一种基于进程行为树分析的离地攻击检测方法及系统

本发明公开了一种基于进程行为树分析的离地攻击检测方法及系统，属于网络安全技术领域。本发明为解决传统检测方法无法有效识别离地攻击的技术问题，主要采用系统监控工具收集进程事件数据，通过构建进程行为树模型，提取命令行字符串、进程关系、进程拓扑等多维特征，结合图神经网络进行节点特征的更新与加权求和，最终实现离地攻击的二分类判别。本发明能够有效识别隐蔽的离地攻击行为，提高检测精度与可解释性。