[發(fā)明專利]一種基于大數(shù)據(jù)的網(wǎng)絡(luò)安全預(yù)警方法與系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201710005826.0
• 申請日: 2017-01-04
• 公開（公告）號: CN106713341A
• 公開（公告）日: 2017-05-24
• 發(fā)明（設(shè)計）人: 王純斌;黃英海;辛凱
• 申請（專利權(quán)）人: 成都四方偉業(yè)軟件股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 成都金英專利代理事務(wù)所(普通合伙)51218
• 代理人: 袁英

1.一種基于大數(shù)據(jù)的網(wǎng)絡(luò)安全預(yù)警方法，其特征在于：包括以下步驟:

S1.進(jìn)行網(wǎng)絡(luò)安全基礎(chǔ)數(shù)據(jù)提取，并對提取的數(shù)據(jù)進(jìn)行大數(shù)據(jù)分析，建立網(wǎng)絡(luò)風(fēng)險信息識別模型；

S2.匯集網(wǎng)絡(luò)用戶的正常操作行為，構(gòu)建用戶操作行為序列庫；

S3.采集網(wǎng)絡(luò)安全的實(shí)時信息，輸入風(fēng)險信息識別模型，判斷實(shí)時信息是否安全：

(1)如果實(shí)時信息安全，進(jìn)入步驟S4；

(2)如果實(shí)時信息不安全，進(jìn)入步驟S5；

S4.提取實(shí)時信息的用戶操作行為序列，與所述用戶操作行為序列庫中的行為序列進(jìn)行匹配分析，輸出匹配結(jié)果，根據(jù)匹配結(jié)果判斷用戶操作行為是否具有威脅：

(1)如果用戶操作行為具有威脅，進(jìn)入步驟S5；

(2)如果用戶操作行為不具有威脅，返回步驟S3進(jìn)行下一條實(shí)時信息的采集和判斷；

S5.將對應(yīng)的實(shí)時信息進(jìn)行標(biāo)記，并關(guān)聯(lián)對應(yīng)的IP、用戶虛擬賬號和用戶實(shí)際地理位置，進(jìn)行網(wǎng)絡(luò)安全預(yù)警,并返回步驟S3，繼續(xù)進(jìn)行下一條實(shí)時信息的采集和判斷。

2.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)的網(wǎng)絡(luò)安全預(yù)警方法，其特征在于：所述的步驟S1包括以下子步驟：

S11.提取網(wǎng)絡(luò)安全基礎(chǔ)數(shù)據(jù)；

S12.對提取的網(wǎng)絡(luò)安全信息進(jìn)行聚類和篩選，得到可疑特征數(shù)據(jù)簇；

S13.將可疑特征數(shù)據(jù)簇交由人工進(jìn)行判斷，根據(jù)判斷結(jié)果，對可疑特征數(shù)據(jù)簇中的每一條數(shù)據(jù)用標(biāo)簽x進(jìn)行標(biāo)記；x為0表示正常數(shù)據(jù)，x為1表示風(fēng)險數(shù)據(jù)；

S14.建立風(fēng)險信息識別模型，并初始化模型參數(shù){m₁,m₂,m₃,...,m_i,...,m_n},m_i表示第i個模型參數(shù)值，n表示模型參數(shù)的個數(shù)；

S15.根據(jù)可疑特征數(shù)據(jù)簇中的數(shù)據(jù)對建立的模型進(jìn)行訓(xùn)練：

依次提取可疑特征數(shù)據(jù)簇中的每一條數(shù)據(jù)輸入模型，由模型對其檢測得到檢測參數(shù)y；

計算檢測參數(shù)y與對應(yīng)數(shù)據(jù)標(biāo)簽x的差值：β＝|x-y|，記為誤差；

利用誤差β對模型參數(shù)進(jìn)行調(diào)整,利用調(diào)整后的模型進(jìn)行下一次檢測；

當(dāng)β連續(xù)N次小于預(yù)設(shè)閾值時，定義模型訓(xùn)練成熟，存儲成熟模型的參數(shù)。

3.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)的網(wǎng)絡(luò)安全預(yù)警方法，其特征在于：所述的步驟S2包括以下子步驟：

S21.探測網(wǎng)絡(luò)用戶的正常操作行為；

S22.利用串表壓縮算法提取所述正常操作行為中的序列模式；

S23.建立行為列表，判斷提取出的序列模式是否存在于行為列表中，若否，則將所述序列模式記錄在所述行為列表中，并將所述序列模式的出現(xiàn)次數(shù)設(shè)為1；若是，則將所述序列模式的累計出現(xiàn)次數(shù)加1；

S24.建立用戶操作行為序列庫D，判斷所述序列模式的累計次數(shù)是否大于等于預(yù)設(shè)閾值，若是，則將所述用戶的操作行為作為有效行為加入用戶操作行為序列庫D；

S25.去除所述用戶操作行為序列庫中的冗余行為序列，優(yōu)化所述用戶操作行為序列庫：

計算用戶操作行為序列庫D中的任一序列Pi與用戶操作行為序列庫D中其余序列的編輯距離，將編輯距離為1的所有序列構(gòu)成候選子集合Si；其中，所述編輯距離為兩個序列之間，由一個序列轉(zhuǎn)成另一個序列所需的最少編輯操作次數(shù)；

在所述候選子集合Si中提取出權(quán)值與序列長度之積最大的序列模式，并去除其余序列；

對于序列庫中每個序列重復(fù)上述過程，提取出出現(xiàn)頻次最高且長度最大的序列，構(gòu)成優(yōu)化后的用戶操作行為序列庫。

4.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)的網(wǎng)絡(luò)安全預(yù)警方法，其特征在于：所述的步驟S3包括以下子步驟：

S31.采集網(wǎng)絡(luò)安全的實(shí)時數(shù)據(jù)，輸入風(fēng)險信息識別模型中，模型對數(shù)據(jù)進(jìn)行風(fēng)險預(yù)測得到預(yù)測值y1；

S32.將預(yù)測值y1進(jìn)行標(biāo)準(zhǔn)化，得到y(tǒng)2：

S33.根據(jù)y2的值判斷實(shí)時信息是否安全：

(1)如果y2＝0，則實(shí)時信息安全，進(jìn)入步驟S4；

(2)如果y2＝1，則實(shí)時信息不安全，進(jìn)入步驟S5。