[发明专利]一种基于数据均衡技术的网络安全实时异常检测方法

权利要求书

1.一种基于数据均衡技术的网络安全实时异常检测方法，其特征在于：包括以下步骤：

S1：从电力通信网络的数据库中提取网络数据，选择相应数据特征进行预处理，得到预处理后的数据；

S2：对预处理过的数据，基于Adasyn的数据均衡算法对数据进行平衡处理；

S3：通过平衡处理过的数据，建立网络安全异常检测模型；

S4：将数据特征导入网络安全异常检测模型，实现网络安全异常的实时检测；

其中，所述步骤S1包括以下步骤：

S11：从电力通信网络中收集的元数据中，选取以下数据特征：

时间信息：数据采集时间collect_time，异常发生时间event_time；访问账户特征信息：用户今日登录次数login_num,用户权限等级user_level,用户今日操作次数user_operation_num,用户IP地址user_ip,用户端口user_port；被访问机器信息：被访问机器等级server_level,被访问机器今日被访问次数request_num，被访问机器今日操作次数server_operation_num，被访问机器IP server_ip，被访问机器端口server_port；事件IDevent_id，是否为异常事件event_class；

S12：将选取的数据特征进行数据清洗，去除含有缺失值的数据及数据异常的记录，清洗后的数据用x表示；

S13：将数值型数据进行归一化处理，其计算公式为：

其中，X表示归一化之后的数据，X_max表示参数的最大值，X_min表示参数的最小值；

所述步骤S2包括以下步骤：

S21：将归一化后的数据按照是否为异常事件进行分类并标注，其中所有事件集合为S＝S_abnorm∪S_norm，异常事件集合定义为S_abnorm，正常事件定义为S_norm，定义特征空间为Y；

S22：计算各个异常点到所有其他事件点之间的距离，然后将计算结果进行从小到大进行排序，并取前K个作为最近邻，其中，K为奇数，则距离计算公式为：

其中，且x_i∈S_abnorm，且x_j∈S_norm；n为异常点的数量；

S23：设某个异常点的K个近邻中有N个异常点，在该异常点周围生成人工异常点的数目G_num，其计算公式为：

其中α为超参数，默认值为3；

S24：生成人工异常点，具体公式为：

其中，为随机从N个异常点选出的样本异常点；Y_i为原数据点，Y_new表示生成的数据点，δ∈[0,1]。