[發(fā)明專利]計(jì)算機(jī)網(wǎng)絡(luò)異常檢測的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201710333143.8
• 申請(qǐng)日: 2017-05-12
• 公開（公告）號(hào): CN107196930B
• 公開（公告）日: 2019-11-29
• 發(fā)明（設(shè)計(jì)）人: 耐爾;屈朝暉
• 申請(qǐng)（專利權(quán)）人: 蘇州優(yōu)圣美智能系統(tǒng)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 11369 北京遠(yuǎn)大卓悅知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)
• 代理人: 韓飛<國際申請(qǐng)>=<國際公布>=<進(jìn)入國

本發(fā)明公開一種計(jì)算機(jī)網(wǎng)絡(luò)異常檢測方法、系統(tǒng)及移動(dòng)終端，異常檢測方法包括步驟：從計(jì)算機(jī)網(wǎng)絡(luò)事務(wù)中獲取事件；從事件中同時(shí)提取多個(gè)特征并輸出；將輸出的多個(gè)特征與已學(xué)習(xí)趨勢作比較，得到異常；對(duì)異常進(jìn)行判斷與推理，根據(jù)判斷與推理發(fā)出警報(bào)與操作；多個(gè)特征包括包含實(shí)數(shù)的連續(xù)值型特征和呈現(xiàn)為集合的有限集型特征；已學(xué)習(xí)趨勢包括一系列連續(xù)值型特征。本發(fā)明提供的計(jì)算機(jī)網(wǎng)絡(luò)異常檢測方法及系統(tǒng)，能夠檢測不可預(yù)見類型的網(wǎng)絡(luò)威脅和其他網(wǎng)絡(luò)相關(guān)問題，異常的檢測的準(zhǔn)確率提高。

技術(shù)領(lǐng)域

本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)異常的檢測技術(shù)領(lǐng)域，更具體地說，本發(fā)明涉及一種計(jì)算機(jī)網(wǎng)絡(luò)異常檢測的方法、系統(tǒng)及移動(dòng)終端。

背景技術(shù)

隨著計(jì)算機(jī)網(wǎng)絡(luò)的迅速發(fā)展，網(wǎng)絡(luò)威脅和其他網(wǎng)絡(luò)相關(guān)問題日益增多，如網(wǎng)絡(luò)攻擊、數(shù)據(jù)盜竊、病毒、蠕蟲、惡意端口掃描活動(dòng)等網(wǎng)絡(luò)威脅的作用速度更快、變化速率更快、更加復(fù)雜。當(dāng)前，盡管有外圍防御，網(wǎng)絡(luò)威脅還是會(huì)通過計(jì)算機(jī)網(wǎng)絡(luò)直接潛入，因此出現(xiàn)了很多威脅檢測工具。

傳統(tǒng)的檢測包含簡單的或者深度的數(shù)據(jù)包檢測，通常可以被歸類為入侵檢測防護(hù)設(shè)備或者防病毒系統(tǒng)。這些設(shè)備以特征的形式設(shè)置了威脅數(shù)據(jù)庫，讓威脅數(shù)據(jù)庫的特征和計(jì)算機(jī)網(wǎng)絡(luò)傳輸?shù)臄?shù)百萬個(gè)工具包進(jìn)行匹配。由于特征創(chuàng)造過程是人為操作的，出現(xiàn)新的網(wǎng)絡(luò)威脅特征，或者網(wǎng)絡(luò)威脅特征發(fā)生變化，威脅數(shù)據(jù)庫就不能及時(shí)創(chuàng)造出這些新型特征。

另一個(gè)傳統(tǒng)檢測是通過監(jiān)測流量率來檢測異常。流量監(jiān)測異常的方法會(huì)產(chǎn)生大量的錯(cuò)誤警報(bào)，因?yàn)榕c威脅無關(guān)的許多原因會(huì)導(dǎo)致流量的變化率或者其他可觀察量的發(fā)生。另外，傳統(tǒng)的流量異常檢測系統(tǒng)起初是用來檢測在預(yù)設(shè)定行為中的變化，所以傳統(tǒng)的異常檢測系統(tǒng)是不用來檢測新型網(wǎng)絡(luò)威脅的。

發(fā)明內(nèi)容

針對(duì)上述技術(shù)中存在的不足之處，本發(fā)明提供一種計(jì)算機(jī)網(wǎng)絡(luò)異常檢測方法、系統(tǒng)及移動(dòng)終端，能夠檢測不可預(yù)見類型的網(wǎng)絡(luò)威脅和其他網(wǎng)絡(luò)相關(guān)問題，異常的檢測的準(zhǔn)確率提高。

為了實(shí)現(xiàn)根據(jù)本發(fā)明的這些目的和其它優(yōu)點(diǎn)，本發(fā)明通過以下技術(shù)方案實(shí)現(xiàn)：

本發(fā)明提供一種計(jì)算機(jī)網(wǎng)絡(luò)異常檢測方法，其包括步驟：

從計(jì)算機(jī)網(wǎng)絡(luò)事務(wù)中獲取事件；

從所述事件中同時(shí)提取多個(gè)所述特征并輸出；

將輸出的多個(gè)所述特征與已學(xué)習(xí)趨勢作比較，得到異常；對(duì)所述異常進(jìn)行判斷與推理，根據(jù)所述判斷與推理發(fā)出警報(bào)與操作；

其中，多個(gè)所述特征包括包含實(shí)數(shù)的連續(xù)值型特征和呈現(xiàn)為集合的有限集型特征；所述已學(xué)習(xí)趨勢包括一系列所述連續(xù)值型特征。

優(yōu)選的是，獲取的所述事件包括一個(gè)事件或?qū)⒁幌盗惺录凑帐录g的邏輯關(guān)系進(jìn)行捆綁形成的事件捆綁。

優(yōu)選的是，獲取所述事件，包括步驟：

收集計(jì)算機(jī)網(wǎng)絡(luò)事務(wù)中的數(shù)據(jù)包；

將所述數(shù)據(jù)包按照事務(wù)屬性分類存儲(chǔ)于數(shù)據(jù)結(jié)構(gòu)中，形成所述事件。

優(yōu)選的是，獲取所述事件，還包括步驟：從其他來源獲取所述事件。

優(yōu)選的是，獲取所述事件后，還包括步驟：對(duì)所述事件進(jìn)行聚合、選擇以及過濾處理。

優(yōu)選的是，提取所述特征，包括步驟：

從所述事件中提取所述數(shù)據(jù)結(jié)構(gòu)各字段之間的交互相關(guān)；或，

從所述事件中提取所述數(shù)據(jù)結(jié)構(gòu)各行之間的順序相關(guān)。

優(yōu)選的是，多個(gè)所述特征輸出，包括步驟；

將所述連續(xù)值型特征從所述有限集型特征中分離出來；

將分離后的有限集型特征轉(zhuǎn)化成學(xué)習(xí)趨勢模塊的地址；