[發明專利]一種異常監測方法及裝置

在審

• 申請號: 202010828299.5
• 申請日: 2020-08-18
• 公開（公告）號: CN111708678A
• 公開（公告）日: 2020-09-25
• 發明（設計）人: 宋洋;王雪松;嚴朝豪;薛野;孫凱;鞏國棟
• 申請（專利權）人: 北京志翔科技股份有限公司
• 主分類號: G06F11/30
• 分類號: G06F11/30;G06N20/00
• 代理公司: 工業和信息化部電子專利中心 11010
• 代理人: 羅丹

1.一種異常監測方法，其特征在于，包括：

獲取日志數據；

根據所獲取的預設時間段內的日志數據，通過預設監測模型對各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為進行監測，得到監測結果；

其中，所述日志數據包括以下中的一種或多種：文件操作日志、網絡連接日志、進程日志和人機交互狀態日志。

2.根據權利要求1所述的方法，其特征在于，所述預設監測模型的獲取方式，包括：

提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值縮放至預設置信區間內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

3.根據權利要求2所述的方法，其特征在于，所述將提煉出來的共性行為特征的數值縮放至預設置信區間內，包括：

將提煉出來的共性行為特征的數值轉換到均值為0且標準差為1的范圍內。

4.根據權利要求1-3中任意一項所述的方法，其特征在于，

所述預設時間段為根據各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為的共性行為特征的數據量以及所要求監測結果的準確度進行設置。

5.根據權利要求1-3中任意一項所述的方法，其特征在于，所述得到監測結果之后，該方法還包括：

設定異常行為的共性行為特征的數據監測閾值；

根據監測結果中異常行為的共性行為特征的數值與所述數據監測閾值的差異程度，對監測結果中的異常行為的異常程度進行量化顯示。

6.一種異常監測裝置，其特征在于，包括：

獲取單元，用于獲取日志數據；

監測單元，用于根據所獲取的預設時間段內的日志數據，通過預設監測模型對各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為進行監測，得到監測結果；其中，所述日志數據包括以下中的一種或多種：文件操作日志、網絡連接日志、進程日志和人機交互狀態日志。

7.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

生成單元，用于提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值縮放至預設置信區間內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

8.根據權利要求7所述的裝置，其特征在于，

所述生成單元還用于，提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值轉換到均值為0且標準差為1的范圍內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

9.根據權利要求6-8中任意一項所述的裝置，其特征在于，

所述監測單元還用于，設定異常行為的共性行為特征的數據監測閾值；根據監測結果中異常行為的共性行為特征的數值與所述數據監測閾值的差異程度，對監測結果中的異常行為的異常程度進行量化顯示。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有信號映射的計算機程序，所述計算機程序被至少一個處理器執行時，以實現權利要求1-5中任意一項所述的異常監測方法。