[發明專利]一種基于行為體積的主機行為在線異常檢測方法

有效

• 申請號: 202210686965.5
• 申請日: 2022-06-16
• 公開（公告）號: CN115102746B
• 公開（公告）日: 2023-04-14
• 發明（設計）人: 李露;黃鸝聲;張鋒軍;石凱;汪文勇;翟圣杰;趙官凌;魯蒙娜
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 成都天嘉專利事務所(普通合伙) 51211
• 代理人: 蘇丹

1.一種基于行為體積的主機行為在線異常檢測方法，其特征在于，包括第一階段和第二階段；

第一階段：學習階段，首先從流量中采集主機的多維行為特征，得到多組特征出入比，其次以特征出入比集合為參數計算每個網絡主機的行為體積，進一步通過連續周期內的流量采集以及多次行為體積計算得到主機行為體積集合，以此確定每個主機的行為體積的閾值；

其中，在固定時間窗口T內，從網絡流量中采集主機的行為特征，并將每個特征按照報文流入或流出方向，分為“輸入特征”和“輸出特征”，定義輸入特征與輸出特征的比值為“特征出入比”r；

將時間周期T內獲得的某個主機的多個特征出入比相乘，獲得該主機在時間周期T內的行為體積V，計算方法為V＝r₁×r₂×…×r_n，其中n為特征數量；

第二階段：異常檢測階段，首先對某個時間窗口內的主機行為體積進行實時計算，其次將主機行為體積與學習階段獲得的閾值進行對比，超過或低于閾值則輸出該主機行為異常告警記錄。

2.根據權利要求1所述的一種基于行為體積的主機行為在線異常檢測方法，其特征在于，所述第一階段包括以下步驟：

步驟1、從流量中采集主機的多維行為特征出入比，；

步驟2、以特征出入比集合為參數計算每個網絡主機的行為體積；

步驟3、通過連續多個時間周期T，可以得到多組特征出入比集合，分別對多組特征出入比集合進行計算，可以獲得某個主機的多個行為體積計算結果，即V＝{V₁,V₂,…,V_m}，其中m為學習階段的時間周期個數；

步驟4、確定主機的行為體積界限，取最大值的3倍為該主機的行為體積上界閾值，定義為Vmax＝3×max(V₁,V₂,…,V_m)，取最小值的0.3倍為該主機的行為體積下界閾值，定義為Vmin＝0.3×min(V₁,V₂,…,V_m)。

3.根據權利要求2所述的一種基于行為體積的主機行為在線異常檢測方法，其特征在于，所述第二階段包括以下步驟：

S1、在每個與步驟1相同的時間周期T內，對某個時間窗口內的主機多維行為特征出入比、行為體積進行實時計算，計算過程分別與步驟1和步驟2過程相同，行為體積計算結果定義為Vt；

S2、對比Vt與Vmax，如果VtVmax，則輸出異常告警記錄；

S3、對比Vt與Vmin，如果VtVmin，則輸出異常告警記錄。

4.根據權利要求2所述的一種基于行為體積的主機行為在線異常檢測方法，其特征在于，所述步驟1包括以下步驟：

步驟1.1、針對“行為特征i”，首先捕獲主機在時間周期T內從網絡中輸入的“行為特征i”報文，定義為“輸入行為特征i”，再捕獲主機在時間周期T內向網絡輸出的“行為特征i”報文，定義為“輸出行為特征i”；

步驟1.2、令“輸出行為特征i”加1，除以“輸入行為特征i”加1，得到的比值定義為“行為特征i出入比”，即ri＝(i_out+1)/(i_in+1)，其中ri為行為特征i出入比，i_out為輸出報文數量，i_in為輸入報文數量；

步驟1.3、通過一個完整時間周期T的觀測，可以采集到主機的多維行為特征，進而獲得針對某個主機的多個特征出入比，定義為特征出入比集合R＝{r₁,r₂,…,r_n}，其中n為特征數量。

5.根據權利要求1所述的一種基于行為體積的主機行為在線異常檢測方法，其特征在于，行為特征具體包括IP入平均流量、IP出平均流量、TCP入平均流量、TCP出平均流量、UDP入平均流量、UDP出平均流量、TCP會話數、TCP主機數、平均每個TCP會話往來包數量、TCP會話平均入數據包長度和UDP會話平均出數據包長度。