一种基于因果语义一致的溯源图压缩方法及系统

本发明属于网络安全与溯源分析，具体涉及一种因果语义一致的溯源图压缩方法及系统。

背景技术：

1、溯源图已经成为企业系统中攻击调查与异常检测的重要基础，然而系统审计日志会产生海量的事件，导致溯源图的规模极大，不仅阻碍了高效的安全分析，还带来了显著的存储和计算开销。

2、现有技术中，基于溯源的安全分析技术已经得到了广泛的研究，比如backtracker实现了入侵的因果追踪，priotracker通过优先级排序加速溯源，prographer、magic等基于图学习的方法实现了异常检测。但这些方法都面临溯源图规模过大的可扩展性问题。

3、为了解决这个问题，现有研究提出了多种溯源图压缩技术，分为结构-based压缩、语义-based压缩和混合压缩。结构-based压缩比如logapprox、provgrp、dehydrator，通过识别重复的拓扑结构来压缩图，但这类方法忽略了语义差异，容易丢失攻击关键信息；语义-based压缩比如nodemerge，通过语义属性聚合节点，但攻击者可以伪装语义，导致恶意节点被错误合并；混合方法大多针对特定任务，没有通用的联合机制。

4、现有技术的缺点如下：

5、（1）纯结构压缩会掩盖攻击的特殊因果结构，将攻击的特殊因果链埋入重复的正常结构中，导致攻击路径丢失。

6、（2）纯语义压缩会错误合并恶意与正常节点，攻击者可以通过伪装语义，将恶意节点和正常节点合并，丢失攻击线索。

7、（3）现有混合方法缺乏通用的联合度量，无法同时兼顾高压缩比和攻击信息的完整保留。

技术实现思路

1、本发明的目的在于提出一种因果语义一致的溯源图压缩方法及系统，以解决现有溯源图压缩方法单维度压缩导致的攻击关键信息丢失、压缩效果与检测精度无法兼顾的问题，达到实现高压缩比的同时，完整保留攻击关键的因果依赖与语义信息，提升下游安全分析的效率，且不损失检测精度的效果。

2、为实现上述目的，本发明采用以下技术方案。

3、一种因果语义一致的溯源图压缩方法，包括以下步骤：

4、对系统审计日志进行预处理，构建初始溯源图并完成冗余边去重；

5、对所述初始溯源图的节点分别提取结构嵌入特征与语义嵌入特征；

6、基于所述结构嵌入特征与语义嵌入特征计算节点间的因果语义一致性度量；

7、基于所述因果语义一致性度量对所述初始溯源图进行节点聚合，得到压缩后的溯源图。

8、进一步地，对系统审计日志进行预处理，构建初始溯源图并完成冗余边去重，包括：

9、将系统审计日志转换为初始溯源图，其中节点为系统实体，边为实体间的因果依赖事件；

10、对相同时间片内、相同源节点、目的节点与操作类型的重复边进行合并，保留交互频率信息。

11、进一步地，对所述初始溯源图的节点分别提取结构嵌入特征与语义嵌入特征，包括：

12、基于初始溯源图的邻接结构与节点类型特征，通过图卷积网络学习节点的结构嵌入特征，所述结构嵌入特征用于表征节点的k-hop邻域结构、因果交互模式与结构角色；

13、通过安全领域预训练的语言模型对初始溯源图中边的语义属性进行编码，得到边的语义嵌入；将节点关联的所有边的语义嵌入进行聚合，得到节点的语义嵌入特征，所述语义嵌入特征用于表征节点的行为语义特征。

14、进一步地，基于所述结构嵌入特征与语义嵌入特征计算节点间的因果语义一致性度量，包括：

15、对每个节点，拼接其结构嵌入特征与语义嵌入特征，得到节点的联合特征；

16、基于图表示学习模型学习节点的联合嵌入；

17、计算两个节点的联合嵌入的余弦相似度，作为节点间的因果语义一致性度量。

18、进一步地，基于所述因果语义一致性度量对所述初始溯源图进行节点聚合，包括：

19、遍历初始溯源图中的节点对，计算节点对的因果语义一致性度量；

20、当节点对的因果语义一致性度量超过预设阈值时，将两个节点合并为一个聚合节点，继承原节点的依赖边并更新节点嵌入；其中，聚合节点完整继承两个原始节点全部入边和出边；若出现同源同目标的重复边，则合并边并累加交互频次计数，以保留原始因果依赖关系；聚合节点会同时更新结构嵌入、语义嵌入两类特征；若两个节点a、b合并为一个聚合节点，则聚合操作流程为：

21、（1）对节点 a 和节点 b 的结构嵌入进行均值计算，生成聚合节点的全新结构嵌入；

22、（2）对节点 a 和节点 b 的语义嵌入进行均值计算，生成聚合节点的全新语义嵌入；

23、聚合完成后再将新的结构嵌入与语义嵌入拼接，重新生成该聚合节点的联合嵌入，用于后续与其他节点的一致性相似度计算。

24、迭代执行上述节点聚合步骤，直到不存在满足聚合条件的节点对，得到压缩后的溯源图。

25、进一步地，还包括：将压缩后的初始溯源图输入下游安全分析模块，进行攻击检测与安全调查。

26、一种因果语义一致的溯源图压缩系统，包括：

27、预处理模块，用于对系统审计日志进行预处理，构建初始溯源图并完成冗余边去重；

28、特征提取模块，用于对所述初始溯源图的节点分别提取结构嵌入特征与语义嵌入特征；

29、一致性度量模块，用于基于所述结构嵌入特征与语义嵌入特征计算节点间的因果语义一致性度量；

30、图压缩模块，用于基于所述因果语义一致性度量对所述初始溯源图进行节点聚合，得到压缩后的溯源图。

31、进一步地，所述特征提取模块包括：

32、结构嵌入单元，用于基于初始溯源图的邻接结构与节点类型特征，通过图卷积网络学习节点的结构嵌入；

33、语义嵌入单元，用于通过安全领域预训练的语言模型对边的语义属性编码，并聚合得到节点的语义嵌入。

34、进一步地，还包括下游分析模块，用于将压缩后的溯源图用于攻击检测与安全调查，提升安全分析的效率。

35、本发明取得了如下有益效果。

36、1. 本发明采用双维度的联合压缩机制，同时考虑节点的结构因果特征和行为语义特征，解决了单维度压缩的缺陷，避免了攻击关键信息的丢失，确保压缩后的图仍然保留完整的攻击传播路径。

37、2. 本发明提出的因果语义一致性度量，能够安全地指导节点聚合，只有当节点在两个维度都满足一致性时才会聚合，既能够有效合并冗余的正常行为，实现最高30倍的压缩比，又能够避免恶意节点被错误合并，完整保留攻击相关的信息。

38、3. 本发明的压缩后的图能够直接用于下游的安全分析，在不损失检测精度的前提下，将下游检测的时间降低了50%，大幅提升了安全分析的效率，解决了大规模溯源图的分析效率问题。

39、4. 本发明的双维度模块具有互补性，结构压缩消除了结构冗余，语义压缩消除了语义冗余，两者结合能够实现比单独模块更好的效果，兼顾了压缩比和检测性能。

40、5. 本发明的框架是通用的，能够适配各种下游的安全分析任务，无论是攻击检测还是安全调查，都能够直接使用压缩后的图，不需要对下游任务进行修改，具有良好的通用性和可扩展性。