[發明專利]基于數據流序列的異常主機檢測方法、裝置、設備及介質有效

申請號：	201910326907.X	申請日：	2019-04-23
公開（公告）號：	CN110138745B	公開（公告）日：	2021-08-24
發明（設計）人：	江斌	申請（專利權）人：	極客信安（北京）科技有限公司
主分類號：	H04L29/06	分類號：	H04L29/06;H04L12/24
代理公司：	北京睿馳通程知識產權代理事務所(普通合伙) 11604	代理人：	張文平
地址：	100080 北京市海淀區中關***	國省代碼：	北京;11
權利要求書：	查看更多	說明書：	查看更多
摘要：
搜索關鍵詞：	基于數據流序列異常主機檢測方法裝置設備介質
鉆瓜網技術展會專利詞庫專利權人專利榜在售專利公布日期熱門專利

【說明書】：

本公開實施例提供一種基于數據流序列的異常主機檢測方法、裝置、設備及介質，方法包括：針對每臺所述主機采集多個時間片的各類數據流量，進行流重組，建立數據流序列；提取各所述數據流序列的自有特征以及各所述數據流序列之間的關聯特征；形成每臺所述主機的特征向量集；將每臺所述主機的所述特征向量集作為正樣本，將其他N?1臺所述主機的特征向量集作為負樣本集合，進行訓練，形成每臺所述主機的檢測模型；通過所述檢測模型進行檢測，對于差異性較大的特征向量集，報警為異常特征向量集；對于未報警的特征向量，進行再次訓練與修正，形成最終檢測模型，采用所述最終檢測模型對異常主機進行檢測。

技術領域

本公開涉及流量數據檢測技術領域，具體為一種基于數據流序列的異常主機檢測方法、裝置、電子設備及存儲介質。

背景技術

網絡通信是當前幾乎所有企業和個人都會涉及的信息應用。隨著企業以及個人用戶對于信息安全的重視程度越來越高，當前網絡通信中加密技術的使用場景越來越多。即通過加密方法讓通信內容無法被網絡上除通信雙方之外的其他用戶識別。這就造成了正常加密流量與惡意加密流量無法區分的問題。為網絡安全檢測帶來了很大的挑戰。

現有方案除了有效解密加密流量之外，當前對于加密惡意流量的檢測主要采用機器學習等人工智能的方法。目前所采用的方法主要是檢測一條數據流是否為惡意流量，主要的方法可以分為兩類：

(1)有監督的學習方法：利用已知的惡意流量進行檢測模型訓練，然后將該模型用于檢測；

(2)無監督的學習方法：定義一組聚類規則，對流量進行聚類分析，然后篩選出其中的惡意流量簇

現有方案存在的問題

(1)有監督模型訓練依賴大量的黑樣本，樣本數量不足很可能導致訓練得到的檢測模型不準確；

(2)無監督聚類分析無法確切區分哪些流量為惡意流量，僅能通過不同簇之間的數量比例等進行推測，準確率較低；

(3)對于單個數據流作為分析對象，對于一些惡意行為則丟失了數據流之間的關聯關系，從而降低了檢測的準確率；

(4)容易被攻擊者根據特征集合繞過，即一旦攻擊者發現檢測所用的特征集，則可以通過一定技術手段規避這些特征。