[发明专利]基于画像技术的网络异常检测方法、装置、设备及介质

说明书

本发明提供一种基于画像技术的网络异常检测方法、装置、设备及介质，方法包括：获取网络中的设备的相关数据信息；根据相关数据信息构造设备向量；计算设备向量与设备对应的设备画像间的设备偏差；计算设备向量与设备所属的设备类型对应的设备类型画像间的类型偏差；在设备偏差和/或类型偏差超过设定阈值时，发出告警，以实现网络异常检测。本发明提供的基于画像技术的网络异常检测方法、装置、设备及介质，采用机器学习的方式对历史网络流量特征进行刻画，从而对网络中的设备进行聚类，同时根据历史流量特征为每一台设备、每一类设备进行画像，发现流量异常的设备，以实现及时准确地发现网络安全攻击行为。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于画像技术的网络异常检测方法、装置、设备及介质。

背景技术

现有的网络安全技术，只能解决基于规则已知的网络安全攻击的发现(例如，基于签名的IDS/IPS等)，对于未知的网络安全攻击行为(例如，APT攻击)难以发现或者发现结果不准确。

发明内容

本发明要解决的技术问题是提供一种基于画像技术的网络异常检测方法、装置、设备及介质，采用机器学习的方式对历史网络流量特征进行刻画，从而对网络中的设备进行聚类，同时根据历史流量特征为每一台设备、每一类设备进行画像，发现流量异常的设备，以实现及时准确地发现网络安全攻击行为。

为解决上述技术问题，本发明提供的技术发方案是：

第一方面，本发明实施例提供了一种基于画像技术的网络异常检测方法，方法包括：

获取网络中的设备的相关数据信息；

根据相关数据信息构造设备向量；

计算设备向量与设备对应的设备画像间的设备偏差；

计算设备向量与设备所属的设备类型对应的设备类型画像间的类型偏差；

在设备偏差和/或类型偏差超过设定阈值时，发出告警，以实现网络异常检测。

进一步地，设备画像的构建，包括：

采集设备在第一时间长度内的历史相关数据信息；

根据历史相关数据信息，获取每个第二时间长度内，设备的基本信息；

计算设备在第一时间长度内的，所有第二时间长度对应的基本信息的统计信息；

根据统计信息确定设备画像信息，构建设备画像。

进一步地，基本信息包括：在线时长，TCP数据包数量，TCP数据包长度，UDP数据包数量，UDP数据包长度，连接IP数量，连接端口数量，设备的最大流量对应的端口，与设备连接的其他设备的设备类型；

统计信息包括：在线时长的均值和标准差，TCP数据包数量的均值和标准差，TCP数据包长度的均值和标准差，UDP数据包数量的均值和标准差，UDP数据包长度的均值和标准差，连接设备数量的均值和标准差，连接端口数量的均值和标准差；

设备画像信息包括：在线率，设备类型，设备分组，TCP数据包数量，TCP数据包长度，UDP数据包数量，UDP数据包长度，连接设备数量，连接端口数量，接入位置。

进一步地，设备类型画像的构建，包括：

获取与设备属于同一类型的所有设备对应的设备画像信息的集合；

根据设备画像信息的集合，确定设备类型画像。

进一步地，对网络中的所有设备进行分类以确定每个设备对应的设备类型，包括：

获取每个设备的设备画像信息；

根据设备画像信息构建与设备对应的设备向量；