[發(fā)明專利]一種基于網(wǎng)絡流量報文的異常檢測和攻擊發(fā)起者分析系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011155629.5
• 申請日: 2020-10-26
• 公開（公告）號: CN112422513B
• 公開（公告）日: 2021-10-26
• 發(fā)明（設計）人: 陳卓;吳磊;周亞金;任奎;趙俊;單夏燁;任新新;段吉瑞
• 申請（專利權）人: 浙江大學;光通天下網(wǎng)絡科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;G06N20/00
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 賈玉霞

1.一種基于網(wǎng)絡流量報文的異常檢測和攻擊發(fā)起者分析系統(tǒng)，其特征在于，該系統(tǒng)包括數(shù)據(jù)屬性提取模塊、攻擊者群類特征生成模塊以及攻擊檢測模塊；

所述的數(shù)據(jù)屬性提取模塊用于從防火墻網(wǎng)關截獲網(wǎng)絡流量的原始報文數(shù)據(jù)，并且根據(jù)截獲的原始報文數(shù)據(jù)提取網(wǎng)絡流速，解析報文信息生成基礎屬性特征，并且將這些屬性特征存儲在數(shù)據(jù)庫；

所述的攻擊者群類特征生成模塊先對原始數(shù)據(jù)標準化處理，標準化處理時，首先丟棄無效數(shù)據(jù)，然后判斷數(shù)據(jù)類型，統(tǒng)一非數(shù)字類型數(shù)據(jù)的格式標準，正規(guī)化部分數(shù)據(jù)，數(shù)字化部分枚舉類型；然后通過結(jié)合多個原始數(shù)據(jù)屬性計算數(shù)據(jù)的復雜屬性，采用分類器交叉驗證，根據(jù)最優(yōu)結(jié)果分配各個屬性的權重，最后采用聚類算法的交叉驗證，引入無監(jiān)督機器學習聚類指標，采取聚類指標得分最高的聚類模型得出攻擊者群類特征聚類；

所述的攻擊檢測模塊用于對所有觸發(fā)自定義規(guī)則的網(wǎng)絡流量報文進行攻擊群類特征的匹配分析和攻擊者群類特征的增量修正；

其中，所述的攻擊檢測模塊進行攻擊群類特征的匹配分析時，首先根據(jù)新攻擊標準化、復雜屬性計算得到的屬性特征，計算其與現(xiàn)有的不同攻擊群類特征簇質(zhì)心的映射距離，映射距離不超過最大閾值時，歸于映射距離最小的攻擊群類特征中；

所述的攻擊檢測模塊進行攻擊者群類特征的增量修正時，對于所述的映射距離大于最大閾值的攻擊特征，生成新的攻擊群類簇，并將其添加至現(xiàn)有攻擊群類特征中，如此循環(huán)更新特征群類簇的質(zhì)心。

2.根據(jù)權利要求1所述的基于網(wǎng)絡流量報文的異常檢測和攻擊發(fā)起者分析系統(tǒng)，其特征在于，所述的數(shù)據(jù)屬性提取模塊包括如下三個子模塊：

（1）部署在防火墻網(wǎng)關的報文截獲子模塊，該子模塊由自定義的規(guī)則構(gòu)建，對于未觸發(fā)自定義規(guī)則的常規(guī)流量進行流速的監(jiān)控，對于觸發(fā)自定義規(guī)則的異常網(wǎng)絡流量，進行網(wǎng)絡流量報文的截獲，并將信息轉(zhuǎn)發(fā)給數(shù)據(jù)屬性解析計算子模塊，同時對外開放自定義規(guī)則修改接口；

（2）部署在服務器上的數(shù)據(jù)屬性解析計算子模塊，該子模塊用于判斷報文是否合法，丟棄非法的報文并記錄非法報文所占比例，并解析合法報文的各項屬性，丟棄加密信息；

（3）數(shù)據(jù)庫存儲子模塊，使用MongoDB作為數(shù)據(jù)庫的框架，采用JSON的輸入格式來記錄解析后的特征屬性。

3.根據(jù)權利要求1所述的基于網(wǎng)絡流量報文的異常檢測和攻擊發(fā)起者分析系統(tǒng)，其特征在于，所述的攻擊者群類特征生成模塊進行屬性特征權重分配時，采用已經(jīng)標記的攻擊類型，且經(jīng)過原始數(shù)據(jù)標準化、復雜屬性特征計算的特征屬性作為訓練數(shù)據(jù)集，采用多種分類器交叉驗證，根據(jù)最優(yōu)結(jié)果分配各個屬性的權重，拋棄權重比例低的屬性。

4.根據(jù)權利要求1所述的基于網(wǎng)絡流量報文的異常檢測和攻擊發(fā)起者分析系統(tǒng)，其特征在于，所述的攻擊者群類特征生成模塊執(zhí)行無監(jiān)督機器學習聚類時，首先選取權重比例高的屬性數(shù)據(jù)，采用多種聚類算法進行交叉驗證，同時引入多種無監(jiān)督機器學習聚類指標，采取指標得分最高的聚類模型，得出攻擊者群類特征聚類。