[發(fā)明專利]基于數(shù)據(jù)流序列的異常主機檢測方法、裝置、設備及介質

有效

• 申請?zhí)枺?/td>: 201910326907.X
• 申請日: 2019-04-23
• 公開（公告）號: CN110138745B
• 公開（公告）日: 2021-08-24
• 發(fā)明（設計）人: 江斌
• 申請（專利權）人: 極客信安（北京）科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京睿馳通程知識產(chǎn)權代理事務所(普通合伙) 11604
• 代理人: 張文平

1.一種基于數(shù)據(jù)流序列的異常主機檢測方法，其特征在于，包括如下步驟：

步驟S101：選取N臺抽樣主機，針對每臺所述主機采集多個時間片的各類數(shù)據(jù)流量，進行流重組，建立數(shù)據(jù)流序列，其中N為大于3的自然數(shù)；

步驟S102：提取各所述數(shù)據(jù)流序列的自有特征以及各所述數(shù)據(jù)流序列之間的關聯(lián)特征；將所述自有特征和關聯(lián)特征向量化處理，形成每臺所述主機的特征向量集；所述關聯(lián)特征包括：訪問端口序列、訪問IP序列、訪問域名序列、IP訪問廣度、被訪問IP廣度、訪問域名集合、數(shù)據(jù)上下行數(shù)量、上下行流數(shù)量、數(shù)字證書集合、開放服務端口集合或連接發(fā)起頻率；

步驟S103:將每臺所述主機的所述特征向量集作為正樣本，將其他N-1臺所述主機的特征向量集作為負樣本集合，進行訓練，形成每臺所述主機的檢測模型；

步驟S104:通過所述檢測模型進行檢測，對于差異性較大的特征向量集，報警為異常特征向量集；

步驟S105：對于未報警的特征向量，加入到對應主機的特征向量集中，在一定時間內(nèi)對所述檢測模型利用新的特征向量集進行再次訓練與修正，形成最終檢測模型，采用所述最終檢測模型對異常主機進行檢測。

2.根據(jù)權利要求1所述的方法，其特征在于，所述自有特征包括：

流目的端口、流目的IP、流目的域名、DNS查詢域名、流長度或數(shù)字證書。

3.根據(jù)權利要求2所述的方法，其特征在于，所述檢測模型為隨機森林模型，具體訓練方法包括：

步驟S1031：定義檢測主機A的特征向量集合為X，其他主機的特征向量集合為Y，在選定決策樹數(shù)量m后，隨機從特征向量集合X和特征向量集合Y抽樣組合，構造一個數(shù)據(jù)集T：

T＝{(x1,y1),(x2,y2),(x3,y3)…(xm,ym)}；

步驟S1032：基于所述數(shù)據(jù)集T，建立對應的決策樹：

其中，H(T)表示任一顆決策樹的投票結果，Pi表示任一數(shù)據(jù)向量通過(xi，yi)檢測的概率；

步驟S1033：由多個所述決策樹組合投票構建所述隨機森林模型的最終結果：

其中m是決策樹的數(shù)量，wi是樹的權重，zi是樹的投票結果，RF是隨機森林的投票結果。

4.一種基于數(shù)據(jù)流序列的異常主機檢測裝置，其特征在于，包括：

序列構建單元：用于選取N臺抽樣主機，針對每臺所述主機采集多個時間片的各類數(shù)據(jù)流量，進行流重組，建立數(shù)據(jù)流序列，其中N為大于3的自然數(shù)；

向量提取單元：提取各所述數(shù)據(jù)流序列的自有特征以及各所述數(shù)據(jù)流序列之間的關聯(lián)特征；將所述自有特征和關聯(lián)特征向量化處理，形成每臺所述主機的特征向量集；所述關聯(lián)特征包括：訪問端口序列、訪問IP序列、訪問域名序列、IP訪問廣度、被訪問IP廣度、訪問域名集合、數(shù)據(jù)上下行數(shù)量、上下行流數(shù)量、數(shù)字證書集合、開放服務端口集合或連接發(fā)起頻率；

模型構建單元:將每臺所述主機的所述特征向量集作為正樣本，將其他N-1臺所述主機的特征向量集作為負樣本集合，進行訓練，形成每臺所述主機的檢測模型；

模型檢測單元:通過所述檢測模型進行檢測，對于差異性較大的特征向量集，報警為異常特征向量集；

結果輸出單元：對于未報警的特征向量，加入到對應主機的特征向量集中，在一定時間內(nèi)對所述檢測模型利用新的特征向量集進行再次訓練與修正，形成最終檢測模型，采用所述最終檢測模型對異常主機進行檢測。

5.根據(jù)權利要求4所述的裝置，其特征在于，所述自有特征包括：

流目的端口、流目的IP、流目的域名、DNS查詢域名、流長度或數(shù)字證書。