基于行为模式的攻击检测方法

本发明提出一种基于行为模式的攻击检测方法，属于攻击检测领域，包括：S1：利用系统审计日志构建溯源图，从溯源图中提取进程事件并创建行为模式；S2：使用嵌入模型来生成行为模式的嵌入向量，再输入语义重构模块来学习行为模式的内在特征，输出重构向量；S3：计算嵌入向量和重构向量的余弦相似度作为重构误差的度量，高于阈值的行为模式被视为异常行为模式；基于异常行为模式构建攻击子图，以重构攻击故事。本发明方法可提高攻击检测的准确性和可解释性。