TBDetector：基于 Transformer 的溯源图高级持续性威胁检测器

由于高级持续性威胁（APT）具有长期潜伏、隐蔽且缓慢的多阶段攻击模式，APT 检测难以检测。为解决这些问题，我们提出了 TBDetector，一种基于 transformer 的用于 APT 攻击检测的高级持续性威胁检测方法。考虑到溯源图提供丰富的历史信息，并具备识别异常活动的强大攻击历史关联能力，TBDetector 采用溯源分析进行 APT 检测，其以空间高效的方式总结长期运行的系统执行，并利用带有基于自注意力编码-解码器的 transformer 提取系统状态的长期上下文特征以检测缓慢攻击。此外，我们进一步引入异常分数来考察不同系统状态的异常性，其中每个状态根据其相似度分数和孤立分数计算对应的异常分数。为评估所提方法的有效性，我们在五个公开数据集上进行了实验，即 streamspot、cadets、shellshock、clearscope 和 wget_baseline。与最先进方法的实验结果和对比显示了我们所提方法更优的性能。