李 腾 乔 伟 张嘉伟 高怿旸 王申奥 沈玉龙 马建峰

1(西安电子科技大学网络与信息安全学院 西安 710071) 2(西安电子科技大学计算机科学与技术学院 西安 710071) 3(西安电子科技大学人工智能学院 西安 710071)

在各类网络安全问题中，高级持续性威胁(advanced persistent threat, APT)现在是各大企业、政府所要面对的最大问题.智能系统通常“外部安全堡垒”建设完善，但是，APT攻击多以商业信息和政治安全为攻击目的，具有高度的隐蔽性，往往经过了长期的经营与策划.APT攻击已在世界范围产生了巨大的危害，2019年4月俄罗斯背景组织APT28(Fancy Bear)攻击乌克兰2019年大选活动(1)https://www.fifthdomain.com/international/2019/02/13/ukrainian-official-hacking-intensifies-as-election-nears/，6月14日美国E-ISAC发现Triton针对美国境内智能电网的探测活动(2)https://www.wired.com/story/triton-hackers-scan-us-power-grid/.检测并对APT攻击进行溯源，已成为了国家、企业所要解决的重要问题.如果安全攻防信息持续不对等，系统方将很难发现APT攻击的蛛丝马迹.由于APT攻击表现行为复杂多变，使用传统人工规则分析方式将存在很多局限，人工智能技术是解决此类问题的重要手段.

APT攻击持续时间长，空间跨度大，前期采用社会工程学等手段对目标进行反复侦察并获取有用信息，其行为往往难以探测并具有伪装性.当攻击者获取目标的信任并能够以不被发现的身份潜藏在目标网络中时，便会盗取信息并不断扩大其感染范围，严重的会使整个目标网络瘫痪.一次完整的攻击事件由多个阶段构成，主要包括信息搜集、漏洞利用、建立据点、权限提升、权限维持、横向移动、痕迹清除7步，期间涉及了多个攻击程……