THREATRACE 开源项目使用教程

1. 项目介绍

THREATRACE 是一个基于图神经网络的实时系统，用于检测和追踪主机级别的威胁。该项目通过分析系统审计数据构建的有向无环图（DAG）来检测异常节点，从而识别和定位主机中的入侵行为。THREATRACE 的核心优势在于其能够在没有先验攻击模式知识的情况下，通过学习系统中良性节点的角色来检测隐蔽的异常行为。

2. 项目快速启动

2.1 环境准备

在开始之前，请确保您的系统满足以下要求：

• Ubuntu 系统
• Python 3.6.13
• PyTorch 1.9.1
• torch-geometric 1.4.3
• 其他依赖包：numpy, pandas, argparse, subprocess, os, sys, time, psutil, random, csv, re

2.2 安装步骤

1. 克隆项目仓库：

   git clone https://github.com/threaTrace-detector/threaTrace.git
   cd threaTrace
   

2. 安装依赖包：

   pip install -r requirements.txt
   

3. 配置数据存储和模型参数： 根据您的系统配置，编辑 config.py 文件中的参数，例如子图大小（SS）和批处理大小（BS）。

4. 数据准备： 下载所需的 StreamSpot、Unicorn SC-2 和 DARPA TC 数据集，并将其放置在 data 目录下。

5. 运行检测脚本：

   python scripts/detect.py
   

2.3 示例代码

以下是一个简单的示例代码，展示如何使用 THREATRACE 进行威胁检测：

import torch
from threaTrace.models import THREATRACE
from threaTrace.data import DataLoader

# 加载数据
data_loader = DataLoader('data/streamspot')
data = data_loader.load()

# 初始化模型
model = THREATRACE(input_dim=data.num_features, hidden_dim=64, output_dim=data.num_classes)

# 训练模型
model.train(data)

# 检测异常
predictions = model.detect(data)
print(predictions)

3. 应用案例和最佳实践

3.1 应用案例

THREATRACE 可以应用于各种需要实时检测和追踪主机威胁的场景，例如：

• 企业网络安全：在企业内部网络中部署 THREATRACE，实时监控和检测潜在的入侵行为。
• 政府机构安全：政府机构可以通过 THREATRACE 来保护关键基础设施免受高级持续性威胁（APT）的攻击。
• 云服务提供商：云服务提供商可以使用 THREATRACE 来监控其云环境中的异常活动，确保客户数据的安全。

3.2 最佳实践

• 数据集选择：根据实际应用场景选择合适的数据集进行训练和测试，确保模型能够适应不同的威胁环境。
• 参数调优：根据系统的性能和检测需求，调整子图大小（SS）和批处理大小（BS）等参数，以达到最佳的检测效果和系统开销。
• 定期更新模型：随着新威胁的出现，定期更新模型以保持其检测能力。

4. 典型生态项目

THREATRACE 可以与其他开源项目结合使用，以增强其功能和效果：

• CamFlow：用于生成系统审计数据的有向无环图（DAG），THREATRACE 依赖于 CamFlow 提供的数据进行威胁检测。
• GraphSAGE：THREATRACE 的核心模型基于 GraphSAGE，通过学习节点在图中的角色来进行异常检测。
• PyTorch Geometric：用于处理图数据的 PyTorch 扩展库，THREATRACE 使用 PyTorch Geometric 进行图神经网络的训练和推理。

通过结合这些生态项目，THREATRACE 可以构建一个强大的主机威胁检测系统，有效保护系统免受各种隐蔽威胁的侵害。