-60.

[2] PASQUIER T， HAN X Y， MOYER T， et al. Runtime analysis of whole-system provenance［C］∥Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. New York， USA： ACM， 2018：1601-1616.

[3] HOSSAIN M N， MILAJERDI S M， WANG J， et al. SLEUTH： real-time attack scenario reconstruction from COTS audit data［C］∥Proceedings of the 26th USENIX Security Symposium. Berkeley， USA： USENIX Association， 2017：487-504.

[4] MILAJERDI S M， GJOMEMO R， ESHETE B， et al. HOLMES： real-time APT detection through correlation of suspicious information flows［C］∥Proceedings of the 2019 IEEE Symposium on Security and Privacy. Piscataway， USA： IEEE， 2019：1137-1152.

[5] MILAJERDI S M， ESHETE B， GJOMEMO R， et al. POIROT： aligning attack behavior with kernel audit records for cyber threat hunting［C］∥Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security. New York，USA： ACM， 2019：1795-1812.

[6] LIU F C， WEN Y， ZHANG D X， et al. Log2vec： a heterogeneous graph embedding based approach for detecting cyber threats within enterprise［C］∥Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security. New York， USA： ACM， 2019：1777-1794.

[7] MANZOOR E， MILAJERDI S M， AKOGLU L. Fast memory-efficient anomaly detection in streaming heterogeneous graphs［C］∥Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining. New York， USA： ACM， 2016：1035-1044.

[8] HAN X Y， PASQUIER T， BATES A， et al. UNICORN： runtime provenance-based detector for advanced persistent threats［DB/OL］. （2020-01-06）［2025-03-22］.

[9] JIA Z A， XIONG Y， NAN Y H， et al. MAGIC： detecting advanced persistent threats via masked graph representation learning［DB/OL］. （2023-10-15）［2025-03-22］.

[10] BORDES A， USUNIER N， GARCIA-DURAN A， et al. Translating embeddings for modeling multi-relational data［C］∥Proceedings of the Advances in Neural Information Processing Systems. Cambridge， USA： MIT Press， 2013：1-9.

[11] REHMAN M UR， AHMADI H， HASSAN W UL. FLASH： a comprehensive approach to intrusion detection via provenance graph representation learning［C］∥Proceedings of the 2024 IEEE Symposium on Security and Privacy. Piscataway， USA： IEEE， 2024：3552-3570.

[12] DONG F， WANG L， NIE X， et al. DISTDET： A cost-effective distributed cyber threat detection system［C］∥Proceedings of the 32nd USENIX Security Symposium. Berkeley， USA： USENIX Association， 2023：6575-6592.

[13] WANG Q， HASSAN W U， LI D， et al. You are what you do： hunting stealthy malware via data provenance analysis［C］∥Proceedings of the 2020 Network and Distributed System Security Symposium. Reston， USA： Internet Society， 2020. DOI： 10.14722/ndss.2020.24167 .

[14] ALSAHEEL A， NAN Y， MA S， et al. ATLAS： a sequence-based learning approach for attack investigation［C］∥Proceedings of the 30th USENIX Security Symposium. Berkeley， USA： USENIX Association， 2021：3005-3022.

[15] ZENGY J， WANG X， LIU J H， et al. SHADEWATCHER： recommendation-guided cyber threat analysis using system audit records［C］∥Proceedings of the 2022 IEEE Symposium on Security and Privacy. Piscataway， USA： IEEE， 2022：489-506.

[16] HAN X Y， YU X， PASQUIER T， et al. SIGL： securing software installations through deep graph learning［DB/OL］. （2020-08-26）［2025-03-22］.

[17] WANG S， WANG Z L， ZHOU T， et al. THREATRACE： detecting and tracing host-based threats in node level through provenance graph learning［J］. IEEE Transactions on Information Forensics and Security， 2022，17：3972-3987.

[18] GOYAL A， HAN X Y， WANG G， et al. Sometimes， you aren’t what you do： mimicry attacks against provenance graph host intrusion detection systems［C］∥Proceedings of the 2023 Network and Distributed System Security Symposium. San Diego， USA： Internet Society， 2023. DOI： 10.14722/ndss.2023.24207 .

[19] LE Q， MIKOLOV T. Distributed representations of sentences and documents［C］∥Proceedings of the International Conference on Machine Learning. New York， USA： PMLR， 2014：1188-1196.

[20] HAMILTON W L， YING R， LESKOVEC J. Inductive representation learning on large graphs［DB/OL］. （2017-06-07）［2025-03-22］.

[21] ROSSI E， CHAMBERLAIN B， FRASCA F， et al. Temporal graph networks for deep learning on dynamic graphs［DB/OL］. （2020-06-18）［2025-03-22］.

[22] XU D， RUAN C W， KORPEOGLU E， et al. Inductive representation learning on temporal graphs［DB/OL］. （2020-02-19）［2025-03-22］.

[23] CHUNG J， GULCEHRE C， CHO K， et al. Empirical evaluation of gated recurrent neural networks on sequence modeling［DB/OL］. （2014-12-11）［2025-03-22］.

[24] CHENG Z J， LV Q J， LIANG J Y， et al. Kairos： practical intrusion detection and investigation using whole-system provenance［C］∥Proceedings of the 2024 IEEE Symposium on Security and Privacy. Piscataway， USA： IEEE， 2024：3533-3551.

基金资助

国家自然科学基金(62302520)

国家自然科学基金(62402524)