安全知识图谱应用的困境思考（转载）

攻击推理-安全知识图谱应用的困境思考

安全知识图谱与传统知识图谱的差异也导致传统知识的一些方法很难应用到安全知识图谱中。安全知识图谱与传统知识图谱的差异主要有两个方法：1安全知识图谱与底层日志之间存在巨大的语义鸿沟。传统领域知识图谱是针对固定领域构建，数据与知识有天然的耦合性。安全知识图谱大多是对攻击相关的信息构建的描述的是攻击事件相关的知识，而日志数据是系统与网络侧的日志包含正常的用户行为与攻击行为，这就导致安全知识图谱与底层数据描述的不是同一领域，实现安全知识图谱与底层数据直接关联是不现实的。2攻击数据较少，且攻击模式多样与传统的知识图谱推理的假设冲突。传统的知识图谱推理技术也是挖掘大多数数据的规律来补全缺失的关系，在安全知识图谱中攻击相关的数据相对正常系统行为只占少数，利用传统知识图谱方法进行推理预测得到的只能是正常用户的行为，与威胁检测与威胁狩猎的目标相左。安全知识图谱与传统知识图谱这两点差异成为了制约安全知识图谱应用的关键。下面分别对这两个问题进行详细说明。