[發明專利]一種定向威脅攻擊的檢測方法和裝置

有效

• 申請號: 202010517796.3
• 申請日: 2020-06-09
• 公開（公告）號: CN111756708B
• 公開（公告）日: 2022-06-28
• 發明（設計）人: 陳少涵;胡躍;吳雪陽
• 申請（專利權）人: 北京天空衛士網絡安全技術有限公司;成都天空衛士網絡安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/142;G06N3/04;G06N3/08
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 張一軍;王安娜

1.一種定向威脅攻擊的檢測方法，其特征在于，包括：

獲取各個樣本機的網絡數據，對各個所述樣本機的網絡數據進行處理，分別得到各個所述樣本機的多維數組；

根據各個所述樣本機的多維數組，分別生成各個所述樣本機對應的序列數組；

采用各個所述樣本機對應的序列數組對神經網絡模型進行有監督訓練；

獲取待測主機的網絡數據，對所述待測主機的網絡數據進行處理，得到所述待測主機的多維數組，將所述待測主機的多維數組輸入到訓練好的神經網絡模型，從而計算得到所述待測主機的定向威脅攻擊的概率；

其中，根據各個所述樣本機的多維數組，分別生成各個所述樣本機對應的序列數組，包括：

對于每個樣本機的N個u維數組，從所述N個u維數組中獲取長度為n+x的子序列；

從所述子序列中隨機去除x個u維單元數據，同時保持所述子序列中各個單元數據的前后順序，得到長度為n的u維序列數組；其中，n＜N，x為模糊單元數據的個數；

根據各個所述樣本機的多維數組，分別生成各個所述樣本機對應的序列數組，包括：

步驟1：設定序列數組的長度為n，設定最大模糊單元數據的個數為m；其中，n＜N，mN-n；

步驟2：從x＝0到x＝m依次加1的過程中進行m+1次步驟3；其中，x為模糊單元數據的個數；

步驟3：從y＝1到y＝N-n-x+1依次加1的過程進行N-n-x次步驟4和步驟5，以形成N-n-x個子序列；

步驟4：在N個u維數組中，取起點s＝y，終點z＝y+n+x-1的子序列；

步驟5：在所述子序列中隨機去除x個u維單元數據，同時保持所述子序列中各個單元數據的前后順序；

經過步驟2-步驟5，每個樣本機得到((N-n)*(m+1)-m(m+1)/2)個長度為n的u維序列數組。

2.根據權利要求1所述的方法，其特征在于，獲取各個樣本機的網絡數據，對所述網絡數據進行處理，分別得到各個所述樣本機的多維數組，包括：

將觸發規則匹配的主機標記為正向樣本機，將未觸發規則匹配的主機標記為負向樣本機；

對于每個正向樣本機，獲取距離所述正向樣本機的觸發規則匹配成功時間點為預設時間間隔內的網絡數據，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組；

對于每個負向樣本機，獲取距離所述負向樣本機的采樣時間點為預設時間間隔內的網絡數據，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組；

對各個維度的數據進行歸一化處理，使得各個多維數組中的數據映射到[0,1]區間。

3.根據權利要求2所述的方法，其特征在于，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組，包括：

按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到N個w維數組；其中，N＝T/t，T為預設時間間隔，t為單位時間間隔；

篩選出所有正向樣本在該維度的數值都為零的無效維度，將所述無效維度從所述N個w維數組中去除，得到N個u維數組；其中，u＜w。

4.根據權利要求3所述的方法，其特征在于，獲取距離所述負向樣本機的采樣時間點為預設時間間隔內的網絡數據，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組，包括：

基于所述正向樣本機的數據維度u，獲取距離所述負向樣本機的采樣時間點為預設時間間隔內的u維數據；

按照單位時間間隔對所述預設時間間隔內的u維數據進行統計，得到N個u維數組。

5.根據權利要求3所述的方法，其特征在于，獲取待測主機的網絡數據，對所述待測主機的網絡數據進行處理，得到所述待測主機的多維數組，包括：

基于所述正向樣本機的數據維度u，獲取距離所述待測主機的檢測時間點為預設時間間隔內的u維數據；

按照單位時間間隔對所述預設時間間隔內的u維數據進行統計和歸一化處理，得到N個u維數組。