[發(fā)明專利]一種設(shè)備安全狀態(tài)綜合分析的方法及計算機可讀存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202010769526.1
• 申請日: 2020-08-04
• 公開（公告）號: CN111651760B
• 公開（公告）日: 2020-11-20
• 發(fā)明（設(shè)計）人: 鞏國棟;嚴朝豪;薛野;宋洋;孫凱
• 申請（專利權(quán)）人: 北京志翔科技股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;H04L29/06;G06K9/62
• 代理公司: 工業(yè)和信息化部電子專利中心 11010
• 代理人: 羅丹

1.一種設(shè)備安全狀態(tài)綜合分析的方法，其特征在于，包括：

獲取日志數(shù)據(jù)，其中，所述日志數(shù)據(jù)包括：文件操作日志數(shù)據(jù)、網(wǎng)絡(luò)連接日志數(shù)據(jù)、進程日志數(shù)據(jù)和人機交互狀態(tài)日志數(shù)據(jù)；

根據(jù)所述日志數(shù)據(jù)分別提煉出安全場景下的共性行為特征，及異常場景下的共性行為特征，通過XGboost算法訓(xùn)練生成檢測模型，并通過所述檢測模型對設(shè)備安全狀態(tài)進行檢測，得到檢測結(jié)果；

所述根據(jù)所述日志數(shù)據(jù)分別提煉出安全場景下的共性行為特征，及異常場景下的共性行為特征，通過XGboost算法訓(xùn)練生成所述檢測模型，包括：

對每一種所述日志數(shù)據(jù)均分別提煉出安全場景下的共性行為特征和異常場景下的共性行為特征，基于提煉出的共性行為特征建立與該種日志數(shù)據(jù)唯一對應(yīng)的獨立特征庫；

進一步對所有種類的日志數(shù)據(jù)進行關(guān)聯(lián)分析，分別提煉出安全場景下的相關(guān)聯(lián)的共性行為特征，及異常場景下的相關(guān)聯(lián)的共性行為特征，并基于該相關(guān)聯(lián)的共性行為特征建立關(guān)聯(lián)特征庫；

根據(jù)所述獨立特征庫和所述關(guān)聯(lián)特征庫內(nèi)的共性行為特征，通過XGboost算法訓(xùn)練生成所述檢測模型。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，對每一種所述日志數(shù)據(jù)均分別提煉出安全場景下的共性行為特征和異常場景下的共性行為特征，基于提煉出的共性行為特征建立與該種日志數(shù)據(jù)唯一對應(yīng)的獨立特征庫，包括：

對所述文件操作日志數(shù)據(jù)進行分析，提煉出所述文件操作日志數(shù)據(jù)的安全場景下的共性行為特征，及異常場景下的共性行為特征，建立與所述文件操作日志數(shù)據(jù)對應(yīng)的第一獨立特征庫；

對所述網(wǎng)絡(luò)連接日志數(shù)據(jù)進行分析，提煉出所述網(wǎng)絡(luò)連接日志數(shù)據(jù)的安全場景下的共性行為特征，及異常場景下的共性行為特征，建立與所述網(wǎng)絡(luò)連接日志數(shù)據(jù)對應(yīng)的第二獨立特征庫；

對所述進程日志數(shù)據(jù)進行分析，提煉出所述進程日志數(shù)據(jù)的安全場景下的共性行為特征，及異常場景下的共性行為特征，建立與所述進程日志數(shù)據(jù)對應(yīng)的進程對應(yīng)的第三獨立特征庫；

以及對所述人機交互狀態(tài)日志數(shù)據(jù)進行分析，提煉出所述人機交互狀態(tài)日志數(shù)據(jù)的安全場景下的共性行為特征，及異常場景下的共性行為特征，建立與所述人機交互狀態(tài)日志數(shù)據(jù)對應(yīng)的第四獨立特征庫。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，

通過主成分分析法PCA對所述獨立特征庫和所述關(guān)聯(lián)特征庫進行特征降維處理，以對所述獨立特征庫和所述關(guān)聯(lián)特征庫內(nèi)的特征進行優(yōu)化。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)所述日志數(shù)據(jù)提煉出安全場景下的共性行為特征，及異常場景下的共性行為特征，通過XGboost算法訓(xùn)練生成所述檢測模型，包括：

通過決策樹來對安全場景下的共性行為特征，及異常場景下的共性行為特征進行分類，并基于分類后的安全場景和異常場景下的共性行為特征，通過XGboost算法訓(xùn)練生成所述檢測模型。

5.根據(jù)權(quán)利要求1-4中任意一項所述的方法，其特征在于，在得到檢測結(jié)果之后，所述方法還包括：

設(shè)定異常行為的共性行為特征的數(shù)據(jù)檢測閾值；

當所述檢測結(jié)果中異常行為的共性行為特征的數(shù)值超過所述數(shù)據(jù)檢測閾值時，進行報警。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述得到檢測結(jié)果之后，所述方法還包括：

根據(jù)所述檢測結(jié)果中異常行為的共性行為特征的數(shù)值與所述數(shù)據(jù)檢測閾值的差異程度，對所述檢測結(jié)果中的異常行為的異常程度進行量化顯示。

7.根據(jù)權(quán)利要求1-4中任意一項所述的方法，其特征在于，所述得到檢測結(jié)果之后，所述方法還包括：

根據(jù)所述檢測結(jié)果進一步訓(xùn)練所述檢測模型，以供后續(xù)對異常行為進行檢測時使用。

8.根據(jù)權(quán)利要求1-4中任意一項所述的方法，其特征在于，得到檢測結(jié)果之后，所述方法還包括：

根據(jù)所述設(shè)備的當前安全策略配置以及所述檢測結(jié)果，生成所述設(shè)備的安全策略并下發(fā)給所述設(shè)備。

9.一種計算機可讀存儲介質(zhì)，其特征在于，所述計算機可讀存儲介質(zhì)存儲有信號映射的計算機程序，所述計算機程序被至少一個處理器執(zhí)行時，以實現(xiàn)權(quán)利要求1-8中任意一項所述的設(shè)備安全狀態(tài)綜合分析的方法。