1. 引言
网络安全是数字基础设施稳定运行的核心支撑，随着企业、政府、医疗等关键领域对开放式API架构的广泛应用，系统互联性显著提升的同时，API暴露端口也成为高级持续性威胁(APT攻击)的主要目标，暴力破解、SQL注入、权限绕过、信息泄露、业务逻辑篡改等攻击手段频发，对数据安全与业务连续性构成严重威胁[1]。截至目前，我国关键行业API安全防护需求持续增长，但现有防护产品多依赖传统规则匹配技术，存在“识别空间单一、变异攻击无法发现、动态响应不足”的缺陷，尤其难以应对APT攻击频次低、伪装性好、阶段性、长潜伏期的技术特征，无法满足金融、政务、医疗等领域对API层安全防护的高要求[2]。
为明确研究基础与技术空白，在现有研究中，李博宇针对主机异常行为检测，提出基于深度学习的异常识别方法，通过构建日志特征向量与深度神经网络分类，提升系统入侵检测的准确率和速度[3]；石梓良则聚焦Web API异常行为，从参数、路径、频率维度构建融合深度学习的异常识别模型，验证了智能建模的可行性[4]；张雨馨研究了恶意代码的API行为特征，基于行为特征的恶意代码检测方法，根据提取的API序列中的敏感调用、调用路径和调用上下文对恶意代码行为进行建模分析，提高了检测的准确性和恶意代码检测率[5]王帆围绕APT攻击流量，构建端到端的深度学习异常检测模型，为高级持续性威胁检测奠定技术基础[6]；然而，这些研究或聚焦单一攻击场景，或缺乏多源特征融合与动态防御联动，尚未形成覆盖“检测–决策–处置”全流程的APT攻击防护体系，难以适应复杂API环境下的安全防护需求。
在此背景下，融合人工智能技术、大数据建模技术、可视图谱分析、深度学习等技术，构建集多源API流量采集预处理、APT攻击精准识别、动态联动防御、可视化监控于一体的智能防护系统，旨在突破以静态规则和传统WAF为主的API攻击防护机制，填补APT攻击“可检测、可追踪、可阻断”层面的关键技术空白，全面提高关键行业API层主动防御水平[7]。
2. APT攻击智能检测与API主动防御系统的设计与实现
本节围绕“APT攻击防御视角下API智能检测系统的构建与实现”核心目标，系统阐述项目的技术开发逻辑、核心模块设计及集成实现路径，明确从数据处理到系统部署的全流程技术框架，为系统功能落地提供技术支撑。项目整体技术路线如图1所示。
Figure 1. Overall architecture diagram of the project
图1. 项目整体架构图
2.1. 系统总体设计
基于目前提出的“检测–决策–处置”闭环防御需求，系统采用分层架构设计，整体划分为数据采集层、特征处理层、模型检测层、响应处置层、可视化层五大核心模块，各模块通过标准化接口协同联动，实现从API流量接入到APT攻击防御的全流程自动化。其中，数据采集层负责多源API流量的实时获取，特征处理层完成数据清洗与多维特征提取，模型检测层依托深度学习模型实现攻击识别，响应处置层根据威胁等级触发动态防御策略，可视化层提供安全态势监控与预警，架构设计如图2所示，确保系统满足“实时性、精准性、可扩展性”的核心需求。
Figure 2. Multi-level collaborative architecture of security response system
图2. 安全响应系统多层协同架构图
2.2. 核心技术模块设计
2.2.1. 多源API流量采集与预处理
作为系统数据基础，本模块需覆盖API通信全链路数据，确保建模数据的完整性与代表性。
数据采集
通过日志解析工具(Logstash、ELK Stack)与API网关(Kong、Nginx API模块)对接，采集API服务器日志(Nginx/Apache)、应用层日志(FastAPI/Flask)及中间件流量数据，支持HTTP/HTTPS、WebSocket、gRPC等协议，获取字段包括请求头信息(User-Agent、Cookie)、请求路径、参数结构、响应时间、状态码、源IP及时序会话轨迹，形成多维度原始数据集。
本研究数据集包含公开数据集与自建数据集两部分：
公开数据集：采用CSE-CIC-IDS2018数据集的APT攻击专项子集，涵盖SQL注入、暴力破解等6类典型APT攻击流量，共300万条API请求记录；
自建数据集：采集环境涵盖金融行业(2家商业银行)、政务系统(1个省级政务服务平台)、医疗行业(3家三甲医院)的API生产环境，采集时间跨度为2024年1月~3月(共90天)，共900万条API请求记录。
采集过程中严格遵循数据合规要求，对敏感信息进行匿名化处理：源IP采用MD5哈希加盐加密，Cookie、User-Agent等字段中的个人标识信息替换为占位符(如“[USER_ID]”“[DEVICE_INFO]”)，API路径中的业务敏感字段(如“账户号”“病历编号”)统一掩码处理，确保数据不泄露隐私信息。示例数据分布如表1所示。
Table 1. Distribution of training data set after data preprocessing
表1. 数据预处理后训练数据集分布表
特征类型 |
样本占比(%) |
说明 |
静态特征 |
35 |
API路径字符嵌入参数长度分布等 |
行为特征 |
30 |
IP请求频率、时间间隔序列等 |
时序特征 |
20 |
滑动窗口请求序列依赖关系 |
标签特征 |
15 |
正常/异常(含APT攻击类型) |
数据预处理
针对原始数据中存在的冗余、缺失、异常问题，依次执行“冗余数据去重(基于请求ID与时间戳)、缺失值修复(数值型字段采用均值填充，字符型字段采用模式填充)、异常点剔除(基于3σ原则过滤极端请求频率数据)”操作；同时通过特征工程提取关键特征，包括静态特征(API路径字符嵌入、参数长度分布)、行为特征(IP请求频率、时间间隔序列)、时序特征(滑动窗口内的请求序列依赖关系)，最终采用MinMax归一化将特征标准化至[0, 1]区间，并结合已知APT攻击样本库(如ATT&CK框架中的API攻击案例)完成样本标注。
预处理后数据集共包含1200万条有效记录，正常样本与异常样本比例、各类攻击样本分布如表2所示，为后续模型训练提供高质量数据支撑。
Table 2. Data set sample distribution statistics
表2. 数据集样本分布统计表
样本类型 |
样本数量(万条) |
占总样本比例(%) |
子类别及数量(万条) |
正常样本 |
840 |
70.0 |
- |
异常样本(APT攻击) |
360 |
30.0 |
SQL注入(80)、暴力破解(75)、权限绕过(65)、数据窃取(50)、其他攻击(90) |
2.2.2. 基于深度学习的APT攻击检测模型
本模块是系统核心检测单元，需解决传统规则匹配对APT攻击“识别率低、泛化性差”的问题，采用“CNN-BiLSTM-Attention”融合模型实现多模态特征的深度挖掘。
模型结构设计
结合APT攻击的“结构隐蔽性”与“时序持续性”特征，模型分为三部分协同作用：
CNN子模块：采用3层卷积层与2层池化层，对API请求路径、参数格式等结构特征进行字符级嵌入，提取潜在的结构攻击模式(如SQL注入的特殊字符组合、权限绕过的异常路径格式)，通过卷积核滑动捕捉局部特征关联；
BiLSTM子模块：构建2层双向长短期记忆网络，对IP请求序列、时间间隔序列等时序特征进行建模，捕捉APT攻击的长周期行为依赖(如低频试探性请求的时序规律)，解决传统RNN梯度消失问题，同时引入Dropout层(dropout rate = 0.3)防止过拟合；
Attention子模块：在BiLSTM输出层引入多头注意力机制，对高风险特征区域(如异常参数值、高频异常IP)赋予更高权重，强化模型对关键攻击特征的关注，提升复杂APT攻击的识别灵敏度。
模型输出层采用Softmax激活函数，支持二分类(正常/异常)与多分类(暴力破解、SQL注入、权限绕过等攻击类型)，结构如图3所示。
模型训练与优化
将预处理后的数据集按7:2:1比例划分为训练集、验证集与测试集，采用交叉熵损失函数衡量模型预测误差，结合Adam优化器(学习率初始设为1e−4，采用余弦退火策略动态调整)进行参数更新；引入EarlyStopping策略(patience = 5)，当验证集F1值连续5轮无提升时停止训练，避免模型过拟合。训练过程中通过TensorBoard实时监控损失值与评估指标变化，确保模型收敛至最优状态。
模型性能验证
采用准确率(Accuracy)、召回率(Recall)、F1值及ROC-AUC曲线作为核心评估指标，在测试集上进行性能验证。本次测试以两类模型为基线：
传统规则匹配模型：选用ModSecurity 2.9.7 (开源Web应用防火墙核心组件)，规则集采用OWASP Core Rule Set (CRS) 3.3.4版本，启用SQL注入、暴力破解、权限绕过等12类核心检测规则，并补充50条基于关键行业API历史攻击日志提炼的定制规则，匹配模式设为“精确匹配 + 模糊匹配”混合模式，测试环境与本文CNN-BiLSTM-Attention模型完全一致，确保对比公平性。
Figure 3. Schematic diagram of attention submodule and output layer structure
图3. Attention子模块与输出层结构示意图
主流机器学习模型：选取SVM (RBF核函数，惩罚系数C = 1.0)、随机森林(100棵决策树，最大深度15)、基础LSTM (2层隐藏层，隐藏单元数64)三种常用攻击检测模型，均基于相同数据集(7:2:1划分)、相同训练环境(Python 3.9、TensorFlow 2.8)进行训练与测试。
测试结果显示，本文CNN-BiLSTM-Attention模型对APT攻击的平均识别准确率达96.8%，召回率达95.2% (针对低频伪装攻击的召回率达92.1%)，ROC-AUC值为0.983，显著优于传统规则匹配模型与其他主流机器学习模型，具体性能对比如表3所示。
Table 3. Model performance comparison
表3. 模型性能对比表
评估指标 |
CNN-BiLSTM-Attention模型 |
传统规则匹配模型 |
准确率 |
96.8% |
82.3% |
召回率 |
95.2% |
78.5% |
低频伪装攻击召回率 |
92.1% |
- |
ROC-AUC |
0.983 |
- |
2.2.3. 动态联动响应机制
为实现“检测即防御”的闭环需求，本模块需基于模型检测结果，构建自适应的防御策略触发逻辑。
威胁等级划分：参考APT攻击的破坏力与扩散风险，将检测结果划分为三级威胁：高风险(如SQL注入、数据窃取类攻击)、中风险(如低频暴力破解、参数异常试探)、低风险(如轻微请求格式错误)，并制定对应响应规则(如表4所示)。
Table 4. Threat level and response rule comparison
表4. 威胁等级与响应规则对照表
威胁等级 |
攻击类型示例 |
响应规则 |
高风险 |
SQL注入、数据窃取类攻击 |
IP封禁(基于iptables规则) + 接口熔断(暂停目标API服务30分钟) + 管理员邮件告警 |
中风险 |
低频暴力破解、参数异常试探 |
IP限速(每分钟请求不超过10次) + API账号临时冻结(1小时) |
低风险 |
轻微请求格式错误 |
仅记录日志并纳入审计系统 |
响应策略执行：依托规则引擎(集成Snort基础规则与自定义策略)与事件驱动框架(Celery + Redis)，实现策略的异步自动执行：高风险攻击触发“IP封禁(基于iptables规则) + 接口熔断(暂停目标API服务30分钟) + 管理员邮件告警”；中风险攻击执行“IP限速(每分钟请求不超过10次) + API账号临时冻结(1小时)”；低风险攻击仅记录日志并纳入审计系统。同时，所有响应操作均生成不可篡改日志(包含攻击类型、响应动作、执行时间、受影响对象)，日志数据定期回传至特征处理层，作为模型再训练的增量样本，形成“检测–响应–优化”的自迭代机制。
2.2.4. B/S架构可视化平台
为提升系统易用性与安全态势可控性，本模块采用B/S架构开发可视化平台，支持管理员实时监控与运维操作。
Figure 4. Diagram of backend support architecture and high concurrency adaptation
图4. 后端支撑架构与高并发适配示意图
前端开发：基于Vue.js框架与Tailwind CSS样式库构建响应式界面，集成ECharts图表库与D3.js拓扑图工具，实现三大核心功能：
安全态势监控：展示API请求总量、攻击事件实时统计(按类型/风险等级分类)、TOP 10异常IP排行、API安全等级评分(0~10分，基于攻击频率动态计算)；
攻击详情追溯：支持按时间、攻击类型、源IP查询攻击日志，展示攻击请求的完整参数、触发的响应策略及处置结果；
预警与配置：支持自定义预警阈值(如某IP1分钟内请求超50次触发预警)，预警方式包括界面弹窗、邮件、钉钉机器人推送，同时提供模型参数(如学习率、注意力权重)与响应策略的可视化配置入口。
后端支撑：采用FastAPI框架提供RESTful API接口，对接MySQL数据库(存储日志与配置信息)与Redis缓存(存储实时态势数据)，通过Nginx实现反向代理与负载均衡，确保高并发场景下(如每秒1000 + API请求)平台仍能流畅运行，界面效果如图4所示。
2.3. 系统部署与测试
2.3.1. B/S部署架构
为满足关键行业的高可用需求，系统采用容器化与微服务部署模式：各模块(数据采集、模型检测、响应处置、可视化)打包为独立Docker容器，通过Kubernetes实现容器编排，支持服务扩容与故障自愈；模型服务依托TensorFlow Serving部署，确保推理速度(单条API请求检测延迟 ≤ 50 ms)，部署架构如图5所示，可适配Linux服务器与云环境(如阿里云ECS)。
Figure 5. System deployment architecture diagram
图5. 系统部署架构示意图
2.3.2. 系统测试
通过功能测试、性能测试与安全测试验证系统可用性：
功能测试：模拟APT攻击场景(如低频SQL注入、IP伪装权限绕过)，系统均能精准识别并触发对应响应策略，策略执行成功率达100%；
性能测试：采用JMeter模拟1000/2000/5000 TPS的API请求压力，系统平均响应延迟分别为42 ms、58 ms、89 ms，CPU利用率 ≤ 70%，内存占用 ≤ 60%，满足高并发需求；
安全测试：通过渗透测试工具(Burp Suite)尝试绕过检测，系统对变异攻击(如编码转换的SQL注入语句)仍保持91.5%的识别率，未发现明显检测漏洞，验证了系统的安全鲁棒性。
3. 效果评估
面向APT攻击的智能检测与主动防御系统的应用，显著提升了关键行业API层的安全防护效率。通过深度学习模型自动识别暴力破解、SQL注入等APT攻击行为，替代传统依赖人工规则更新的防护模式，日均减少90%以上的安全事件人工研判工作量，有效释放了网络安全运维人力资源。系统融合多源流量特征的精准检测能力与动态联动响应机制，实现对低频伪装、长潜伏期APT攻击的实时识别与处置，攻击检出准确率达96.8%，较传统规则匹配模型提升14.5个百分点，漏报率控制在3%以下，大幅提高了API安全防护的精准性。
通过攻击日志反馈与增量数据迭代训练，系统持续优化模型参数与响应策略，对新型变异APT攻击的自适应周期缩短至24小时内，在对抗样本攻击测试中鲁棒性表现优异，攻击成功率降低至8.5%以下。同时，系统在高并发场景下保持毫秒级检测延迟(平均42 ms)，资源占用率低于70%，服务可用性达99.9%以上，既满足金融、政务等领域的实时防护需求，又避免对正常API业务造成性能干扰，全面提升了系统的实际应用价值与场景适配能力。
4. 结论
本研究通过开发并应用面向APT攻击的智能检测与主动防御系统，在关键行业API安全防护领域取得显著成效。在实际测试与应用场景中，系统成功填补了传统防护技术对APT攻击“检测难、响应慢”的空白，将APT攻击平均识别时间从传统规则匹配的小时级缩短至毫秒级，问题处置效率提升超90%；同时，依托多源流量融合与动态联动响应功能，为金融、政务等领域提供了“精准识别–自动处置–态势可视”的一体化防护服务。系统的深度学习模型与闭环防御机制，不仅让API安全防护流程更顺畅，还大幅降低了安全事件对业务的干扰，关键业务API服务可用性提升至99.9%以上，防护效果与用户(运维团队)体验均实现显著优化。
本文所提系统的实现采用容器化部署与微服务架构，兼具技术成熟度高、运行稳定性强的特点，核心功能(攻击检测、动态响应、可视化监控)运行可靠，能为关键行业API层安全防护提供有力支撑。随着研究与应用的深入，团队也发现当前系统存在一定优化空间：一是对新型未知APT攻击的零样本检测能力有待加强，二是跨平台多场景适配的灵活性需进一步提升。基于此，后续将重点开展两方面升级规划：一方面引入联邦学习技术，在保护数据隐私的前提下实现多机构攻击样本共享与模型联合训练；另一方面优化架构设计，增强对边缘计算场景下轻量级API的防护适配能力。通过持续的技术迭代与创新，我们相信该系统将在网络安全防护领域发挥更大价值，为数字经济时代的关键信息基础设施安全提供更坚实的保障。
致 谢
衷心感谢参与本项目的各位团队成员的辛勤努力和付出。他们的专业知识和团队协作精神为项目的顺利进行和取得成功的研究成果做出了重要贡献。
基金项目
本文受哈尔滨师范大学大学生创新创业项目“面向APT攻击的智能检测与主动防御系统设计”资助。