随着计算机科学技术的发展,各类层出不穷科技产品已经渗入我们的日常生活和工作的方方面面。与此同时,也诞生了众多利用网络攻击获利的个人或组织,信息安全的问题也变得越来越尖锐。近年来随着APT（Advanced Persistent Threat）攻击日益频繁,针对APT的深入研究和APT防御的研究也变得更加迫切。APT攻击通常为了隐蔽自己的攻击行为,在攻击过程中会将自己与众多的良性行为混杂在一起达到不被检测出来的目的。绝大多数APT行为按照单个行为看都是良性的,因此针对主机级别的APT攻击检测也存在着过多的虚假警报的问题,特别是基于策略和和规则的方法。同时,基于路径的检测方法通常需要定制规则,而基于机器学习和深度学习的检测依赖于已训练好的模型,在面对复杂的攻击场景及新型的攻击时检测效果就会受到较大影响。因此,需要一种方法和策略,针对与良性行为混杂在一起的APT攻击进行检测,并在减少误报的同时获得更丰富的攻击信息,从而能够减少研究人员溯源分析的工作。本文主要的工作内容如下:（1）利用审计日志构建因果图,并利用图优化算法缩小因果图的规模。（2）针对APT攻击行为和良性行为混合在一起规避检测和传统检测方案需要规则制定和模型训练的问题,本文提出一种基于因果图的APT检测方法。首先通过构建因果图,然后将APT子图和众多良性的子图从原始的因果图中划分出来,解决了APT攻击行为与良性行为混杂的问题。同时,将子图信息作为因果图中的节点信息进行因果图的节点嵌入,从而能够利用不同子图的差异进而对因果图中的节点进行分类。最后,本文使用了聚类算法提取可疑节点,并从因果图中提取可疑节点的子图作为APT检测的结果。（3）针对威胁警报无法判断真伪的问题,本文采用ATT@CK（Adversarial Tactics,Techniques,and Common Knowledge）技术规矩对可疑攻击图进行修剪,并构建APT战术来源图的方法丰富了可疑APT场景图的信息。首先,本文通过ATT@CK技术规则匹配,将没有触发警报的边进行修剪,从而得到更加精准的APT攻击场景图。然后,利用攻击场景图的警报对攻击场景图进行威胁评分。最后,使用ATT@CK框架对APT攻击场景图的映射,获得APT战术来源图。