[發(fā)明專利]網(wǎng)絡(luò)安全威脅監(jiān)測方法、裝置和可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202011465211.4
• 申請日: 2020-12-14
• 公開（公告）號: CN112395608A
• 公開（公告）日: 2021-02-23
• 發(fā)明（設(shè)計(jì)）人: 韓宜宗;林長家
• 申請（專利權(quán)）人: 深圳中興網(wǎng)信科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/62;G06F16/9035;G06F16/901;G06F16/906;G06F11/30
• 代理公司: 北京友聯(lián)知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11343
• 代理人: 汪海屏

1.一種網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，包括：

獲取第一網(wǎng)絡(luò)流量數(shù)據(jù)；

針對所述網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行隨機(jī)抽樣，構(gòu)建隨機(jī)樣本集；

通過所述隨機(jī)樣本集，獲取網(wǎng)絡(luò)用戶行為；

根據(jù)所述網(wǎng)絡(luò)用戶行為，進(jìn)行數(shù)據(jù)分析，獲取網(wǎng)絡(luò)用戶異常行為數(shù)據(jù)；

基于所述網(wǎng)絡(luò)用戶異常行為數(shù)據(jù)，構(gòu)建網(wǎng)絡(luò)用戶異常行為規(guī)則庫；

應(yīng)用所述網(wǎng)絡(luò)用戶異常行為規(guī)則庫，對第二網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行監(jiān)測，得到網(wǎng)絡(luò)用戶異常行為，將所述網(wǎng)絡(luò)用戶異常行為標(biāo)識為網(wǎng)絡(luò)安全威脅。

2.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，執(zhí)行所述應(yīng)用所述網(wǎng)絡(luò)用戶異常行為規(guī)則庫，對第二網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行監(jiān)測，得到網(wǎng)絡(luò)用戶異常行為之后，還包括：

將所述網(wǎng)絡(luò)用戶異常行為的數(shù)據(jù)添加至所述網(wǎng)絡(luò)用戶異常行為規(guī)則庫。

3.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，執(zhí)行所述應(yīng)用所述網(wǎng)絡(luò)用戶異常行為規(guī)則庫，對第二網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行監(jiān)測之后，還包括：

獲取網(wǎng)絡(luò)用戶正常行為，進(jìn)行行為模式挖掘，預(yù)測用戶行為。

4.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，所述根據(jù)所述網(wǎng)絡(luò)用戶行為，進(jìn)行數(shù)據(jù)分析，獲取網(wǎng)絡(luò)用戶異常行為數(shù)據(jù)，具體包括：

將所述隨機(jī)樣本集進(jìn)行分割，分割為至少兩組劃分，對每組劃分局部地聚類，生成簇；

通過第一步收集，獲取異常點(diǎn)信息；

基于任意簇小于第一閾值，將簇從樣本集中去掉；

對簇再次進(jìn)行聚類，直到樣本數(shù)據(jù)聚類完畢；

通過第二步收集，獲取異常點(diǎn)信息；

探測孤立點(diǎn)，將孤立點(diǎn)收集并匯入異常簇，所述網(wǎng)絡(luò)用戶異常行為數(shù)據(jù)包括異常點(diǎn)信息。

5.根據(jù)權(quán)利要求4所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，所述針對網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行抽樣時(shí)，通過以下公式獲取采樣大小：

其中，s是采樣大小，f是最低采樣率，|u|是簇u的大小，N是整個(gè)網(wǎng)絡(luò)流量數(shù)據(jù)的大小，δ是從|u|個(gè)樣本點(diǎn)中采樣得到f|u|個(gè)樣本點(diǎn)的概率，0≤δ≤1。

6.根據(jù)權(quán)利要求4所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，所述針對所述網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行抽樣時(shí)，基于兩個(gè)簇之間的距離小于第二閾值，將每個(gè)簇設(shè)定為子簇的集合，分別在子簇上進(jìn)行采樣。

7.根據(jù)權(quán)利要求4所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，所述將所述隨機(jī)樣本集進(jìn)行分割，具體包括：

將所述隨機(jī)樣本集分割為至少兩個(gè)部分，每個(gè)部分中的樣本點(diǎn)數(shù)為樣本集中的樣本點(diǎn)數(shù)與分割數(shù)量的比值；

針對每個(gè)部分中的樣本進(jìn)行聚類，開始簇合并，基于兩個(gè)用于合并的簇之間的距離大于第三閾值，停止合并；

得到每個(gè)部分的簇，將每個(gè)部分的簇相加，得到完成聚類后產(chǎn)生的簇；

再次進(jìn)行簇合并。

8.根據(jù)權(quán)利要求4所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法，其特征在于，所述根據(jù)所述網(wǎng)絡(luò)用戶行為，進(jìn)行數(shù)據(jù)分析，獲取網(wǎng)絡(luò)用戶異常行為數(shù)據(jù)，還包括：

基于當(dāng)前簇的總數(shù)為所述隨機(jī)樣本集大小的第四閾值時(shí)，進(jìn)行第一次離群點(diǎn)識別；

基于當(dāng)前簇的總數(shù)為所述隨機(jī)樣本集大小的第五閾值時(shí)，進(jìn)行第二次離群點(diǎn)識別；

其中，所述第四閾值大于所述第五閾值。

9.一種網(wǎng)絡(luò)安全威脅監(jiān)測裝置(100)，其特征在于，包括：

存儲器(110)，存儲有程序或指令；

處理器(120)，執(zhí)行所述程序或指令；

其中，所述處理器(120)在執(zhí)行所述程序或指令時(shí)，實(shí)現(xiàn)如權(quán)利要求1至8中任一項(xiàng)所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法的步驟。

10.一種可讀存儲介質(zhì)，其特征在于，所述可讀存儲介質(zhì)上存儲有程序或指令，所述程序或指令被處理器執(zhí)行時(shí)，實(shí)現(xiàn)如權(quán)利要求1至8中任一項(xiàng)所述的網(wǎng)絡(luò)安全威脅監(jiān)測方法的步驟。