[發(fā)明專利]一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202111674940.5
• 申請日: 2021-12-31
• 公開（公告）號: CN114328674A
• 公開（公告）日: 2022-04-12
• 發(fā)明（設(shè)計）人: 劉洋洋;路冰;王光波;鄒斯達
• 申請（專利權(quán)）人: 中孚信息股份有限公司
• 主分類號: G06F16/2458
• 分類號: G06F16/2458
• 代理公司: 濟南圣達知識產(chǎn)權(quán)代理有限公司 37221
• 代理人: 閆偉姣

1.一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，包括以下步驟：

獲取內(nèi)網(wǎng)日志信息并進行解析，提取其中的主體、客體以及主體對客體的行為；

基于所述主體、客體以及主體對客體的行為，構(gòu)建行為圖；其中，所述行為圖的節(jié)點表示主體或客體，連邊表示主體對客體的行為，連邊的方向為主體指向客體；

基于所述行為圖，對主體行為、不同主體之間關(guān)系、不同客體之間關(guān)系、行為與行為之間關(guān)系，或內(nèi)網(wǎng)日志之間關(guān)系進行挖掘。

2.如權(quán)利要求1所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，所述主體或客體包括人員、設(shè)備、應(yīng)用、文件和漏洞；主體對客體的行為包括訪問關(guān)系、操作關(guān)系、使用關(guān)系和服務(wù)關(guān)系；所述行為圖包括多個以人員為核心的局部子圖。

3.如權(quán)利要求1所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，對內(nèi)網(wǎng)日志進行解析包括：預(yù)先構(gòu)建行為語料庫，基于所述行為語料庫識別內(nèi)網(wǎng)日志中的行為，以所述行為作為依據(jù)，向前或向后搜索主體或客體的標識信息。

4.如權(quán)利要求1所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，構(gòu)建行為圖包括：

根據(jù)主體或客體的類別建立對應(yīng)類別的節(jié)點實例，并設(shè)置相應(yīng)屬性信息，初始狀態(tài)為空；

根據(jù)主體對客體的行為類別，創(chuàng)建對應(yīng)類別的連邊實例，連邊的方向為從主體節(jié)點指向客體節(jié)點，并設(shè)置相應(yīng)屬性信息，初始狀態(tài)為空；

基于從內(nèi)網(wǎng)日志解析得到的主體、客體以及主體對客體的行為，對節(jié)點和連邊進行賦值；

結(jié)合預(yù)設(shè)主體或客體信息管理文件，對節(jié)點和連邊屬性信息進行關(guān)聯(lián)。

5.如權(quán)利要求2所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，基于所述行為圖，對主體行為進行挖掘包括：

對于某個人員，獲取多天的歷史局部子圖；

基于頻繁子圖挖掘方法，從這些局部子圖中挖掘出現(xiàn)次數(shù)達到預(yù)設(shè)次數(shù)的至少一個子圖；

對所述至少一個子圖進行篩選，得到對應(yīng)的歷史頻繁子圖；

對該人員某天的局部子圖，根據(jù)所述歷史頻繁子圖，判斷是否存在異常行為。

6.如權(quán)利要求2所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，其特征在于，基于所述行為圖，對內(nèi)網(wǎng)日志之間關(guān)系進行挖掘包括：

基于所述行為圖，生成實體時序行為鏈；

對日志之間的因果關(guān)系進行分析，實現(xiàn)特定行為的溯源。

7.一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘系統(tǒng)，其特征在于，包括：

日志解析模塊，用于獲取內(nèi)網(wǎng)日志信息并進行解析，提取其中的主體、客體以及主體對客體的行為；

行為圖構(gòu)建模塊，用于基于所述主體、客體以及主體對客體的行為，構(gòu)建行為圖；其中，所述行為圖的節(jié)點表示主體或客體，連邊表示主體對客體的行為，連邊的方向為主體指向客體；

數(shù)據(jù)挖掘模塊，用于基于所述行為圖，對主體行為、不同主體之間關(guān)系、不同客體之間關(guān)系、行為與行為之間關(guān)系，或內(nèi)網(wǎng)日志之間關(guān)系進行挖掘。

8.如權(quán)利要求7所述的一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘系統(tǒng)，其特征在于，所述主體或客體包括人員、設(shè)備、應(yīng)用、文件和漏洞；主體對客體的行為包括訪問關(guān)系、操作關(guān)系、使用關(guān)系和服務(wù)關(guān)系；所述行為圖包括多個以人員為核心的局部子圖。

9.一種電子設(shè)備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執(zhí)行所述程序時實現(xiàn)如權(quán)利要求1-6任一項所述基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法。

10.一種計算機可讀存儲介質(zhì)，其上存儲有計算機程序，其特征在于，該程序被處理器執(zhí)行時實現(xiàn)如權(quán)利要求1-6任一項所述基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法。