1.一种基于重叠社区发现的APT攻击行为识别方法，其特征在于，所述基于重叠社区发现的APT攻击行为识别方法，包括：收集日志数据并构建起源图，对起源图进行压缩；

通过特征初始化、特征学习和种子节点检测得到种子节点集；

为起源图中的每条边和每个节点计算权重，并将起源图重构为加权异构图；

基于种子节点集和加权异构图进行重叠社区的检测得到每个种子节点的自然社区，基于自然社区分割起源图为多个子图；

对子图进行表征，得到子图特征，利用良性的子图特征训练分类器，将待检测的子图的子图特征输入训练好的分类器，若分类器针对待检测的子图的子图特征与良性的子图特征的输出存在偏移，则待检测的子图的子图特征是恶意的，即待检测的子图中存在恶意行为，否则，待检测的子图的子图特征是良性的，待检测的子图中不存在恶意行为；

其中，

所述通过特征初始化、特征学习和种子节点检测得到种子节点集，包括：所述特征初始化包括：

根据起源图的节点的类型和边的类型，所述节点的类型包括进程、文件、注册表和套接字，为每个节点创建初始特征矩阵；

所述特征学习包括：

构建图神经网络，所述图神经网络用公式表示如下：；

其中， 表示第 层的节点特征矩阵， ，表示GNN层的总层数， 表示图神经网络，G为起源图的拓扑结构， 为初始的待训练参数矩阵， 为第层的待训练参数矩阵， 为初始特征矩阵， 为第 层的节点特征矩阵；

将第 层的节点特征矩阵输入到 分类器中，根据以下公式进行节点类型分类：；

其中，为节点类型的概率分布， 为分类器第 层的参数矩阵， 为最终的节点特征矩阵；

使用梯度下降法训练图神经网络，将每个节点的初始特征矩阵输入训练好的图神经网络得到最终特征矩阵；

所述种子节点检测包括：

根据每个节点的最终特征矩阵使用离群值挖掘算法检测起源图中所有类型为进程的节点的离群值，将离群值大于预设阈值的节点作为种子节点，得到种子节点集；

其中，

所述基于种子节点集和加权异构图进行重叠社区的检测得到每个种子节点的自然社区，包括：在种子节点集中随机选取一个种子节点；

检测选取的种子节点的自然社区，并将选取的种子节点从种子节点集中删除；

重复选取、检测和删除种子节点，直到种子节点集为空；

其中，

所述检测选取的种子节点的自然社区，包括：将选取的种子节点作为一个社区，令社区的内部适应度和外部适应度为0，提取社区的邻居节点集；

在邻居节点集中选择任意一个邻居节点加入到社区中，并计算社区当前的内部适应度和外部适应度；

基于社区当前的内部适应度和外部适应度计算社区的社区质量，若社区质量的值增加，则将邻居节点保留在社区中，并将邻居节点从邻居节点集中移除，否则，将邻居节点从社区中删除，并将邻居节点从邻居节点集中移除；

当邻居节点集不为空时，重复选择一个邻居节点并对当前邻居节点进行操作，以及计算社区质量，当邻居节点集为空时，得到扩展后的社区和扩展后的社区的最终社区质量；

当最终社区质量与社区质量相等时，结束算法，当最终社区质量与社区质量不相等时，提取扩展后的社区的邻居节点集，并重复在邻居节点集中选择邻居节点，对当前邻居节点进行操作并扩展社区，直到当最终社区质量与社区质量相等或扩展后的社区的邻居节点集为空时，结束算法；

结束算法后得到选取的种子节点的自然社区。

2.根据权利要求1所述的基于重叠社区发现的APT攻击行为识别方法，其特征在于，所述对起源图进行压缩，包括：所述起源图由多个三元组构成，所述三元组（subject，operator，object）表示一个事件，其中subject表示发起操作的主体节点，object表示被操作的客体节点，operator表示操作行为，即边；

根据预设的规则，对无关的边进行删除；

当一个主体节点多次访问同一个客体节点进行重复操作时，则将代表所述操作的边进行合并，同时将操作的类型和次数作为边的权重储存；

当一个主体节点对一个路径下的客体节点进行多次读写时，则将所述一个路径下的客体节点合并为一个抽象节点。

3.根据权利要求1所述的基于重叠社区发现的APT攻击行为识别方法，其特征在于，所述为起源图中的每条边和每个节点计算权重，并将起源图重构为加权异构图，包括：根据每个节点的初始特征矩阵计算起源图中的每个节点的权重，得到节点权重集；

根据预设规则计算起源图中的每条边的权重，得到边权重集；

根据节点权重集和边权重集为起源图中的每个节点和每条边增加权重属性，构成加权异构图。

4.根据权利要求1所述的基于重叠社区发现的APT攻击行为识别方法，其特征在于，所述社区当前的内部适应度和外部适应度的计算公式为：内部适应度公式为：

；

其中， 表示加入邻居节点j前社区C的内部适应度， 表示加入邻居节点j以后社区C的内部适应度， 表示邻居节点j在社区C内的适应度，计算公式如下：；

其中，i表示社区C内部的节点， 表示连接节点i与邻居节点j之间的边的权重，表示邻居节点j的权重；

外部适应度公式为：

；

其中， 表示加入邻居节点j前社区C的外部适应度，  表示加入邻居节点j以后社区C的外部适应度， 表示邻居节点j在社区C内的适应度， 表示邻居节点j不在社区C内的适应度，计算公式如下：；

其中，u表示社区C外部的节点， 表示连接节点u与邻居节点j之间的边的权重，表示节点u的权重。

5.根据权利要求1所述的基于重叠社区发现的APT攻击行为识别方法，其特征在于，所述社区质量的计算公式为：；

其中， 为社区质量，  表示加入邻居节点j以后社区C的内部适应度， 表示加入邻居节点j以后社区C的外部适应度，为正实值参数。