明 泽，宋文爱，单 纯，王振宇，危胜军

(1. 中北大学 软件学院，山西 太原 030051； 2. 北京理工大学 计算机学院，北京 100081)

0 引 言

随着计算机网络的不断发展，网络安全风险成为了不法分子盗取用户信息的主要途径之一. 这些威胁可以来自于各个方面，包括恶意登陆、 恶意软件、 网络钓鱼、 端口扫描等. 恶意攻击使得未经授权的攻击者对目标计算机进行访问，从而造成进一步的破坏，如窃取机密、 知识产权以及其它商业敏感信息. 其中，高级可持续威胁攻击(Advanced Persistent Threat, APT)是最常见的网络攻击之一，它是一种隐秘的攻击，能够对各种组织和企业造成重大破坏. 例如，2010年的极光攻击(Google Aurora)是一个非常著名的APT攻击，谷歌的一名雇员点击即时消息中的一条恶意链接，引发一系列事件，导致谷歌和其他大概 20家公司的系统数据被窃取； 针对伊朗关键基础设施的臭名昭著的Stuxnet[1]摧毁了伊朗的核项目. 根据卡巴斯基实验室[2]的研究，一个名为Carbanak的后门项目，给一家金融机构造成了累计10亿美元的损失. 此外，8000多万社会安全号码被从Anthem(一家大型医疗保险公司)抽走，直到9个月后才被发现. 在这次攻击中，Mivast恶意软件[3]伪装成一个VPN软件，为攻击者提供了一个后门.

在实际应用中，网络管理员的任务就是筛选来自计算机的海量用户日志，以评估潜在的安全风险. 但是，即使是规模适中的网络，其数据量也会迅速增长，超出个人或团队的检测能力，从而导致响应延迟. 为了降低网络安全风险，以便网络管理员……