基于日志图表示方法的APT攻击溯源方法及系统

本发明公开了一种基于日志图表示方法的APT攻击溯源方法及系统，该方法根据攻击事件的公开攻击日志构建溯源图；根据溯源图提取具有攻击特征的APT溯源图并构建APT溯源图样本库；根据具有攻击特征的APT溯源图对应的攻击行为产生的时间段前后的日志数据进行异常检测，提取与正常日志存在设定差异的节点，按照攻击组织对所有节点对应的统计数据进行分类，得到APT攻击组织的行为特征，根据APT攻击组织的行为特征构建行为特征样本库；获取待检测异常日志的具有攻击特征的APT溯源图，将该具有攻击特征的APT溯源图与APT溯源图样本库中的各样本进行匹配，根据匹配结果确定该异常日志是否为攻击行为，根据特征样本库识别APT攻击的组织身份。