[發(fā)明專利]一種異常行為預測方法和裝置

有效

• 申請?zhí)枺?/td>: 202110285550.2
• 申請日: 2021-03-17
• 公開（公告）號: CN112995195B
• 公開（公告）日: 2023-01-31
• 發(fā)明（設計）人: 張偉坤;徐翰隆;肖新光
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: H04L41/147
• 分類號: H04L41/147
• 代理公司: 北京格允知識產權代理有限公司 11609
• 代理人: 張沫

本發(fā)明涉及一種異常行為預測方法和裝置，該方法包括：獲取用戶的樣本數(shù)據(jù)；其中，所述樣本數(shù)據(jù)包括預設時長的歷史行為數(shù)據(jù)；對所述樣本數(shù)據(jù)進行分解，得到時間參數(shù)；其中，所述時間參數(shù)用于表征所述樣本數(shù)據(jù)按照時間序列的變化規(guī)律；根據(jù)所述時間參數(shù)，確定目標回歸模型；利用所述目標回歸模型對所述用戶的當前行為數(shù)據(jù)進行預測，以獲得對應所述當前行為數(shù)據(jù)的預測結果；判斷所述預測結果是否位于所述樣本數(shù)據(jù)的置信區(qū)間內；如果否，則確定所述當前行為數(shù)據(jù)為異常行為。本方案能夠確定異常行為以實現(xiàn)對未知威脅的檢測。

技術領域

本發(fā)明涉及網絡安全技術領域，尤其涉及一種異常行為預測方法和裝置。

背景技術

隨著網絡安全威脅形態(tài)的演化，傳統(tǒng)端點安全產品在防御傳統(tǒng)已知威脅時，主要通過對惡意軟件或攻擊的摘要信息標記或特征信息進行識別，然而目前這種基于特征信息的方法，必須事先明確遭受網絡安全入侵的定義才可以識別入侵，即檢測惡意軟件的傳統(tǒng)方法依賴于發(fā)現(xiàn)入侵指標。因此，對于未被識別的全新的惡意軟件或未知威脅，則會因檢測不到異常行為而導致遭受網絡威脅，不能及時進行防御和溯源。

鑒于此，針對以上不足，需要提供一種異常行為預測方法和裝置來解決上述不足。

發(fā)明內容

本發(fā)明要解決的技術問題在于如何確定異常行為以實現(xiàn)對未知威脅的檢測，針對現(xiàn)有技術中的缺陷，提供了一種異常行為預測方法和裝置。

為了解決上述技術問題，第一方面，本發(fā)明提供了一種異常行為預測方法，該方法包括：

獲取用戶的樣本數(shù)據(jù)；其中，所述樣本數(shù)據(jù)包括預設時長的歷史行為數(shù)據(jù)；

對所述樣本數(shù)據(jù)進行分解，得到時間參數(shù)；其中，所述時間參數(shù)用于表征所述樣本數(shù)據(jù)按照時間序列的變化規(guī)律；

根據(jù)所述時間參數(shù)，確定目標回歸模型；

利用所述目標回歸模型對所述用戶的當前行為數(shù)據(jù)進行預測，以獲得對應所述當前行為數(shù)據(jù)的預測結果；

判斷所述當前行為數(shù)據(jù)是否符合所述預測結果；

如果否，則確定所述當前行為數(shù)據(jù)為異常行為。

可選地，所述對所述樣本數(shù)據(jù)進行分解，得到時間參數(shù)，包括：

對所述樣本數(shù)據(jù)按照季節(jié)因素進行分解，并根據(jù)分解后的樣本數(shù)據(jù)確定第一時間參數(shù)；

對所述樣本數(shù)據(jù)按照周期因素進行分解，并根據(jù)分解后的樣本數(shù)據(jù)確定第二時間參數(shù)。

可選地，所述根據(jù)所述時間參數(shù)，確定目標回歸模型，包括：

創(chuàng)建自回歸移動平均模型；

將所述第一時間參數(shù)確定為所述自回歸移動平均模型的移動平均階數(shù)；

將所述第二時間參數(shù)確定為所述自回歸移動平均模型的自回歸參數(shù)；

根據(jù)所述移動平均階數(shù)和所述自回歸參數(shù)，確定所述目標回歸模型。

可選地，在所述獲取用戶的樣本數(shù)據(jù)之后，在所述對所述樣本數(shù)據(jù)進行分解，得到時間參數(shù)之前，進一步包括：

對所述樣本數(shù)據(jù)進行均值運算，得到對應所述樣本數(shù)據(jù)的均值；

對所述樣本數(shù)據(jù)進行標準差運算，得到對應所述樣本數(shù)據(jù)的標準差；

對所述樣本數(shù)據(jù)進行標準誤差運算，得到對應所述樣本數(shù)據(jù)的標準誤差；

根據(jù)預設的置信度、所述均值、所述標準差和所述標準誤差進行運算，獲得對應所述樣本數(shù)據(jù)的置信區(qū)間；其中，通過對所述置信區(qū)間進行分解得到所述時間參數(shù)。

可選地，所述利用所述目標回歸模型對所述用戶的當前行為數(shù)據(jù)進行預測，包括：