[發明專利]網絡安全威脅監測方法、裝置和可讀存儲介質

在審

• 申請號: 202011465211.4
• 申請日: 2020-12-14
• 公開（公告）號: CN112395608A
• 公開（公告）日: 2021-02-23
• 發明（設計）人: 韓宜宗;林長家
• 申請（專利權）人: 深圳中興網信科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/62;G06F16/9035;G06F16/901;G06F16/906;G06F11/30
• 代理公司: 北京友聯知識產權代理事務所(普通合伙) 11343
• 代理人: 汪海屏

1.一種網絡安全威脅監測方法，其特征在于，包括：

獲取第一網絡流量數據；

針對所述網絡流量數據進行隨機抽樣，構建隨機樣本集；

通過所述隨機樣本集，獲取網絡用戶行為；

根據所述網絡用戶行為，進行數據分析，獲取網絡用戶異常行為數據；

基于所述網絡用戶異常行為數據，構建網絡用戶異常行為規則庫；

應用所述網絡用戶異常行為規則庫，對第二網絡流量數據進行監測，得到網絡用戶異常行為，將所述網絡用戶異常行為標識為網絡安全威脅。

2.根據權利要求1所述的網絡安全威脅監測方法，其特征在于，執行所述應用所述網絡用戶異常行為規則庫，對第二網絡流量數據進行監測，得到網絡用戶異常行為之后，還包括：

將所述網絡用戶異常行為的數據添加至所述網絡用戶異常行為規則庫。

3.根據權利要求1所述的網絡安全威脅監測方法，其特征在于，執行所述應用所述網絡用戶異常行為規則庫，對第二網絡流量數據進行監測之后，還包括：

獲取網絡用戶正常行為，進行行為模式挖掘，預測用戶行為。

4.根據權利要求1所述的網絡安全威脅監測方法，其特征在于，所述根據所述網絡用戶行為，進行數據分析，獲取網絡用戶異常行為數據，具體包括：

將所述隨機樣本集進行分割，分割為至少兩組劃分，對每組劃分局部地聚類，生成簇；

通過第一步收集，獲取異常點信息；

基于任意簇小于第一閾值，將簇從樣本集中去掉；

對簇再次進行聚類，直到樣本數據聚類完畢；

通過第二步收集，獲取異常點信息；

探測孤立點，將孤立點收集并匯入異常簇，所述網絡用戶異常行為數據包括異常點信息。

5.根據權利要求4所述的網絡安全威脅監測方法，其特征在于，所述針對網絡流量數據進行抽樣時，通過以下公式獲取采樣大小：

其中，s是采樣大小，f是最低采樣率，|u|是簇u的大小，N是整個網絡流量數據的大小，δ是從|u|個樣本點中采樣得到f|u|個樣本點的概率，0≤δ≤1。

6.根據權利要求4所述的網絡安全威脅監測方法，其特征在于，所述針對所述網絡流量數據進行抽樣時，基于兩個簇之間的距離小于第二閾值，將每個簇設定為子簇的集合，分別在子簇上進行采樣。

7.根據權利要求4所述的網絡安全威脅監測方法，其特征在于，所述將所述隨機樣本集進行分割，具體包括：

將所述隨機樣本集分割為至少兩個部分，每個部分中的樣本點數為樣本集中的樣本點數與分割數量的比值；

針對每個部分中的樣本進行聚類，開始簇合并，基于兩個用于合并的簇之間的距離大于第三閾值，停止合并；

得到每個部分的簇，將每個部分的簇相加，得到完成聚類后產生的簇；

再次進行簇合并。

8.根據權利要求4所述的網絡安全威脅監測方法，其特征在于，所述根據所述網絡用戶行為，進行數據分析，獲取網絡用戶異常行為數據，還包括：

基于當前簇的總數為所述隨機樣本集大小的第四閾值時，進行第一次離群點識別；

基于當前簇的總數為所述隨機樣本集大小的第五閾值時，進行第二次離群點識別；

其中，所述第四閾值大于所述第五閾值。

9.一種網絡安全威脅監測裝置(100)，其特征在于，包括：

存儲器(110)，存儲有程序或指令；

處理器(120)，執行所述程序或指令；

其中，所述處理器(120)在執行所述程序或指令時，實現如權利要求1至8中任一項所述的網絡安全威脅監測方法的步驟。

10.一種可讀存儲介質，其特征在于，所述可讀存儲介質上存儲有程序或指令，所述程序或指令被處理器執行時，實現如權利要求1至8中任一項所述的網絡安全威脅監測方法的步驟。