[發(fā)明專利]一種異常檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202010925780.6
• 申請(qǐng)日: 2020-09-07
• 公開(kāi)（公告）號(hào): CN111782484B
• 公開(kāi)（公告）日: 2021-01-22
• 發(fā)明（設(shè)計(jì)）人: 薛野;王雪松;嚴(yán)朝豪;宋洋;孫凱;鞏國(guó)棟
• 申請(qǐng)（專利權(quán)）人: 北京志翔科技股份有限公司
• 主分類號(hào): G06F11/30
• 分類號(hào): G06F11/30;G06F11/32;G06K9/62
• 代理公司: 工業(yè)和信息化部電子專利中心 11010
• 代理人: 羅丹

1.一種異常檢測(cè)方法，其特征在于，包括：

對(duì)獲取的日志數(shù)據(jù)進(jìn)行分析，從所述日志數(shù)據(jù)中提取特征，并對(duì)所述特征進(jìn)行處理；

基于處理以后的特征，通過(guò)支持向量機(jī)SVM算法訓(xùn)練生成異常檢測(cè)模型，并通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)，得到檢測(cè)結(jié)果；

根據(jù)所述檢測(cè)結(jié)果進(jìn)一步訓(xùn)練所述異常檢測(cè)模型，供后續(xù)對(duì)異常行為進(jìn)行檢測(cè)時(shí)使用；

其中，所述日志數(shù)據(jù)包括：文件操作日志數(shù)據(jù)、網(wǎng)絡(luò)連接日志數(shù)據(jù)、進(jìn)程日志數(shù)據(jù)和人機(jī)交互狀態(tài)日志數(shù)據(jù)；

所述通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)，包括：

獲取預(yù)設(shè)時(shí)間段內(nèi)的日志數(shù)據(jù)；

基于獲取的所述預(yù)設(shè)時(shí)間段內(nèi)的日志數(shù)據(jù)，通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)；

其中，所述預(yù)設(shè)時(shí)間段為根據(jù)異常行為的共性行為特征的數(shù)據(jù)量以及所要求檢測(cè)結(jié)果的準(zhǔn)確度進(jìn)行設(shè)置；

從所述日志數(shù)據(jù)中提取特征，并對(duì)所述特征進(jìn)行處理，包括：

從所述日志數(shù)據(jù)中提煉出安全場(chǎng)景及異常場(chǎng)景下的共性行為特征，對(duì)提煉出的所述共性行為特征中缺省的共性行為特征的數(shù)值進(jìn)行賦值，并將提煉出來(lái)除所述缺省的共性行為特征以外的共性行為特征的數(shù)值縮放至預(yù)設(shè)置信區(qū)間內(nèi)；

基于處理以后的特征，通過(guò)支持向量機(jī)SVM算法訓(xùn)練生成異常檢測(cè)模型，包括：基于縮放以及賦值后的共性行為特征，通過(guò)SVM算法訓(xùn)練生成所述異常檢測(cè)模型。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將提煉出來(lái)的共性行為特征的數(shù)值縮放至預(yù)設(shè)置信區(qū)間內(nèi)，包括：

將提煉出來(lái)的共性行為特征的數(shù)值轉(zhuǎn)換到均值為0且標(biāo)準(zhǔn)差為1的范圍內(nèi)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，對(duì)缺省的共性行為特征的數(shù)值進(jìn)行賦值，包括：

根據(jù)缺省的共性行為特征所對(duì)應(yīng)的內(nèi)容，對(duì)缺省的共性行為特征的數(shù)值進(jìn)行相適應(yīng)的賦值。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)所述檢測(cè)結(jié)果進(jìn)一步訓(xùn)練所述異常檢測(cè)模型，包括：

將每次異常檢測(cè)模型得到結(jié)果作為訓(xùn)練集，以獲取所述異常檢測(cè)模型中更優(yōu)的懲罰系數(shù)和核函數(shù)。

5.根據(jù)權(quán)利要求1-4中任意一項(xiàng)所述的方法，其特征在于，所述得到檢測(cè)結(jié)果之后，該方法還包括：

設(shè)定異常行為的共性行為特征的數(shù)據(jù)檢測(cè)閾值；

根據(jù)所述檢測(cè)結(jié)果中異常行為的共性行為特征的數(shù)值與所述數(shù)據(jù)檢測(cè)閾值的差異程度，對(duì)所述檢測(cè)結(jié)果中的異常行為的異常程度進(jìn)行量化顯示。

6.根據(jù)權(quán)利要求1-4中任意一項(xiàng)所述的方法，其特征在于，所述對(duì)獲取的日志數(shù)據(jù)進(jìn)行分析之前，該方法還包括：

對(duì)獲取的日志數(shù)據(jù)進(jìn)行數(shù)據(jù)清洗，以重復(fù)的日志數(shù)據(jù)。

7.一種異常檢測(cè)裝置，其特征在于，包括：

處理單元，用于對(duì)獲取的日志數(shù)據(jù)進(jìn)行分析，從所述日志數(shù)據(jù)中提取得到特征，并對(duì)所述特征進(jìn)行處理，其中，所述日志數(shù)據(jù)包括：文件操作日志、網(wǎng)絡(luò)連接日志、進(jìn)程日志和人機(jī)交互狀態(tài)日志，其中，從所述日志數(shù)據(jù)中提取特征，并對(duì)所述特征進(jìn)行處理是從所述日志數(shù)據(jù)中提煉出安全場(chǎng)景及異常場(chǎng)景下的共性行為特征，對(duì)提煉出的所述共性行為特征中缺省的共性行為特征的數(shù)值進(jìn)行賦值，并將提煉出來(lái)除所述缺省的共性行為特征以外的共性行為特征的數(shù)值縮放至預(yù)設(shè)置信區(qū)間內(nèi)；基于處理以后的特征，通過(guò)支持向量機(jī)SVM算法訓(xùn)練生成異常檢測(cè)模型，包括：基于縮放以及賦值后的共性行為特征，通過(guò)SVM算法訓(xùn)練生成所述異常檢測(cè)模型；

檢測(cè)單元，用于基于所述處理單元處理以后的特征，通過(guò)支持向量機(jī)SVM算法訓(xùn)練生成異常檢測(cè)模型，并通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)，得到檢測(cè)結(jié)果，并根據(jù)所述檢測(cè)結(jié)果進(jìn)一步訓(xùn)練所述異常檢測(cè)模型，其中，所述通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)是獲取預(yù)設(shè)時(shí)間段內(nèi)的日志數(shù)據(jù)；基于獲取的所述預(yù)設(shè)時(shí)間段內(nèi)的日志數(shù)據(jù)，通過(guò)所述異常檢測(cè)模型對(duì)異常行為進(jìn)行檢測(cè)；所述預(yù)設(shè)時(shí)間段為根據(jù)異常行為的共性行為特征的數(shù)據(jù)量以及所要求檢測(cè)結(jié)果的準(zhǔn)確度進(jìn)行設(shè)置。

8.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有信號(hào)映射的計(jì)算機(jī)程序，所述計(jì)算機(jī)程序被至少一個(gè)處理器執(zhí)行時(shí)，以實(shí)現(xiàn)權(quán)利要求1-6中任意一項(xiàng)所述的異常檢測(cè)方法。