[發明專利]一種基于動態存儲網絡的企業網絡異常檢測方法及系統

有效

• 申請號: 202010017618.4
• 申請日: 2020-01-08
• 公開（公告）號: CN111277564B
• 公開（公告）日: 2022-06-28
• 發明（設計）人: 吳振東;李銳;于治樓;安程治
• 申請（專利權）人: 山東浪潮科學研究院有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/12;H04L41/142
• 代理公司: 濟南信達專利事務所有限公司 37100
• 代理人: 孫晶偉

1.一種基于動態存儲網絡的企業網絡異常檢測方法，其特征是所述的檢測方法步驟如下：

S1將原始事件進行預處理，記錄并維護一個多域事件數據庫；

S2通過字段級嵌入和時間級編碼將當前事件C和歷史事件S轉換為多位數字向量Q和F:

S201預選一個周期性的連續詞袋模型計算當前事件C和歷史事件S的每個字段的嵌入向量，得到對應的字段級嵌入向量Q和F；

S202將字段級嵌入向量Q和F送入至雙向門控循環單元Bi-GRU，將字段級嵌入向量Q和F的編碼向量表示為Q和F＝[f1,f2,…fT],ft表示第t個歷史事件的適量編碼；

S3通過檢索Q所包含的F，以通過迭代提醒過程來聚合相關事實,形成一個集成存儲M，將存儲初始化為當前事件的編碼向量M0＝Q；

S4將集成存儲M進行解碼，獲得預期事件的分布概率；

S5通過當前事件和預測事件進行比較判斷當前事件是否異常。

2.根據權利要求1所述的基于動態存儲網絡的企業網絡異常檢測方法，其特征是所述S3具體步驟為:

S301對每次迭代i，通過提醒向量Aⁱ＝[aⁱ₁,aⁱ₂,…aⁱ_T]計算給定的F和Q之間的相關性；

S302雙層前饋神經網絡將提醒向量輸入Aⁱ，用來捕獲歷史事件的矢量編碼ft，將前一個存儲器M^i-1和當前事件Q之間的內部連接表示為Zt；

S303用attGRU來表示運行修改的GRU計算情節Eatt，得到給定提醒向量的最終隱藏狀態，Eⁱ_att＝hⁱ_T；

S304對于每次迭代i，將集成存儲M更新為Mi。

3.根據權利要求2所述的基于動態存儲網絡的企業網絡異常檢測方法，其特征是所述S4通過門控循環單元GRU與完全連接層FCL相結合對集成存儲M進行解碼，利用給定歷史事件S構建單獨的GRUj+FCLj網絡來預測事件中的第j個字段。

4.根據權利要求2或3所述的基于動態存儲網絡的企業網絡異常檢測方法，其特征是所述S3過程中將相關事實的檢索保存在臨時存儲機制中，其特征是所述機制實現方法步驟為：

S311將提醒值超過閾值λ的歷史事件F作為相關事件；

S312獲得最終存儲時，異常檢測系統將相關事實的索引放入臨時存儲中；

S313異常檢測系統查詢緩存以獲得相關的先前事件；

S314將異常檢測預警傳送給網絡安全員進行分析；

S315當前事件正常時，異常檢測系統將緩存自動清除。

5.一種基于動態存儲網絡的企業網絡異常檢測系統，其特征在于所述系統包括數據準備模塊、表示層模塊、存儲形成模塊、臨時存儲模塊、預測層模塊和異常檢測模塊；

數據準備模塊：將原始事件進行預處理，記錄并維護一個多域事件數據庫；

表示層模塊：通過字段級嵌入和時間級編碼將當前事件C和歷史事件S轉換為多位數字向量Q和F；

所述表示層模塊包括向量轉換模塊和編碼轉換模塊；

向量轉換模塊預選一個周期性的連續詞袋模型計算當前事件C和歷史事件S的每個字段的嵌入向量，得到對應的字段級嵌入向量Q和F；

編碼轉換模塊將字段級嵌入向量Q和F送入至雙向門控循環單元Bi-GRU，將字段級嵌入向量Q和F的編碼向量表示為Q和F＝[f1,f2,…fT],ft表示第t 個歷史事件的適量編碼；

存儲形成模塊：通過檢索Q所包含的F，以通過迭代提醒過程來聚合相關事實,形成一個集成存儲M，將存儲初始化為當前事件的編碼向量M0＝Q；

臨時存儲模塊：將存儲形成模塊內的相關事實作為相關事件進行存儲；

預測層模塊：將集成存儲M進行解碼，獲得預期事件的分布概率；

異常檢測模塊：通過當前事件和預測事件進行比較判斷當前事件是否異常。

6.根據權利要求5所述的基于動態存儲網絡的企業網絡異常檢測系統，其特征是所述存儲形成模塊包括相關計算模塊、內部連接模塊、狀態隱藏模塊和存儲更新模塊；

相關計算模塊：對每次迭代i，通過提醒向量Aⁱ＝[aⁱ₁,aⁱ₂,…aⁱ_T]計算給定的F和Q之間的相關性；

內部連接模塊：利用雙層前饋神經網絡將提醒向量輸入，用來捕獲歷史事件的矢量編碼ft，將前一個存儲器M^i-1和當前事件Q之間的內部連接表示為Zt；

狀態隱藏模塊：用attGRU來表示運行修改的GRU計算情節Eatt，得到給定提醒向量的最終隱藏狀態，Eⁱ_att＝hⁱ_T；

存儲更新模塊：對于每次迭代i，將集成存儲M更新為Mi。