基于拓扑数据分析的主机日志异常检测

拓扑数据分析（TDA）使从业者能够分析网络安全数据的全局结构。我们使用 TDA 对通过开源项目 Logging Made Easy (LME) 收集的基于主机的日志进行异常检测。我们提出了一种直接从 Windows 日志构建单纯复形过滤的方法，从而能够使用拓扑工具分析其内在结构。我们将持久同调性以及图和超图拉普拉斯算子的谱作为特征向量，与计算事件数量的标准日志嵌入方法进行了比较，发现计算机日志的拓扑和谱嵌入包含了用于分类异常日志的判别性信息，这些信息与标准嵌入是互补的。最后，我们讨论了将我们的方法用作可解释异常检测框架一部分的潜力。