METANOIA：用于缓解概念漂移的终身入侵检测与调查系统
密码学与安全
2026-03-18 v2
摘要
随着高级持久性威胁 (APT) 复杂度的增加， provenance 数据正逐渐被用于检测。由于其攻击知识中性且能够抵御零日漏洞的特性，基于异常的检测系统正受到关注。然而，传统的检测范例在离线、有限大小的数据上进行训练，往往忽视了概念漂移——随着时间推移，流数据分布发生不可预测变化。这会导致高假阳性率。我们提出将增量学习作为一种新的范例来缓解此问题。然而，我们在将增量学习集成为新的范例时识别出四个挑战：首先，长期运行的增量系统必须与灾难性遗忘 (C1) 作战，并避免学习恶意行为 (C2)。然后，该系统需要实现精确警报 (C3) 和重建攻击情景 (C4)。我们提出 METANOIA，这是第一个缓解概念漂移导致的高假阳性率的终身检测系统。它通过连接伪边来对抗灾难性遗忘，将可疑状态转移以避免学习恶意行为，在路径级别过滤节点以实现精确警报，构建小图以重建攻击情景。使用最先进的基准测试，我们展示 METANOIA 在窗口级别、图级别和节点级别的精度性能分别比以前的方法提高了 30%、54% 和 29%。
引用
@article{arxiv.2501.00438,
title = {METANOIA: A Lifelong Intrusion Detection and Investigation System for Mitigating Concept Drift},
author = {Jie Ying and Mengce Zheng and Jungan Chen and Ruoxi Chen and Zhongjie Zhua and Tiantian Zhu},
journal= {arXiv preprint arXiv:2501.00438},
year = {2026}
}