[发明专利]基于主机网络行为的异常检测方法和装置

权利要求书

1.一种基于主机网络行为的异常检测方法，其特征在于，包括：

根据历史异常网络行为，采集至少一个主机中每个主机的网络行为数据；

对所述网络行为数据进行多维度分析，得到每个主机在至少一个维度中各维度上的维度数据；

确定所述维度数据中的异常维度数据；

按照周期性对所述异常维度数据进行分组；

针对每个主机，将所述异常维度数据与预定义规则进行匹配，确定是否发生异常网络行为，并在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为，其中，所述预定义规则用于根据所述异常维度数据确定是否发生所述异常网络行为以及在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为；

其中，将所述异常维度数据与预定义规则进行匹配，包括：将处于同一个周期的所述异常维度数据与所述预定义规则进行匹配。

2.根据权利要求1所述的方法，其特征在于，确定所述维度数据中的异常维度数据，包括：

确定每个主机的所述维度数据中超过预设维度数据阈值的维度数据为所述异常维度数据；或者，确定每个主机的所述维度数据中超过所述预设维度数据阈值且与所有主机的平均维度数据的偏差超过预设偏差的维度数据为所述异常维度数据。

3.根据权利要求1所述的方法，其特征在于，确定所述维度数据中的异常维度数据之后，包括：

使用脚步程序分析所有主机的所述异常维度数据对应的异常网络行为。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述网络行为数据包括如下至少之一：流量数据、连接数据、TCP数据、HTTP协议数据和DNS数据。

5.一种基于主机网络行为的异常检测装置，其特征在于，包括：

采集模块，用于根据历史异常网络行为，采集至少一个主机中每个主机的网络行为数据；

分析模块，用于对所述网络行为数据进行多维度分析，得到每个主机在至少一个维度中各维度上的维度数据；

确定模块，用于确定所述维度数据中的异常维度数据；

匹配模块，用于针对每个主机，将所述异常维度数据与预定义规则进行匹配，确定是否发生异常网络行为，并在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为，其中，所述预定义规则用于根据所述异常维度数据确定是否发生所述异常网络行为以及在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为；

其中，所述装置还包括：分组模块，用于在所述确定模块确定所述维度数据中的所述异常维度数据之后，按照周期性对所述异常维度数据进行分组；

所述匹配模块包括：将处于同一个周期的所述异常维度数据与所述预定义规则进行匹配。

6.根据权利要求5所述的装置，其特征在于，所述确定模块包括：

第一确定模块，用于确定每个主机的所述维度数据中超过预设维度数据阈值的维度数据为所述异常维度数据；和/或

第二确定模块，用于确定每个主机的所述维度数据中超过所述预设维度数据阈值且与所有主机的平均维度数据的偏差超过预设偏差的维度数据为所述异常维度数据。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：脚步程序分析模块，用于在所述确定模块确定所述维度数据中的所述异常维度数据之后，使用脚步程序分析所有主机的所述异常维度数据对应的异常网络行为。

8.根据权利要求5-7任一项所述的装置，其特征在于，所述网络行为数据包括如下至少之一：流量数据、连接数据、TCP数据、HTTP协议数据和DNS数据。