[發明專利]一種基于神經網絡的惡意云租戶識別方法和裝置

有效

• 申請號: 201711328420.2
• 申請日: 2017-12-13
• 公開（公告）號: CN108121912B
• 公開（公告）日: 2021-11-09
• 發明（設計）人: 張穎君;劉玉嶺;黃亮;連一峰
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/04;G06N3/08
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種基于神經網絡的惡意云租戶識別方法，其步驟包括：

1)獲取多租戶的操作信息，并從操作信息中提取關鍵特征，構建特征向量；

2)將根據正常租戶和惡意租戶的操作信息構建的特征向量進行量化；

3)使用神經網絡對正常租戶和惡意租戶的量化后的特征向量進行學習，從而識別出潛在的惡意租戶；

其中，步驟1)通過虛擬機監控器對多租戶一段時間內的使用情況進行監控，并獲取相關日志信息，通過對租戶及其連接的虛擬機進行監控，并結合日志信息進行分析，獲取租戶的操作信息；所述操作信息包括租戶類別即U_GROUP、虛擬機ID即V_ID、進程ID即P_ID、文件名即F_NAME、文件路徑即F_PATH、操作類型即F_OS、操作開始時間即F_OT、結束時間即F_CT；然后構建特征向量φ，φ＝(U_GROUP,V_ID,P_ID,F_NAME,F_PATH,F_OS,F_OT,F_CT)，特征向量φ中的各部分依次對應于φ₁，φ₂，φ₃，…；以提取的特征向量為依據，通過虛擬機監控平臺每隔時間t進行一次記錄，收集一定數量的信息供機器學習，對于記錄中相同的項進行合并，得出最終的訓練樣本；

其中，步驟2)所述量化包括：對組別、操作類型進行映射，將U_GROUP映射為φ₁＝М(U_GROUP)＝{1,2,3,…}，其中M為映射函數，將F_OS映射為φ₆＝М(F_OS)＝{1,2,3,…}；對文件名、路徑進行哈希，將F_NAME,F_PATH采用哈希算法Η(x)映射到一個值，φ₄＝Η(F_NAME),φ₅＝Η(F_PATH)；對時間按照秒級進行量化，F_CT、F_OT轉換為用秒進行計數。

2.如權利要求1所述的方法，其特征在于，步驟3)的神經網絡學習過程主要包括對輸入特征的歸一化處理、正向傳遞、反向傳遞、循環訓練、結果判別五個步驟。

3.如權利要求2所述的方法，其特征在于，所述對輸入特征的歸一化處理，是減少各參數取值范圍不同對神經網絡產生的影響，通過計算與樣本數據最大值、最小值之間的距離進行歸一化計算。

4.如權利要求2所述的方法，其特征在于，所述正向傳遞包括計算隱藏層各神經元激活值、激活函數、輸出值，以及輸出層各單元激活值和輸出值。

5.如權利要求2所述的方法，其特征在于，所述反向傳遞通過計算輸出值與目標值之間的偏差，進行反向傳遞以對參數進行調整，包括輸出層校正誤差、隱藏層各單元校正誤差、輸出層到隱藏層閾值校正值、隱藏層至輸入層閾值校正值的計算。

6.如權利要求2所述的方法，其特征在于，所述循環訓練是通過不斷的迭代，調整參數，使其輸出結果與目標結果盡可能一致，并定義循環停止條件。

7.如權利要求2所述的方法，其特征在于，所述結果判別是對潛在的惡意租戶及其操作進行隔離與阻斷，并通過安全管理員進行人工分析以進一步確認；并將結果作為訓練集進行后續學習，提高神經網絡學習的準確性。

8.一種采用權利要求1～7中任一權利要求所述方法的基于神經網絡的惡意云租戶識別裝置，其特征在于，包括：

特征向量構建模塊，用于獲取多租戶的操作信息，并從操作信息中提取關鍵特征，構建特征向量；

量化模塊，用于將根據正常租戶和惡意租戶的操作信息構建的特征向量進行量化；

潛在惡意租戶識別模塊，用于使用神經網絡對正常租戶和惡意租戶的量化后的特征向量進行學習，從而識別出潛在的惡意租戶。