[發明專利]網絡行為的檢測方法、裝置、計算機設備和存儲介質

有效

• 申請號: 201911418725.1
• 申請日: 2019-12-31
• 公開（公告）號: CN111131314B
• 公開（公告）日: 2022-04-12
• 發明（設計）人: 王占一;馬江波
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 程超

1.一種網絡行為的檢測方法，其特征在于，包括：

獲取待檢測單位時間窗內目標主體網絡行為的行為數據，得到待檢測行為數據組；

獲取歷史單位時間窗內所述目標主體網絡行為的行為數據，得到歷史行為數據組；

將所述待檢測行為數據組按照預設的映射規則映射為行為圖像，得到待檢測圖像，將所述歷史行為數據組按照所述映射規則映射為行為圖像，得到歷史圖像；

提取所述待檢測圖像的特征向量，得到待檢測特征向量，提取所述歷史圖像的特征向量，得到歷史特征向量；

將歷史特征向量組輸入至預設的行為預測模型，得到預測特征向量，其中，所述歷史特征向量組為多個連續的所述歷史單位時間窗對應的歷史特征向量；

比對所述待檢測特征向量和所述預測特征向量，以確定所述待檢測單位時間窗內所述目標主體網絡行為是否存在異常。

2.根據權利要求1所述的網絡行為的檢測方法，其特征在于，提取所述行為圖像的所述特征向量的步驟包括：

建立初始自編碼器，其中，所述初始自編碼器包括輸入層、編碼層、反編碼層和輸出層；

獲取訓練行為圖像，并將所述訓練行為圖像分別作為所述初始自編碼器的輸入層的輸入和輸出層的輸出，對所述初始自編碼器進行訓練，得到目標自編碼器；

獲取驗證行為圖像，將所述驗證行為圖像作為所述目標自編碼器的輸入層的輸入，得到所述目標自編碼器的輸出層的輸出；

通過所述驗證行為圖像與所述目標自編碼器的輸出層的輸出進行比對，判斷所述目標自編碼器是否滿足要求；

當所述目標自編碼器滿足要求時，將所述行為圖像作為所述目標自編碼器的輸入層的輸入，獲取所述目標自編碼器的編碼層的輸出，以得到所述行為圖像的所述特征向量。

3.根據權利要求2所述的網絡行為的檢測方法，其特征在于，在將歷史特征向量組輸入至所述預設的行為預測模型，得到預測特征向量的步驟之前，所述網絡行為的檢測方法還包括：

獲取所述目標主體的網絡數據；

提取所述網絡數據中的行為數據組，其中，所述行為數據組包括單位時間窗內所述目標主體的網絡行為的所述行為數據；

將所述行為數據組按照所述映射規則映射為行為圖像，得到訓練行為圖像；

提取所述訓練行為圖像的特征向量，得到訓練特征向量，其中，所述訓練特征向量為L*1的矩陣；

按照時間先后順序對所述網絡數據對應的多個所述訓練特征向量進行排序，得到訓練特征向量隊列；

采用滑動窗口方式，對所述訓練特征向量隊列進行取值和拼接，以得到多個訓練樣本，其中，所述訓練樣本包括拼接向量和預測向量，所述拼接向量包括由所述滑動窗口內的T個所述訓練特征向量構成的L*T 矩陣，所述預測向量包括與所述滑動窗口相鄰且位于所述滑動窗口后的所述訓練特征向量；

建立初始行為預測模型，其中，所述初始行為預測模型包括輸入層、中間層和輸出層；

將所述訓練樣本中的所述拼接向量作為所述初始行為預測模型的輸入層的輸入，將所述訓練樣本中的所述預測向量作為所述初始行為預測模型的輸出層的輸出，對所述初始行為預測模型進行訓練，得到所述行為預測模型。

4.根據權利要求1所述的網絡行為的檢測方法，其特征在于，比對所述待檢測特征向量和所述預測特征向量，以確定所述待檢測單位時間窗內所述目標主體網絡行為是否存在異常的步驟包括：

計算所述待檢測特征向量和所述預測特征向量的均方根誤差；

判斷所述均方根誤差是否大于預設誤差閾值；

當所述均方根誤差大于所述預設誤差閾值時，確定所述待檢測單位時間窗內所述目標主體網絡行為存在異常；以及

在連續s個所述待檢測單位時間窗內，具有r個所述待檢測單位時間窗內所述目標主體網絡行為存在異常時，產生報警，其中，r≤s。