[发明专利]入侵操作检测方法、装置、设备及计算机可读存储介质

说明书

本发明公开了一种入侵操作检测方法、装置、设备及计算机可读存储介质，在根据每个数据点的局部离群因子检测日志文件中的入侵操作时，为了避免查找k近邻时计算距离矩阵所需的计算量，利用网格的记忆性，即：距离目标网格中的数据点最近的k个其他数据点，一定在该目标网格或在该目标网格的最近邻接网格中；从而利用网格的记忆性来查找各个数据点的k近邻，避免了传统算法查找k近邻时需要计算距离矩阵，减少了计算量，加快了离群点的检测速度，从而减少了计算机内存需求，提高入侵检测的检测效率。

技术领域

本发明涉及网络入侵检测技术领域，更具体地说，涉及一种入侵操作检测方法、装置、设备及计算机可读存储介质。

背景技术

近年来网络安全事件频发，而入侵检测系统在网络入侵检测中扮演着举足轻重的作用，入侵检测又分为异常检测和误用检测；目前通过误用检测模型检测入侵时，是通过离群点检测算法进行检测的，具体来说，离群点检测算法能消除噪声或发现潜在的、有意义的知识。例如：LOF(Local Outlier Factor)算法，LOF算法是基于密度的离群点挖掘算法的经典算法，但是当一些数据分布复杂时，LOF算法可能出现误判的情况。因此Jin等提出基于反向k邻域的INFLO算法，不仅考虑数点的k邻域，还考虑数据点的反向k邻域对数据离群度影响；为了克服LOF算法对于序列数据和低密度数据对象不能有效度量的缺陷，Tang等人提出基于连接的利群系数的方法，其算法是根据给定的参数最少邻居数k和数据对象的连接性来确定邻域，计算与其邻接的平均连接距离，用平均连接距离比作为基于连接的离群系数COF，但该方法比LOF算法更复杂。基于密度的离群点检测算法的另一个巨大缺陷就是需要计算数据的距离矩阵来进行k近邻的查询，当数据量较大时，需要的计算机内存需求也非常大。

因此，如何减小使用离群点检测算法检测入侵操作的计算机内存需求，提高入侵检测的检测效率，是本领域技术人员需要解决的问题。

发明内容

本发明的目的在于提供一种入侵操作检测方法、装置、设备及计算机可读存储介质，以减小使用离群点检测算法检测入侵操作的计算机内存需求，提高入侵检测的检测效率。

为实现上述目的，本发明实施例提供了如下技术方案：

一种入侵操作检测方法，包括：

S101、获取目标主机的日志文件，将所述日志文件作为待检测数据集，所述待检测数据集中每个数据点的n维数据值与所述日志文件中每个操作的n维操作数据相对应；

S102、利用所述待检测数据集中每个数据点的n维数据值，建立与所述待检测数据集对应的n维数据空间，所述n维数据空间由边长相等且互不相交的网格组成，将所述待检测数据集中每个数据点映射到所述n维数据空间的网格内，并确定待检测的目标网格；

S103、检测目标网格内的数据点个数是否小于K+1；其中，K为k近邻参数值；若是，则将目标网格作为中心网格，执行S104；若否，则执行S105；

S104、查找中心网格的邻接网格，将所述中心网格和所述邻接网格组合生成重组网格，并检测所述重组网格内的数据点个数是否小于K+1；若是，则将重组网格作为中心网格，继续执行S104；若否，则执行S105；

S105、计算目标网格内每个数据点的局部离群因子；若所述n维网格内存在未检测的网格，则从未检测的网格内重新选取目标网格，并继续执行S103；若所述n维网格内不存在未检测的网格，则执行S106；

S106、将局部离群因子大于预定阈值的数据点作为异常数据点，将所述异常数据点对应的操作作为入侵操作。

其中，所述S102中利用所述待检测数据集中每个数据点的n维数据值，建立与所述待检测数据集对应的n维数据空间，所述n维数据空间由边长相等且互不相交的网格组成，包括：