[发明专利]用于安全性信息交互的异常检测装置及方法

权利要求书

1.一种用于安全性信息交互的异常检测装置，所述用于安全性信息交互的异常检测装置包括：

预处理模块，所述预处理模块用于基于数据库中的安全性信息交互记录完成预处理操以构建分类器模型和条件概率表以及用于序列比对的组表；

异常检测模块，所述异常检测模块用于接收并解析来自数据处理服务器的安全性信息交互数据，并基于所述分类器模型和条件概率表以及用于序列比对的组表判断与所述安全性信息交互数据相关联的安全性信息交互的类型，并将判断结果传送回所述数据处理服务器。

2.根据权利要求1所述的用于安全性信息交互的异常检测装置，其特征在于，所述预处理模块进一步包括：

特征提取单元，所述特征提取单元用于从所述数据库提取正常的安全性信息交互记录和已知的异常的安全性信息交互记录；

分类器模型构造单元，所述分类器模型构造单元用于基于所述提取的正常的安全性信息交互记录和所述已知的异常的安全性信息交互记录确定至少一个信息交互特征向量，并基于所述至少一个信息交互特征向量构建所述分类器模型；

条件概率表计算单元，所述条件概率表计算单元用于为每个用户计算条件概率表；

操作序列提取单元，所述操作序列提取单元用于从所述数据库提取每个用户的正常操作序列和已知的用户的异常操作序列，并按照时间将正常操作序列划分成子序列以及按照类型将异常操作序列划分成子序列；

组表构造单元，所述组表构造单元用于为每个用户的正常操作序列构造第一k元组表，并且为每个用户的已知的异常操作序列构造第二k元组表；

存储单元，所述存储单元用于存储所述分类器模型、所述计算条件概率表、所述每个用户的正常操作序列和已知的用户的异常操作序列以及所述第一k元组表和所述第二k元组表。

3.根据权利要求2所述的用于安全性信息交互的异常检测装置，其特征在于，所述至少一个信息交互特征包括安全性信息交互位置信息。

4.根据权利要求3所述的用于安全性信息交互的异常检测装置，其特征在于，基于贝叶斯定理构建所述分类器模型，并且使用后验概率判断安全性信息交互的类型。

5.根据权利要求4所述的用于安全性信息交互的异常检测装置，其特征在于，仅存在“正常的”和“异常的”两个分类，并且将待检测的安全性信息交互属于“正常的”分类的后验概率作为其第一可信因子TS。

6.根据权利要求5所述的用于安全性信息交互的异常检测装置，其特征在于，所述条件概率表计算单元基于从所述数据库提取的安全性信息交互记录为每个用户计算条件概率表的值。

7.根据权利要求6所述的用于安全性信息交互的异常检测装置，其特征在于，所述组表构造单元使用SSAHA算法为每个用户的正常操作序列构造第一k元组表，并且为每个用户的已知的异常操作序列构造第二k元组表。

8.根据权利要求7所述的用于安全性信息交互的异常检测装置，其特征在于，所述分类器模型构造单元进一步用于将所述至少一个信息交互特征的取值离散化。

9.根据权利要求8所述的用于安全性信息交互的异常检测装置，其特征在于，所述分类器模型构造单元进一步用于基于K-means算法将所述至少一个信息交互特征中的一个或多个的取值离散化。