APT利用高端、定向的攻击手段对国家或有影响力的组织机构进行长期渗透,实现信息窃取或对基础设施的破坏。此类攻击具有隐蔽性、持续性、针对性的特点,很难被传统的IDS捕捉。分析发现,同一 APT组织产生的流量具有更高的相似性,尤其是C2阶段,往往会选择之前攻击中使用过的木马及其相关变种进行连接。因此,除了直接提取所有APT组织流量的共同特征,还可以针对同一 APT组织产生的流量进行特有特征提取,挖掘同组织流量规律。由于各组织产生的流量具有一定的差异,因此要挖掘同组织流量间相关性。此外APT流量在总流量中占比很小,数据集的不平衡会影响一些算法的效果,因此还要在平衡样本后选择合适的检测模型。针对以上问题进行研究,本文的主要工作如下:1.对某APT组织的DNS、TCP流量进行分析,总结出C2Load_fluct、Bad_rate等特有特征。先将APT的常见特征提取出来,再提取该组织的特有特征。由于该组织攻击中包含DNS隧道会直接产生数据泄漏,因此结合杀伤链将DNS设计成三分类模型。本文使用的杀伤链模型对C2阶段进行了详细划分。2.提出PADASYN算法解决该组织流量的分布问题。算法结合了EasyEnsemble针对数据丢失和Borderline-SMOTE对边界样本的处理思想,对ADASYN做出改进。3.提出了因果场景生成算法并利用杀伤链模型对流量和攻击阶段进行映射,挖掘被筛选过的流量之间的隐藏关系。4.采集数据进行实验,使用上述算法及AdaBoost在原数据集、加入其他组织流量构建的新数据集下DNS、TCP分类得到的F1值分别为0.9827、0.9898和0.9419、0.9469,同时在两种数据集下添加特有特征后对该APT组织流量的检测比单一使用共同特征得到提升,证明本文使用的APT流量检测方法有效。