[发明专利]恶意行为挖掘方法及装置

权利要求书

1.一种恶意行为挖掘方法，其特征在于，所述方法包括：

采集多维度异构数据，其中，所述多维度异构数据包括：网络数据，访问日志，虚拟机中数据，及系统日志；

将所述多维度异构数据进行分布式实时处理，生成实时数据流；

基于预先建立的恶意行为攻击特征库，判断所述实时数据流中是否有恶意行为；

在为否时，将所述实时数据流标准化，形成行为数据链并输入到数据库中进行挖掘；

其中，所述将所述实时数据流标准化，形成行为数据链并输入到数据库中进行挖掘，包括：将所述实时数据流作为被分析对象，对所述标准化数据进行解析，生成用于描述各种行为的行为链数据；将所述行为链数据代入LSTM，计算出多个可能关联关系；基于预设的判断规则，从所述多个可能关联关系中找出异常行为的组合；其中，所述标准化数据以行为数据六元组的方式存储，所述行为数据六元组用于描述和分析不同事件之间的关系；

其中，所述基于预先建立的恶意行为攻击特征库，判断所述实时数据流中是否有恶意行为，包括：利用模式生成器挖掘所述实时数据流，获得当前行为特征；判断所述当前行为特征是否与所述恶意行为攻击特征库中的恶意行为匹配；其中，在为不匹配时，表征所述实时数据流中不存在恶意行为；

其中，所述判断所述当前行为特征是否与所述恶意行为攻击特征库中的恶意行为匹配，包括：通过预定算法，将多个特征向量与所述攻击特征库中的恶意行为进行特征匹配，以判断所述当前行为特征是否与所述攻击特征库中的恶意行为匹配；其中，在特征向量为网络流量相关维度数据时，所述预定算法为：K-means算法或SVM算法，在特征向量为域名和异常点相关的维度数据时，所述预定算法为随机森林分类模型。

2.根据权利要求1所述的方法，其特征在于，将所述实时数据流标准化，形成行为数据链并输入到数据库中进行挖掘之后，所述方法还包括：

基于所述数据库，通过对所述实时数据流的不同维度数据进行关联挖掘，判断所述实时数据流中是否有恶意行为，获得判断结果；

在为是时，提取所述判断结果的特征，并将所述特征加入所述恶意行为攻击特征库。

3.根据权利要求1所述的方法，其特征在于，基于预先建立的恶意行为攻击特征库，判断所述实时数据流中是否有恶意行为，包括：

基于预先建立的恶意行为攻击特征库，通过Spark平台上的自带库判断所述实时数据流中是否有恶意行为，其中，所述自带库包括Spark Streaming，Spark MLlib，SparkGraphX，BlinkDB。

4.一种恶意行为挖掘装置，其特征在于，所述装置包括：

采集模块，用于采集多维度异构数据，其中，所述多维度异构数据包括：网络数据，访问日志，虚拟机中数据，及系统日志；

处理模块，用于将所述多维度异构数据进行分布式实时处理，生成实时数据流；

检测模块，用于基于预先建立的恶意行为攻击特征库，判断所述实时数据流中是否有恶意行为；

结果模块，用于在所述实时数据流中没有恶意行为时，将所述实时数据流标准化，形成行为数据链并输入到数据库中进行挖掘；

所述结果模块还用于，将所述实时数据流作为被分析对象，对所述标准化数据进行解析，生成用于描述各种行为的行为链数据；将所述行为链数据代入LSTM，计算出多个可能关联关系；基于预设的判断规则，从所述多个可能关联关系中找出异常行为的组合；其中，所述标准化数据以行为数据六元组的方式存储，所述行为数据六元组用于描述和分析不同事件之间的关系；

所述检测模块还具体用于利用模式生成器挖掘所述实时数据流，获得当前行为特征；判断所述当前行为特征是否与所述恶意行为攻击特征库中的恶意行为匹配；其中，在为不匹配时，表征所述实时数据流中不存在恶意行为；

所述检测模块还具体用于通过预定算法，将多个特征向量与所述攻击特征库中的恶意行为进行特征匹配，以判断所述当前行为特征是否与所述攻击特征库中的恶意行为匹配；其中，在特征向量为网络流量相关维度数据时，所述预定算法为：K-means算法或SVM算法，在特征向量为域名和异常点相关的维度数据时，所述预定算法为随机森林分类模型。

5.根据权利要求4所述的装置，其特征在于，所述装置还包括：

挖掘模块，用于在基于预先建立的恶意行为攻击特征库，判断所述实时数据流中无恶意行为时，基于所述数据库，通过对所述实时数据流的不同维度数据进行关联挖掘，判断所述实时数据流中是否有恶意行为，获得判断结果；

特征库模块，用于在基于所述数据库，通过对所述实时数据流的不同维度数据进行关联挖掘，判断所述实时数据流中有恶意行为时，提取所述判断结果的特征，并将所述特征加入所述恶意行为攻击特征库。