如何进行基于知识图谱的APT组织追踪治理

高级持续性威胁（APT）正日益成为针对政府和企业重要资产的不可忽视的网络空间重大威胁。由于APT攻击往往具有明确的攻击意图，并且其攻击手段具备极高的隐蔽性和潜伏性，传统的网络检测手段通常无法有效对其进行检测。近年来，APT攻击的检测和防御技术逐渐引起各国政府和网络安全研究者的关注。

一、发达国家APT组织治理相关研究

1.1 战略层面，美国强调“美国优先”和“以实力促和平”

特朗普政府先后发布《国家安全战略报告》、《国防部网络战略》和《国家网络战略》，诠释了特朗普的“美国优先”的战略，强调“网络威慑”和“以实力促和平”，突出强调网络战的重要性，将“军事和武力”作用置于外交和国务之前，强调保护美国基础设施来保证美国的持续繁荣。同时强调人工智能（AI）对于经济增长重要性。

1.2 法规层面，美国立法进行APT组织跟踪

2018年9月5日，美国众议院投票通过《2018网络威慑与响应法案》，旨在阻止和制裁未来国家支持的针对美国的网络攻击，以保护美国的政治、经济和关键基础设施免受侵害。该法案要求美国总统确认高级持续威胁（APT）组织名单，并在《联邦公报》（Federal Register）中公布并定期更新。

1.3 攻击层面，美军研发基于知识图谱的先进网络战工具

2010年9月，《*****》披露，五角大楼力求在网络战争中先发制人，并达到欺骗、拒止、分离、降级、毁坏的“5D”效果。网络战攻击层面的研究是美国政府以及下属的研究机构一直以来的重点，根据美国近年来围绕网络战构建的模型来看，以多层次知识图谱映射战场网络，结合靶场演练进行模型验证是一个重要研究的方向。

1.3.1 DARPA的Plan X用知识图谱描绘战场地图支撑VR作战

PLAN X是DARPA在2012年公布的一个项目，主要目标是开发革命性的技术，在实时、大规模和动态的网络环境中理解、规划和管理网络战。基于一个建立好的通用地图，帮助军方网络操作人员利用可视化的方式在战场中执行网络入侵的任务。PLAN X利用自动化构建战场网络图谱的技术，将战场中网络地图、作战单元、能力集转化为图谱中节点和边的**，基于作战人员预先设定的战术目标，进行自动化图谱搜索，找到优异入侵路径和入侵方案，提供给作战人员。

1.3.2 MITRE公司的CyGraph原型支撑网络作战

CyGraph是MITRE在图模型研究方面的原型系统。CyGraph使用了层级的图结构，包括网络架构（Network Infrastructure）、安全状态（Security Posture）、网络威胁（Cyber Threats）、任务依赖（Mission Dependencies）四个层次的图数据，用于支持针对关键资产保护的攻击面识别和攻击态势理解等任务。