[發(fā)明專利]基于無監(jiān)督學(xué)習(xí)的攻擊者畫像方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201810925031.6
• 申請日: 2018-08-14
• 公開（公告）號: CN108924163A
• 公開（公告）日: 2018-11-30
• 發(fā)明（設(shè)計）人: 王祖儷;李飛;王娟;吳春旺;趙軍
• 申請（專利權(quán)）人: 成都信息工程大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06F21/55;G06F17/30
• 代理公司: 北京市領(lǐng)專知識產(chǎn)權(quán)代理有限公司 11590
• 代理人: 林輝輪

1.一種基于無監(jiān)督學(xué)習(xí)的攻擊者畫像方法，其特征在于，包括以下步驟：

步驟1，獲取報警數(shù)據(jù)信息；

步驟2，對獲取的報警數(shù)據(jù)信息進(jìn)行預(yù)處理，使來源不同的報警數(shù)據(jù)信息具有相同的格式及維度；

步驟3，對預(yù)處理之后的報警數(shù)據(jù)信息進(jìn)行聚類分析，得到聚類后的數(shù)據(jù)集；

步驟4，將聚類后的數(shù)據(jù)集中的信息與預(yù)先設(shè)立的靜態(tài)信息庫中的信息進(jìn)行交互，實現(xiàn)維度擴充和/或信息補充；

步驟5，對步驟4中得到的數(shù)據(jù)進(jìn)行整理，得到攻擊者的畫像集合。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述步驟2中，對獲取的報警數(shù)據(jù)信息進(jìn)行預(yù)處理，包括：

將來自不同資源的報警數(shù)據(jù)信息采用相同的存儲格式進(jìn)行存儲，并進(jìn)行標(biāo)準(zhǔn)化處理；

選取報警數(shù)據(jù)信息的屬性，調(diào)整各個報警數(shù)據(jù)信息的維度，使來自不同資源的報警數(shù)據(jù)信息維度相同，所述維度指報警數(shù)據(jù)信息中屬性的個數(shù)。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述步驟2中還包括：判斷報警數(shù)據(jù)信息中報警事件的主體對象間是否存在從屬關(guān)系，以及將存在從屬關(guān)系的主體對象歸類于同一群體。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述步驟3中，通過去除數(shù)據(jù)集中報警數(shù)據(jù)信息中的孤立結(jié)點，且采用自適應(yīng)調(diào)整聚類個數(shù)K的方式進(jìn)行聚類分析。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述步驟3具體包括：

步驟31，針對于數(shù)據(jù)集中的每個報警數(shù)據(jù)信息，計算出每個結(jié)點i與剩余結(jié)點的距離和S_i及距離均和H，若S_i>H，則將結(jié)點i作為孤立結(jié)點予以去除，得到新的數(shù)據(jù)集；其中，n為結(jié)點的個數(shù)，x_ij為當(dāng)前結(jié)點，x_ji為剩余結(jié)點，d表示一個結(jié)點的維度；

步驟32，設(shè)置初始的K值，針對于新的數(shù)據(jù)集，隨機選取K個數(shù)據(jù)信息作為初始聚類中心；

步驟33，計算當(dāng)前數(shù)據(jù)集的類間分散度Disp_k和類內(nèi)聚合度Aggr_k，并得到初始E值E_k；其中，d_ij＝||v_i-v_j||，v_i、v_j分別表示第i個簇的聚類中心和第j簇的聚類中心，c_i表示第i個簇中數(shù)據(jù)信息個數(shù)，x表示第i個簇中各個數(shù)據(jù)信息；

步驟34，求出當(dāng)前數(shù)據(jù)集中兩個距離最近的聚類子集X,Y；

步驟35，合并距離最近的兩個聚類子集，得到新的k-1個聚類中心，計算此時的Disp_k-1和Aggr_k-1，E_k-1；

步驟36，判斷E_k-E_k-1的值是否超過設(shè)定閾值，如果否，則令E_k＝E_k-1，重復(fù)步驟34至步驟36；若超過閾值，則完成聚類。

6.一種基于無監(jiān)督學(xué)習(xí)的攻擊者畫像系統(tǒng)，其特征在于，包括以下模塊：

數(shù)據(jù)收集模塊，用于獲取報警數(shù)據(jù)信息；

數(shù)據(jù)預(yù)處理模塊，用于對獲取的報警數(shù)據(jù)信息進(jìn)行預(yù)處理，使來源不同的報警數(shù)據(jù)信息具有相同的格式及維度；

數(shù)據(jù)分析模塊，用于對預(yù)處理之后的報警數(shù)據(jù)信息進(jìn)行聚類分析，得到聚類后的數(shù)據(jù)集；

數(shù)據(jù)擴充模塊，用于將聚類后的數(shù)據(jù)集中的信息與預(yù)先設(shè)立的靜態(tài)信息庫中的信息進(jìn)行交互，實現(xiàn)維度擴充和/或信息補充；

畫像形成模塊，用于對數(shù)據(jù)擴充模塊輸出的數(shù)據(jù)進(jìn)行整理，得到攻擊者的畫像集合。