[發(fā)明專利]一種安全檢測(cè)方法、裝置和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201811210613.2
• 申請(qǐng)日: 2018-10-17
• 公開（公告）號(hào): CN109450864B
• 公開（公告）日: 2021-06-18
• 發(fā)明（設(shè)計(jì)）人: 董立勉;左曉軍;侯波濤;郗波;王春璞;劉惠穎;張君艷;邢文茹
• 申請(qǐng)（專利權(quán)）人: 國(guó)網(wǎng)河北省電力有限公司電力科學(xué)研究院
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262
• 代理人: 鄭旭麗;曲鵬

1.一種安全檢測(cè)方法，包括以下步驟：

確定預(yù)設(shè)通信范圍內(nèi)的業(yè)務(wù)行為重心向量；其中，所述業(yè)務(wù)行為重心向量用于描述業(yè)務(wù)的關(guān)鍵業(yè)務(wù)行為的分布特征；

根據(jù)所述業(yè)務(wù)行為重心向量確定預(yù)設(shè)通信范圍內(nèi)是否存在業(yè)務(wù)異常；

其中，所述根據(jù)業(yè)務(wù)行為重心向量確定預(yù)設(shè)通信范圍內(nèi)是否存在業(yè)務(wù)異常包括以下至少之一：

當(dāng)所述業(yè)務(wù)行為重心向量與預(yù)先設(shè)置的業(yè)務(wù)行為重心基線向量的偏差大于或等于預(yù)設(shè)閾值時(shí)，確定預(yù)設(shè)通信范圍內(nèi)存在業(yè)務(wù)異常；

當(dāng)所述業(yè)務(wù)行為重心向量與預(yù)先設(shè)置的業(yè)務(wù)行為重心基線向量的偏差小于所述預(yù)設(shè)閾值時(shí)，確定預(yù)設(shè)通信范圍內(nèi)不存在業(yè)務(wù)異常；

其中，所述確定預(yù)設(shè)通信范圍內(nèi)的業(yè)務(wù)行為重心向量包括：

獲取所述預(yù)設(shè)通信范圍內(nèi)的業(yè)務(wù)行為元數(shù)據(jù)；其中，所述業(yè)務(wù)行為元數(shù)據(jù)用于描述業(yè)務(wù)行為特征；

根據(jù)所述業(yè)務(wù)行為元數(shù)據(jù)確定業(yè)務(wù)鏈模型數(shù)據(jù)；其中，所述業(yè)務(wù)鏈模型數(shù)據(jù)包括業(yè)務(wù)鏈和業(yè)務(wù)鏈行為向量，所述業(yè)務(wù)鏈為具有訪問關(guān)系的一組互聯(lián)網(wǎng)協(xié)議IP地址，所述業(yè)務(wù)鏈行為向量為業(yè)務(wù)鏈在預(yù)設(shè)時(shí)間點(diǎn)的業(yè)務(wù)特征屬性；

根據(jù)所述業(yè)務(wù)鏈模型數(shù)據(jù)計(jì)算所述業(yè)務(wù)行為重心向量。

2.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，當(dāng)確定預(yù)設(shè)通信范圍內(nèi)存在業(yè)務(wù)異常時(shí)，該方法還包括：進(jìn)行業(yè)務(wù)異常告警。

3.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，當(dāng)確定預(yù)設(shè)通信范圍內(nèi)不存在業(yè)務(wù)異常時(shí)，該方法還包括：根據(jù)所述業(yè)務(wù)行為重心向量更新所述業(yè)務(wù)行為重心基線向量。

4.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，所述業(yè)務(wù)行為重心向量與預(yù)先設(shè)置的業(yè)務(wù)行為重心基線向量的偏差為所述業(yè)務(wù)行為重心向量中發(fā)生變化的業(yè)務(wù)鏈的數(shù)量和業(yè)務(wù)行為重心基線向量中業(yè)務(wù)鏈的數(shù)量的比值。

5.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，所述獲取預(yù)設(shè)通信范圍內(nèi)的業(yè)務(wù)行為元數(shù)據(jù)包括：

獲取所述預(yù)設(shè)通信范圍內(nèi)的網(wǎng)絡(luò)鏡像流量數(shù)據(jù)和應(yīng)用日志；

根據(jù)所述網(wǎng)絡(luò)鏡像流量數(shù)據(jù)和應(yīng)用日志構(gòu)建所述業(yè)務(wù)行為元數(shù)據(jù)。

6.根據(jù)權(quán)利要求5所述的安全檢測(cè)方法，其特征在于，所述根據(jù)網(wǎng)絡(luò)鏡像流量數(shù)據(jù)和應(yīng)用日志構(gòu)建業(yè)務(wù)行為元數(shù)據(jù)包括：

從屬于同一個(gè)會(huì)話的網(wǎng)絡(luò)鏡像流量數(shù)據(jù)和應(yīng)用日志中提取業(yè)務(wù)行為信息；

對(duì)所述業(yè)務(wù)行為信息進(jìn)行去重處理；

根據(jù)去重處理后的業(yè)務(wù)行為信息構(gòu)建業(yè)務(wù)行為元數(shù)據(jù)。

7.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，所述根據(jù)業(yè)務(wù)行為元數(shù)據(jù)確定業(yè)務(wù)鏈模型數(shù)據(jù)包括：

根據(jù)所述業(yè)務(wù)行為元數(shù)據(jù)構(gòu)建業(yè)務(wù)鏈；

根據(jù)屬于同一業(yè)務(wù)鏈的業(yè)務(wù)行為元數(shù)據(jù)計(jì)算所述業(yè)務(wù)鏈的業(yè)務(wù)鏈行為向量；

根據(jù)所述業(yè)務(wù)鏈和業(yè)務(wù)鏈行為向量確定業(yè)務(wù)鏈模型數(shù)據(jù)。

8.根據(jù)權(quán)利要求1所述的安全檢測(cè)方法，其特征在于，所述根據(jù)所述業(yè)務(wù)鏈模型數(shù)據(jù)計(jì)算所述業(yè)務(wù)行為重心向量包括：

采用聚類分析方法計(jì)算每一類業(yè)務(wù)鏈模型數(shù)據(jù)的幾何重心；

所有類業(yè)務(wù)鏈模型數(shù)據(jù)的幾何重心構(gòu)成業(yè)務(wù)行為重心向量。

9.根據(jù)權(quán)利要求8所述的安全檢測(cè)方法，其特征在于，所述采用聚類分析方法計(jì)算每一類業(yè)務(wù)鏈模型數(shù)據(jù)的幾何重心包括：

隨機(jī)初始化所有類業(yè)務(wù)鏈模型數(shù)據(jù)的中心點(diǎn)；

計(jì)算每個(gè)所述業(yè)務(wù)鏈模型數(shù)據(jù)中的業(yè)務(wù)鏈到中心點(diǎn)的距離，將所述業(yè)務(wù)鏈模型數(shù)據(jù)劃分到與所述業(yè)務(wù)鏈模型數(shù)據(jù)的業(yè)務(wù)鏈的距離最近的中心點(diǎn)所屬的類中；

重新計(jì)算每一類業(yè)務(wù)鏈模型數(shù)據(jù)的中心點(diǎn)；

重復(fù)以上步驟，直到每一類業(yè)務(wù)鏈模型數(shù)據(jù)的中心點(diǎn)在每次迭代后的變化值小于或等于預(yù)設(shè)閾值，將該類業(yè)務(wù)鏈模型數(shù)據(jù)的中心點(diǎn)作為該類業(yè)務(wù)鏈模型數(shù)據(jù)的幾何重心。