[發明專利]一種多因素網絡異常行為檢測方法

在審

• 申請號: 202211517737.1
• 申請日: 2022-11-30
• 公開（公告）號: CN115883198A
• 公開（公告）日: 2023-03-31
• 發明（設計）人: 吳巍;賈紫藝;賈哲;王強;李皓;焦利彬;劉麗哲;趙海強;趙陽陽;高小涵
• 申請（專利權）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/16
• 代理公司: 河北東尚律師事務所 13124
• 代理人: 王文慶

1.一種多因素網絡異常行為檢測方法，其特征在于，包括以下步驟：

步驟1，獲取數據矩陣X、變換矩陣W、變換后的數據矩陣X’；

步驟2，將X、W、X’輸入編碼器GE1，得到編碼后的矩陣G_E1(X)、G_E1(W)、G_E1(X’)；所述編碼器G_E1由兩層神經網絡組成，激活函數為線性整流函數ReLU，用于計算輸入數據的低維均值和方差，從隱變量空間采樣，得到中間層變量；G_E1(X)、G_E1(W)分別為X和W經過G_E1的隱變量z、θ；

步驟3，G_E1(X)經過解碼器G_D，生成X的重構矩陣此外，G_E1(X)和G_E1(X’)經過解碼器，生成變換矩陣W’；解碼器GD由兩層神經網絡實現，激活函數為線性整流函數ReLU，用于將數據由低維還原為高維，恢復出新的數據；

步驟4，將重構矩陣變換矩陣W’輸入編碼器G_E2，得到變換矩陣隱變量z’、θ’；編碼器GE2由兩層神經網絡組成，激活函數為線性整流函數ReLU，用于再次將數據降維，得到隱變量；

步驟5，將(X，G_E1(X))和重構矩陣輸入判別器Dd進行訓練；判別器Dd扮演GAN中的判別器的角色，由卷積神經網絡實現，用于判定重構矩陣/與原始輸入數據數據的真假；

步驟6，根據步驟5中訓練的損失函數，計算多因素異常檢測得分Score，得到檢測結果。

2.根據權利要求1所述的一種多因素網絡異常行為檢測方法，其特征在于，數據矩陣X包括多維度信息，表示為：

X＝X₁，X₂，...，X_i，...，Xn

其中，i＝1，2，...，n，n為維度總個數；

多維度信息包括以下信息中的部分或全部：

用戶信息：用戶ID、用戶憑證、用戶屬性、角色；

設備信息：設備ID號、設備所處位置、設備類型、設備IP地址、設備MAC地址、設備證書、設備指紋、設備ID、日志類型；

設備狀態：已安裝的操作系統版本、應用軟件版本、補丁修補情況、網絡位置；

用戶權限：設備IP、日志類型、賬號、應用權限、操作方式、操作人；

賬號登錄：源IP、源設備、設備IP、日志類型、賬號、登錄方式、登錄狀態；

訪問客體：待訪問資源的屬性、類別和級別、應用、數據、訪問的IP地址、訪問的MAC地址；

行為屬性：用戶訪問業務的行為、操作習慣、訪問時間、地點、設備分析、來源IP地址、訪問頻度、使用模式偏差。