[发明专利]网络异常行为检测方法及装置

说明书

技术领域

本发明实施例涉及网络技术领域，尤其涉及一种网络异常行为检测方法及装置。

背景技术

随着网络的使用范围在日常生活中的日益广泛，网络信息安全的问题也愈发的重要。应用场景的多样性，使得现有的主要网络安全检测技术，如网络防火墙、入侵检测系统和网管软件等已经不能满足网络安全保障的要求。

针对上述问题，网络异常行为检测的概念被提出来了，旨在监测专有网络(如企业内部网络)的不寻常事件或趋势，如果检测到一个不寻常事件或趋势，就生成显示威胁存在的警报。

但是目前，现有技术中还没有一套系统、完整的网络异常行为检测方法，能够比较全面地检测出专有网络中各种异常行为。

发明内容

本发明实施例提供一种网络异常行为检测方法及装置，用以比较全面地检测出专有网络中各种异常行为。

一方面，本发明实施例提供了一种网络异常行为检测方法，包括：

获取网络设备的历史日志数据；

解析所述历史日志数据，生成历史网络行为数据；

根据所述历史网络行为数据和规则模板，生成白名单、黑名单和基调规则；

获取所述网络设备的当前日志数据；

解析所述当前日志数据，生成当前网络行为数据；

根据所述白名单对所述当前网络行为数据进行过滤，得到可疑行为数据；

根据所述黑名单对所述可疑行为数据进行过滤，得到异常行为数据和未知行为数据；

将所述未知行为数据与所述未知行为数据中行为人身份对应的基调规则比较，将超出所述基调规则的未知行为数据标识为异常行为数据；

输出包括所述异常行为数据的告警信息。

另一方面，本发明实施例提供了一种网络异常行为检测装置，包括：

第一获取模块，用于获取网络设备的历史日志数据；

第一解析模块，用于解析所述历史日志数据，生成历史网络行为数据；

生成模块，用于根据所述历史网络行为数据，生成白名单、黑名单和基调规则；

第二获取模块，用于获取所述网络设备的当前日志数据；

第二解析模块，用于解析所述当前日志数据，生成当前网络行为数据；

第一过滤模块，用于根据所述白名单对所述当前网络行为数据进行过滤，得到可疑行为数据；

第二过滤模块，用于根据所述黑名单对所述可疑行为数据进行过滤，得到异常行为数据和未知行为数据；

基调比较模块，用于将所述未知行为数据与所述未知行为数据中行为人身份对应的基调规则比较，将超出所述基调规则的未知行为数据标识为异常行为数据；

告警模块，用于输出包括所述异常行为数据的告警信息。

以上多个技术方案中至少一个技术方案具有如下优点或有益效果：

本发明实施例采用解析历史日志数据生成历史网络行为数据，根据历史网络行为数据和规则模板生成白名单、黑名单和基调规则，解析当前日志数据，生成当前网络行为数据，根据白名单、黑名单和基调规则依次对当前网络行为数据进行过滤、比较，确定异常行为数据的技术手段，可以比较全面地检测出专有网络中各种异常行为。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种网络异常行为检测方法的流程示意图；

图2为本发明实施例二提供的一种网络异常行为检测装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明实施例一提供的一种网络异常行为检测方法的流程示意图。如图1所示，该方法包括：

步骤101、获取网络设备的历史日志数据。