1.一种基于多维度特征融合的APT异常行为检测方法，其特征在于，所述基于多维度特征融合的APT异常行为检测方法，包括：采集系统内核日志数据，根据系统内核日志数据构建溯源图，并从系统内核日志数据中提取出函数调用序列信息；

利用自适应邻域采样方法从溯源图中采样得到进程节点的邻域子图；

根据邻域子图中的三元组构建具备语义的描述语句，并对描述语句进行特征提取得到进程节点的语义属性嵌入；

将进程节点的邻域子图和语义属性嵌入输入图神经网络，得到图神经网络输出的进程节点的结构信息嵌入，联合语义属性嵌入和结构信息嵌入作为进程节点的语义结构特征向量；

基于提取的函数调用序列信息，以进程为单位，构建进程节点的调用树，迭代调用树的顶点标签生成调用树的所有子树，将子树根节点的执行时间设置为子树的权重，得到子树集合，子树集合包含所有子树以及子树的权重，对子树集合进行特征提取得到进程节点的调用树特征向量；

使用基于注意力的多维度特征融合方法，根据同一进程节点的语义结构特征向量和调用树特征向量得到多维度融合特征，使用分类器根据多维度融合特征输出APT异常行为检测结果。

2.根据权利要求1所述的基于多维度特征融合的APT异常行为检测方法，其特征在于，所述利用自适应邻域采样方法从溯源图中采样得到进程节点的邻域子图，包括：计算节点的行为密度指标：

；

式中， 表示节点 的行为密度指标， 为节点 的出边数量， 表示节点 的相邻节点的平均出边数量；

若 ，则认为节点 是行为密集点，采用广度优先搜索策略进行节点 的邻域采样；若 ，则认为节点 是行为稀疏点，采用深度优先搜索策略进行节点 的邻域采样，其中 为密度阈值。

3.根据权利要求1所述的基于多维度特征融合的APT异常行为检测方法，其特征在于，所述根据邻域子图中的三元组构建具备语义的描述语句，并对描述语句进行特征提取得到进程节点的语义属性嵌入，包括：取邻域子图中的三元组为<源节点，事件，目标节点>；

将一个三元组中的源节点的属性，事件的类型以及目标节点的属性组成一个具备语义的句子；

将邻域子图中所有包含待提取特征的进程节点的三元组对应的句子，按照事件的时间戳进行排序，得到具备语义的描述语句；

利用在良性系统内核日志数据上训练的word2vec模型，对描述语句进行编码，得到进程节点的语义属性嵌入。

4.根据权利要求1所述的基于多维度特征融合的APT异常行为检测方法，其特征在于，所述迭代调用树的顶点标签生成调用树的所有子树，包括：初始标签分配：为调用树中的每个顶点分配初始的标签，初始的标签为顶点代表的函数调用名称；

标签扩充：在每次迭代中，对每个顶点 ，将每个顶点的标签追加孩子顶点的标签形成签名结构；

标签压缩：完成标签扩充后，用虚拟的新的标签表示签名结构；

终止条件：若当前迭代次数达到设定的最大迭代次数，则结束迭代，并将一个标签作为一个子树；否则继续迭代执行标签扩充和标签压缩，所述最大迭代次数根据调用树的最大深度 设置为 次。

5.根据权利要求1所述的基于多维度特征融合的APT异常行为检测方法，其特征在于，所述将子树根节点的执行时间设置为子树的权重，包括：确定调用树的叶子节点对应的系统调用的时间戳；

计算相邻两个时间戳之间的相对时间间隔，并将相对时间间隔设置为叶子节点的权重；

对于非叶子节点，将非叶子节点的所有孩子节点的权重之和作为非叶子节点的权重；

因此得到调用树中所有子树中各节点的权重，并将子树的根节点的权重设置为子树的权重。

6.根据权利要求1所述的基于多维度特征融合的APT异常行为检测方法，其特征在于，所述使用基于注意力的多维度特征融合方法，根据同一进程节点的语义结构特征向量和调用树特征向量得到多维度融合特征，包括：多维度特征提取：对于进程节点的语义结构特征向量 和进程节点的调用树特征向量，通过 个大小不同的卷积核进行卷积操作，获取语义结构特征向量 和调用树特征向量 在不同卷积核下特征信息 和 ， ；

注意力机制计算：使用平均池化操作处理特征信息 和 ，得到固定长度特征向量和 ，然后经过全连接层映射得到注意力分数 和 ；

多维度特征融合：采用注意力分数 对特征信息 进行加权融合得到语义结构融合特征 ，采用注意力分数 对特征信息 进行加权融合得到语义结构融合特征 ，最后得到多维度融合特征 。