[發明專利]一種異常監測方法及裝置

在審

• 申請號: 202010828299.5
• 申請日: 2020-08-18
• 公開（公告）號: CN111708678A
• 公開（公告）日: 2020-09-25
• 發明（設計）人: 宋洋;王雪松;嚴朝豪;薛野;孫凱;鞏國棟
• 申請（專利權）人: 北京志翔科技股份有限公司
• 主分類號: G06F11/30
• 分類號: G06F11/30;G06N20/00
• 代理公司: 工業和信息化部電子專利中心 11010
• 代理人: 羅丹

本發明公開了一種異常監測方法及裝置，本發明是通過綜合獲取全面的日志數據，并基于獲取的全面的日志數據來對在預設時間段內各個群體內、群體內部不同組內以及各個個體的異常行為進行監測，也就是說，本發明是獲取全面的日志數據，并基于不同異常監測的時間段的不同來設置異常監測的時間段，通過全面的日志數據以及異常監測的時間段實現對異常的準確監測，從而有效解決了現有通過固定規則或者白名單進行異常監測的準確度低的問題。

技術領域

本發明涉及計算機技術領域，特別是涉及一種異常監測方法及裝置。

背景技術

隨著互聯網技術的不斷發展，對于大規模分布式終端集群的信息安全以及網絡異常監測顯得尤為重要。傳統的異常監測主要是通過對已有的歷史行為數據總結出規則，建立規則庫或者正常行為白名單，當行為比如訪問443端口次數超過規則的設定的閾值，則觸發報警，又或者用戶使用的軟件不在白名單庫里，則判定用戶行為異常。

也就是說，現有的安全監控或異常監測以固定的規則或者白名單為準，不能適應規則以外的其他場景，對外界響應不敏感。

發明內容

本發明提供了一種異常監測方法及裝置，以解決現有通過固定規則或者白名單進行異常監測的監控范圍有限的問題。

第一方面，本發明提供了一種異常監測方法，該方法包括：獲取日志數據；根據所獲取的預設時間段內的日志數據，通過預設監測模型對各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為進行監測，得到監測結果；其中，所述日志數據包括以下中的一種或多種：文件操作日志、網絡連接日志、進程日志和人機交互狀態日志。

可選地，所述預設監測模型的獲取方式，包括：提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值縮放至預設置信區間內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

可選地，所述將提煉出來的共性行為特征的數值縮放至預設置信區間內，包括：將提煉出來的共性行為特征的數值轉換到均值為0且標準差為1的范圍內。

可選地，所述預設時間段為根據各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為的共性行為特征的數據量以及所要求監測結果的準確度進行設置。

可選地，所述得到監測結果之后，該方法還包括：設定異常行為的共性行為特征的數據監測閾值；根據監測結果中異常行為的共性行為特征的數值與所述數據監測閾值的差異程度，對監測結果中的異常行為的異常程度進行量化顯示。

第二方面，本發明提供了一種異常監測裝置，包括：獲取單元，用于獲取日志數據；監測單元，用于根據所獲取的預設時間段內的日志數據，通過預設監測模型對各個群體的異常行為、群體內部不同組的異常行為以及各個個體的異常行為進行監測，得到監測結果；其中，所述日志數據包括以下中的一種或多種：文件操作日志、網絡連接日志、進程日志和人機交互狀態日志。

可選地，所述裝置還包括：生成單元，用于提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值縮放至預設置信區間內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

可選地，所述生成單元還用于，提煉出安全場景及異常場景下的共性行為特征，將提煉出來的共性行為特征的數值轉換到均值為0且標準差為1的范圍內，并對缺省的共性行為特征的數值進行賦值，基于縮放以及賦值后的共性行為特征，通過XGboost算法訓練生成所述預設監測模型。

可選地，所述監測單元還用于，設定異常行為的共性行為特征的數據監測閾值；根據監測結果中異常行為的共性行為特征的數值與所述數據監測閾值的差異程度，對監測結果中的異常行為的異常程度進行量化顯示。