引言

随着工业互联网开放互联与数字化转型的深入，工业控制系统(Industrial Control Systems，ICS)作为电力、石化、智能制造等关键基础设施的核心，在提升生产协同效率与运行稳定性的同时，也面临日益复杂的攻击威胁［1-2］。相较于传统信息系统，ICS攻击过程具有更强的隐蔽性、时序性和阶段性［3］，一旦遭受攻击，易引发生产中断、设备损毁，严重时甚至危及人员安全，对国家关键基础设施安全运行构成重大威胁。以异常检测与规则匹配为主的传统防护方法，虽能识别局部异常，却难以完整还原攻击传播过程［4］。因此，如何从大规模、碎片化的工业通信交互行为中精准重建攻击传播链，已成当前ICS安全分析亟待解决的关键问题［5］。

攻击溯源技术凭借其对安全事件发生过程的系统还原能力以及对攻击传播链条的关联分析优势，逐渐成为工业安全防护体系中事后分析与事件复盘的重要技术手段。与侧重异常发现和实时告警的前置检测方法不同［6］，攻击溯源处于工业安全防护体系的“事后溯源”环节［7］，聚焦事件发生后的上下文恢复［8］，从分散、异构的系统行为数据中梳理攻击传播路径［9］、关键阶段及影响范围，进而为安全事件调查、责任研判、防护策略优化和后续攻击阻断提供技术支撑。近年来，围绕复杂攻击溯源问题，相关研究不断向图结构建模、语义增强与场景重构方向演进［10-12］。例如，Liu等人提出Trace2Vec方法，利用连续时间动态异构图增强了复杂多步攻击检测能力，但对工控场景下攻击传播因果关系及跨阶段关联关系的刻画仍不充分［13］。Cui等人提出MGDA方法，将多视图掩码图表示学习与上下文分析相结合，实现了威胁检测和场景重构，但对关键传播节点的结构角色表征方面存在不足［14］。Lyu等提出AGCM方法，通过图聚合实现多阶段攻击关联，并结合攻击路径搜索完成场景重构，但其在候选路径筛选和复杂攻击链连续重建方面仍存在局限［15］。Rendall等人借助动态决策边界优化多层检测流程，该方法更侧重异常检测决策，对攻击传播因果关系分析和路径重建支持不足［16］。总的来看，现有攻击溯源相关方法在复杂工控场景下虽已取得一定进展［17］，但在攻击链条关联关系、关键传播节点结构角色表征以及候选路径搜索优化等方面仍存在不足，难以准确表征节点传播角色及攻击路径演化关系［18-20］，从而制约了攻击路径重建的准确性、稳定性与可解释性［21］。

针对上述问题，本文提出一种分层图结构攻击溯源方法(Hierarchical Graph-based Attack Provenance,HGAP)。本文的主要贡献如下：

(1)针对ICS攻击链条关联关系复杂的问题，提出分层图结构攻击溯源架构，从节点传播角色表征、攻击阶段关联组织和候选路径优化重建三个方面刻画攻击传播过程，实现由底层工业交互关系到攻击路径的逐步重建。

(2)针对攻击路径重建过程中存在的关键传播节点识别困难问题［22］，提出融合Weisfeiler-Lehman(WL)结构编码与图卷积神经网络(Graph Convolutional Network,GCN)的结构增强节点表示学习方法，以增强节点局部拓扑结构与属性语义的联合表达能力［23-24］，为关键传播关系识别提供判别性表示。

(3)针对路径传播过程中候选路径空间大、传统路径搜索方法易陷入局部最优的问题，在贝叶斯后验建模基础上，设计离散种群搜索策略，实现候选路径近似优化，提高攻击路径重建的准确性。

本文详细内容请下载：

https://www.pcachina.com/resource/detail/6000007247

作者信息：

丁子钰1,2，宗学军1,2，何戡1,2，连莲1,2，

刘欢1,2，孙逸菲1,2，刘金洋2,3

(1.沈阳化工大学信息工程学院，辽宁沈阳110142；

2.辽宁省石油化工行业信息安全重点实验室，辽宁沈阳110142；

3.沈阳工业大学人工智能学院，辽宁沈阳110870)