[發(fā)明專利]一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202111674940.5
• 申請日: 2021-12-31
• 公開（公告）號: CN114328674A
• 公開（公告）日: 2022-04-12
• 發(fā)明（設(shè)計）人: 劉洋洋;路冰;王光波;鄒斯達
• 申請（專利權(quán)）人: 中孚信息股份有限公司
• 主分類號: G06F16/2458
• 分類號: G06F16/2458
• 代理公司: 濟南圣達知識產(chǎn)權(quán)代理有限公司 37221
• 代理人: 閆偉姣

本發(fā)明涉及一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法及系統(tǒng)，涉及數(shù)據(jù)挖掘技術(shù)領(lǐng)域。所述方法包括以下步驟：獲取內(nèi)網(wǎng)日志信息并進行解析，提取其中的主體、客體以及主體對客體的行為；基于所述主體、客體以及主體對客體的行為，構(gòu)建行為圖；其中，所述行為圖的節(jié)點表示主體或客體，連邊表示主體對客體的行為，連邊的方向為主體指向客體；基于所述行為圖，對主體行為、不同主體之間關(guān)系、不同客體之間關(guān)系、行為與行為之間關(guān)系，或內(nèi)網(wǎng)日志之間關(guān)系進行挖掘。本發(fā)明通過圖對內(nèi)網(wǎng)行為統(tǒng)一進行有效的刻畫，能夠有效地對不同日志和實體行為之間的關(guān)聯(lián)進行挖掘。

技術(shù)領(lǐng)域

本發(fā)明屬于數(shù)據(jù)挖掘技術(shù)領(lǐng)域，尤其涉及一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法及系統(tǒng)。

背景技術(shù)

公司日常會產(chǎn)生大量的內(nèi)網(wǎng)日志，而內(nèi)網(wǎng)日志中存在大量的行為日志，其中包括流量日志、上班打卡日志等。這些日志大多反映了實體與實體之間的行為，比如流量日志反映了個人計算機對服務(wù)器的訪問行為，打卡日志反映了員工對打卡機的刷卡行為。

目前基于日志的挖掘均是針對一類日志進行建模和數(shù)據(jù)挖掘，例如基于用戶的上網(wǎng)日志進行建模，以分析用戶的偏好；基于服務(wù)器的日志，對日志中攻擊數(shù)據(jù)進行挖掘，以便于幫助管理員發(fā)現(xiàn)漏洞等。沒有針對多種類型日志的綜合建模，不能有效地挖掘不同日志和實體行為之間的關(guān)聯(lián)。

發(fā)明內(nèi)容

為克服上述現(xiàn)有技術(shù)的不足，本發(fā)明提供了一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法及系統(tǒng)，通過圖對內(nèi)網(wǎng)行為統(tǒng)一進行有效的刻畫，能夠有效地對不同日志和實體行為之間的關(guān)聯(lián)進行挖掘。

為實現(xiàn)上述目的，本發(fā)明的一個或多個實施例提供了如下技術(shù)方案：

一種基于內(nèi)網(wǎng)日志行為圖的數(shù)據(jù)挖掘方法，包括以下步驟：

獲取內(nèi)網(wǎng)日志信息并進行解析，提取其中的主體、客體以及主體對客體的行為；

基于所述主體、客體以及主體對客體的行為，構(gòu)建行為圖；其中，所述行為圖的節(jié)點表示主體或客體，連邊表示主體對客體的行為，連邊的方向為主體指向客體；

基于所述行為圖，對主體行為、不同主體之間關(guān)系、不同客體之間關(guān)系、行為與行為之間關(guān)系，或內(nèi)網(wǎng)日志之間關(guān)系進行挖掘。

進一步地，所述主體或客體包括人員、設(shè)備、應(yīng)用、文件和漏洞；主體對客體的行為包括訪問關(guān)系、操作關(guān)系、使用關(guān)系和服務(wù)關(guān)系；所述行為圖包括多個以人員為核心的局部子圖。

進一步地，對內(nèi)網(wǎng)日志進行解析包括：預(yù)先構(gòu)建行為語料庫，基于所述行為語料庫識別內(nèi)網(wǎng)日志中的行為，以所述行為作為依據(jù)，向前或向后搜索主體或客體的標(biāo)識信息。

進一步地，構(gòu)建行為圖包括：

根據(jù)主體或客體的類別建立對應(yīng)類別的節(jié)點實例，并設(shè)置相應(yīng)屬性信息，初始狀態(tài)為空；

根據(jù)主體對客體的行為類別，創(chuàng)建對應(yīng)類別的連邊實例，連邊的方向為從主體節(jié)點指向客體節(jié)點，并設(shè)置相應(yīng)屬性信息，初始狀態(tài)為空；

基于從內(nèi)網(wǎng)日志解析得到的主體、客體以及主體對客體的行為，對節(jié)點和連邊進行賦值；

結(jié)合預(yù)設(shè)主體或客體信息管理文件，對節(jié)點和連邊屬性信息進行關(guān)聯(lián)。

進一步地，基于所述行為圖，對主體行為進行挖掘包括：

對于某個人員，獲取多天的歷史局部子圖；

基于頻繁子圖挖掘方法，從這些局部子圖中挖掘出現(xiàn)次數(shù)達到預(yù)設(shè)次數(shù)的至少一個子圖；

對所述至少一個子圖進行篩選，得到對應(yīng)的歷史頻繁子圖；

對該人員某天的局部子圖，根據(jù)所述歷史頻繁子圖，判斷是否存在異常行為。

進一步地，基于所述行為圖，對內(nèi)網(wǎng)日志之間關(guān)系進行挖掘包括：