[发明专利]一种基于大数据的网络安全预警方法与系统

权利要求书

1.一种基于大数据的网络安全预警方法，其特征在于：包括以下步骤:

S1.进行网络安全基础数据提取，并对提取的数据进行大数据分析，建立网络风险信息识别模型；

S2.汇集网络用户的正常操作行为，构建用户操作行为序列库；

S3.采集网络安全的实时信息，输入风险信息识别模型，判断实时信息是否安全：

(1)如果实时信息安全，进入步骤S4；

(2)如果实时信息不安全，进入步骤S5；

S4.提取实时信息的用户操作行为序列，与所述用户操作行为序列库中的行为序列进行匹配分析，输出匹配结果，根据匹配结果判断用户操作行为是否具有威胁：

(1)如果用户操作行为具有威胁，进入步骤S5；

(2)如果用户操作行为不具有威胁，返回步骤S3进行下一条实时信息的采集和判断；

S5.将对应的实时信息进行标记，并关联对应的IP、用户虚拟账号和用户实际地理位置，进行网络安全预警,并返回步骤S3，继续进行下一条实时信息的采集和判断。

2.根据权利要求1所述的一种基于大数据的网络安全预警方法，其特征在于：所述的步骤S1包括以下子步骤：

S11.提取网络安全基础数据；

S12.对提取的网络安全信息进行聚类和筛选，得到可疑特征数据簇；

S13.将可疑特征数据簇交由人工进行判断，根据判断结果，对可疑特征数据簇中的每一条数据用标签x进行标记；x为0表示正常数据，x为1表示风险数据；

S14.建立风险信息识别模型，并初始化模型参数{m₁,m₂,m₃,...,m_i,...,m_n},m_i表示第i个模型参数值，n表示模型参数的个数；

S15.根据可疑特征数据簇中的数据对建立的模型进行训练：

依次提取可疑特征数据簇中的每一条数据输入模型，由模型对其检测得到检测参数y；

计算检测参数y与对应数据标签x的差值：β＝|x-y|，记为误差；

利用误差β对模型参数进行调整,利用调整后的模型进行下一次检测；

当β连续N次小于预设阈值时，定义模型训练成熟，存储成熟模型的参数。

3.根据权利要求1所述的一种基于大数据的网络安全预警方法，其特征在于：所述的步骤S2包括以下子步骤：

S21.探测网络用户的正常操作行为；

S22.利用串表压缩算法提取所述正常操作行为中的序列模式；

S23.建立行为列表，判断提取出的序列模式是否存在于行为列表中，若否，则将所述序列模式记录在所述行为列表中，并将所述序列模式的出现次数设为1；若是，则将所述序列模式的累计出现次数加1；

S24.建立用户操作行为序列库D，判断所述序列模式的累计次数是否大于等于预设阈值，若是，则将所述用户的操作行为作为有效行为加入用户操作行为序列库D；

S25.去除所述用户操作行为序列库中的冗余行为序列，优化所述用户操作行为序列库：

计算用户操作行为序列库D中的任一序列Pi与用户操作行为序列库D中其余序列的编辑距离，将编辑距离为1的所有序列构成候选子集合Si；其中，所述编辑距离为两个序列之间，由一个序列转成另一个序列所需的最少编辑操作次数；

在所述候选子集合Si中提取出权值与序列长度之积最大的序列模式，并去除其余序列；

对于序列库中每个序列重复上述过程，提取出出现频次最高且长度最大的序列，构成优化后的用户操作行为序列库。

4.根据权利要求1所述的一种基于大数据的网络安全预警方法，其特征在于：所述的步骤S3包括以下子步骤：

S31.采集网络安全的实时数据，输入风险信息识别模型中，模型对数据进行风险预测得到预测值y1；

S32.将预测值y1进行标准化，得到y2：

S33.根据y2的值判断实时信息是否安全：

(1)如果y2＝0，则实时信息安全，进入步骤S4；

(2)如果y2＝1，则实时信息不安全，进入步骤S5。