[發明專利]基于文件訪問圖的非監督偽裝者檢測方法及系統

有效

• 申請號: 201711121116.0
• 申請日: 2017-11-14
• 公開（公告）號: CN108090354B
• 公開（公告）日: 2021-12-10
• 發明（設計）人: 于愛民;王佳榮;蔡利君
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 余長江

1.一種基于文件訪問圖的非監督偽裝者檢測方法，其步驟包括：

將全部文件訪問記錄按時間順序分割成多個文件塊，每個文件塊均包含多條文件訪問記錄；

利用相似度評分函數計算所述文件塊之間的相似度；

構建無向邊權重圖，將所述文件塊作為圖中相互連接的各頂點，任意兩頂點間的邊權重為對應的兩文件塊間的相似度；

利用聚類算法挖掘圖中的聚類簇，并得到圖中每個頂點與其所屬聚類簇的相關度；

將相關度低于一特定的閾值的異常頂點判定為偽裝者；

所述相似度評分函數包括第一相似度評分函數、第二相似度評分函數；

所述第一相似度評分函數公式為：

sim₁(Y，Z)＝1-agg_{i∈Y，j∈Z}distance(f_i，f_j)；

其中，distance(f_i，f_j)為文件距離函數，用于計算兩個文件f_i和f_j的距離；agg_{i∈Y，j∈Z}為聚合函數，用于計算兩個文件塊Y和Z的距離；

所述第二相似度評分函數公式為：

其中，g(Y)和g(Z)表示在文件塊Y和Z中不同文件夾的數量。

2.根據權利要求1所述的方法，其特征在于，所述文件距離函數公式為：

其中，

3.根據權利要求1所述的方法，其特征在于，所述聚合函數的公式為：

其中，

4.根據權利要求1所述的方法，其特征在于，所述無向邊權重圖的表達式為G＝(V，E，w)，其中V＝{1，...，n}是頂點集，是邊集，w：E→R⁺是權重函數。

5.根據權利要求4所述的方法，其特征在于，所述G＝(V，E，w)可表示為一個n×n的對稱相似矩陣M＝(a_Y，Z)；其中，

sim(Y，Z)為相似度評估函數。

6.根據權利要求1所述的方法，其特征在于，所述聚類算法的在滿足條件w_S(Y)＞0，和w_S∪{Y}(Y)＜0，的情況下，其公式為：

其中，L(κ)為相關度，頂點κ∈聚類簇S。

7.根據權利要求6所述的方法，其特征在于，所述φ_s和w_s的公式如下：

其中，設為非空頂點子集，Y∈S，

8.根據權利要求1所述的方法，其特征在于，所述閾值的確定方法是：通過統計頂點與聚類簇相關性的分布，將80％的頂點相關性分布區間的下限設定為閾值。

9.一種基于文件訪問圖的非監督偽裝者檢測系統，包括存儲器和處理器，該存儲器存儲計算機程序，該程序被配置為由該處理器執行，該程序包括用于執行上述權利要求1-8任一權利要求所述方法的各步驟指令。