在异构网络中，不同类型的实体（如服务器、用户、应用程序等）和关系（如通信、访问、控制等）具有不同的属性和特征。通过信息提取可以区分这些差异，使GNN模型能够适应异构网络的特性，进行更准确的漏洞检测^[5]。因此在进行异构网络信息安全漏洞检测之前，本文首先针对异构网络进行图表示以及节点/边信息提取，提取出的节点和边信息可以作为GNN模型的输入特征，帮助模型学习节点之间的关联关系，进而进行漏洞检测。

首先，将异构网络信息安全漏洞相关的数据转化为图表示。图数据由节点（Node）和边（Edge）组成，节点可以代表网络中的不同实体（如服务器、用户、设备等），边则代表实体之间的关联关系（如通信、访问等）。因此可以将节点表示为一个特征向量Node_i =[ aⁱ₁, aⁱ₂,..., aⁱ_n ]，Node_i其中代表第i个节点，aⁱ_j代表第i个异构网络节点的第j个属性。边 可 以 表 示 为 一 个 三 元 组 Edge _ij =( Node _i , r _ij , w _ij )，其中， r _ij和w _ij分别代表边的关系类型以及边的权重^[6]。为对异构网络的节点信息进行提取，本文从数据源中对节点属性进行提取，具体数据源包括日志文件、配置文件以及异构网络扫描结果等，因此可以获得节点的IP地址、MAC地址、CPU使用率、内存占用率等静态属性以及动态属性^[7]。提取后的节点信息可以表示为一个特征矩阵X，其中每一行均对应一个异构网络节点，每一列对应一个节点属性，其具体矩阵表达式如下所示。

对于边信息提取，本文选择采用邻接矩阵R以及权重矩阵W对其进行表示，邻接矩阵反映了图中节点间的相邻状态，而权重矩阵则用于量化这些边的权重。两个矩阵表达式如下所示。

在邻接矩阵R中，如果异构网络节点i和j之间存在边，则r _ij的值为1，如果不存在边，则r _ij的值为0。

通过上述步骤即可完成对于异构网络中节点以及边信息的提取，并对其进行图表示处理^[8]。以异构网络实体作为图节点，并以不同实体之间的关联关系作为边，将异构网络转换为图表示，并分别采用邻接矩阵以及权重矩阵对节点以及边信息进行提取。

在完成节点以及边信息提取后，本文通过图神经网络模型，将异构网络中的节点和边映射到向量空间中，得到它们的特征表示。

本文采用图神经网络领域中的GraphSAGE网络模型对异构网络的节点和边进行处理，并引入注意力机制以学习节点特征表示。首先需要对节点邻域进行采样处理，对于一个给定节点，本文从其邻居中随机采样固定数量的节点，作为该节点的邻域。假设节点v的k阶邻域为N_k ( v )，那么GraphSAGE通过聚合函数AGGREGATE对信息进行聚合，从而更新该节点的标识^[9]。该函数将邻域节点的特征作为输入，并输出一个固定大小的向量作为聚合结果。假设h^{k - 1}_u 代表节点u在k-1层的标识，a^k_vu代表从节点v到其邻接节点u的注意力系数，则节点v在k层的聚合表示h^k_v可以通过以下的形式表示。

h^k_v =σ ( W ^k⋅AGGREGATE ({a^k_vu⋅h^{k - 1}_u |u∈N_k ( v )})) （4）

式（4）中， σ代表激活函数， W^k代表可学习的权重矩阵。为了更精确地捕捉节点间的相互关联性，本文引入注意力机制，以便为不同的邻居点赋予差异化的权重^[10]。注意力机制可以计算出权重a ^k_{v u}的的具体数值，具体表达式如下所示。

式（5）中，f (⋅)代表注意力得分函数，用于计算节点v以及邻居节点u之间的注意力得分^[11]。在节点特征整合与更新的流程中，GraphSAGE算法通过抽样邻居节点、整合这些节点的特征，并更新目标节点的特征，从而生成每个节点的嵌入表示。这个过程捕获了节点的局部邻域信息，并将其编码到一个向量表示中，以此可以在异构网络中将节点和边映射到向量空间中，这些表示可以作为后续模型的输入或特征，为漏洞分类与检测提供帮助^[12]。

在获取了异构网络节点和边的特征表示后，本文选取这些特征作为输入，利用随机森林算法构建分类模型，实现异构网络信息安全漏洞深度检测。随机森林算法的分类预测流程如下图所示。

图1 随机数森林算法分类预测流程Fig.1 Classification and prediction flow of random forest algorithm

首先本文构建了一个带有标签的样本集。每个样本可以是一个节点或者一条边，对应的标签可以是该节点或边是否包含安全漏洞。对于节点样本，本文选择直接使用节点的特征向量作为输入，并附上相应的标签。对于边样本，本文选择使用之前计算得到的边的特征向量作为输入，并附上相应的标签^[13]。然后可以对随机森林进行构建，对于一个包含m个样本和n个特征的数据集D，首先本文从数据集D中随机选取m个样本作为基决策树的初始训练集D_t，然后随机选择k个特征作为候选特征集。从k个特征中挑选出最佳特征进行节点划分，以构建基决策树。这一过程将持续进行，直到达到停止条件，即叶子节点数达到最大值。对于新的样本x，即异构网络信息数据，本文选择将其输入到每个基决策树中，以此可以得到M个预测结果y_t ( t=1, 2, ..., M )^[14]。通过采用投票的方式，可以对最终的预测类别进行确定，最终预测结果y_final表达式如下所示。

通过上述步骤即可完成对于安全漏洞的判断以及预测。通过整合异构网络中节点和边的特征向量作为输入数据，利用随机森林算法来构建和优化分类器模型，并通过对其进行训练，使其能够根据边和节点的属性信息对其是否存在安全漏洞进行判断，最后结合投票法对输入样本的所属类别进行确定。将本节内容与上述提到的图表示以及节点/边映射处理等相关内容进行结合，至此，基于图神经网络的异构网络信息安全漏洞深度检测方法设计完成^[15]。

为验证本文提出的基于图神经网络的异构网络信息安全漏洞深度检测在实际检测效果方面的优越性，本次实验选取了两组常规的网络信息安全漏洞检测方法作为对比对象，分别为基于遗传算法的网络信息安全漏洞检测方法，以及基于注意力机制的网络信息安全漏洞检测方法。为了确保实验的可操作性和可复制性，本实验在精心配置的硬件和软件环境下进行。实验硬件环境如表1所示。

表1 实验硬件环境Table 1 Experimental hardware environment

在软件层面，基于Ubuntu 20.04 LTS操作系统，使用Python 3.8作为编程语言，并选用了PyTorch 1.8.0 深 度 学 习 框 架，结 合 PyTorch Geometric 1.7.0，以支持图神经网络的实现。此外，利 用 Pandas、 NumPy 进 行 数 据 处 理，以 及Matplotlib和NetworkX进行结果的可视化分析。构建一个包含多种类型安全漏洞的测试数据集，该数据集融合了真实网络数据模拟与合成方法生成的内容，以模拟真实世界中的复杂网络环境和多样化的安全威胁。通过构建实验平台，采用三种检测方法对同一个异构网络结构中的安全漏洞进行检测，对比不同方法的实际检测效果。

本实验模拟了一个具有典型特征的异构网络，包含三种不同类型的节点：用户节点、服务节点和数据节点。网络中的边表示不同节点之间的交互关系，具体分为用户与服务之间的访问关系、服务之间的依赖关系以及服务与数据之间的存储关系。网络中共包含10 000个节点，其中用户节点占40%，服务节点占30%，数据节点占30%。边的数量根据不同类型的节点及其交互关系进行随机生成，确保网络的连通性和复杂性。网络拓扑结构如图2所示。

图2 异构网络拓扑结构Fig.2 Topology of heterogeneous network

为了保证网络的稳定性，本实验在模拟过程中设置了合理的参数限制，如节点的最大度数、边的最大权重等。同时，通过实时监测网络的连通性和性能，确保网络在动态变化中保持一定的稳定性。同时，为了模拟真实网络中的动态变化，本实验在模拟过程中引入了节点和边的动态增删机制。节点的增删模拟了用户的加入和退出，边的增删模拟了服务间的依赖关系变化和数据的存储迁移。同时，针对模拟出的异构网络，本文在其中添加了不同类型安全漏洞，以供算法进行检测与分析，具体模拟漏洞分布情况如表2所示。

根据网络规模和参数配置，生成初始的异构网络结构，并在该网络结构中添加不同类型的安全漏洞。本文利用三种不同的方法对异构网络模型进行了安全漏洞检测。在实验中，设定图神经网络的节点嵌入维度为64，边嵌入维度为32，学习率则设定为0.001。对于随机森林模型，设定包含100棵决策树，并且每棵决策树的最大深度为10。通过对本文算法的参数进行配置，并进行模拟仿真测试。

本文方法所得到的异构网络信息安全漏洞深度检测结果如表3所示。

表2 模拟漏洞分布情况Table 2 Distribution of simulated vulnerability

表3 本文方法下的安全漏洞深度检测结果Table 3 Results of depth detection of security vulnerabilities by proposed method

通过上述实验结果可以看出，本文提出的方法能够有效针对不同类型的安全漏洞进行检测，通过结合节点以及边的属性特征，判断出当前网络是否存在安全漏洞。为提高实验结果的对比性，本次实验以不同检测结果的漏洞风险等级匹配度作为对比指标，对方法的实际检测精度进行衡量。该值代表检测出的漏洞的风险等级与实际漏洞风险等级的匹配程度，其具体对比结果如图3所示。

通过上述实验结果可以看出，在针对相同的异构网络进行安全漏洞检测时，不同算法的实际检测精度也有所不同。通过数值上的对比可以明显看出，本文提出的检测方法在实际检测精度方面明显优于两种常规的漏洞检测方法，检测出的漏洞等级与实际风险等级一致度更高。

图3 漏洞风险等级匹配度对比结果Fig.3 Comparison results of matching degrees of vulnerability risk level