[发明专利]网络攻击行为预测的方法、装置、设备及存储介质

权利要求书

1.一种网络攻击行为预测的方法，其特征在于，包括：

根据日志解析模型对待处理日志进行特征提取和识别，以获得所述待处理日志的特征数据和所属设备信息；

根据所述待处理日志的特征数据和所属设备信息确定安全事件数据；

根据所述安全事件数据和攻击预测模型预测是否发生网络攻击行为；

所述根据日志解析模型对待处理日志进行特征提取和识别，以获得所述待处理日志的特征数据和所属设备信息之前，还包括：

获取第一训练样本集和第一测试样本集，其中所述第一训练样本集和所述第一测试样本集中的样本数据包括已确定的网络设备生成的日志以及该日志的标签数据，所述标签数据包括日志的特征数据和所属设备信息；

采用所述第一训练样本集对日志解析模型进行训练，并采用所述第一测试样本集对所述日志解析模型进行测试，直到所述日志解析模型收敛，以获得所述日志解析模型。

2.根据权利要求1所述的方法，其特征在于，所述根据所述待处理日志的特征数据和所属设备信息确定安全事件数据，具体包括：

删除具有相同特征数据和所属设备信息的重复的待处理日志；

若某待处理日志中缺少某特征数据，则根据该待处理日志的其他特征数据对所述缺少的特征数据进行填充处理；

将进行删除和填充处理后保留的每个待处理日志确定为一个安全事件数据。

3.根据权利要求1所述的方法，其特征在于，所述待处理日志的特征数据中包括生成时间，所述根据所述安全事件数据和攻击预测模型预测是否发生网络攻击行为，具体包括：

将每个安全事件数据按照所述生成时间的顺序输入到所述攻击预测模型中，以使所述攻击预测模型根据多个安全事件数据的关联关系确定发生网络攻击行为的概率；

将所述发生网络攻击行为的概率与预设攻击阈值进行对比；

若所述发生网络攻击行为的概率大于所述预设攻击阈值，则输出发生网络攻击行为的预测结果；

若所述发生网络攻击行为的概率小于或等于所述预设攻击阈值，则输出未发生网络攻击行为的预测结果。

4.根据权利要求1所述的方法，其特征在于，所述根据所述安全事件数据和攻击预测模型预测是否发生网络攻击行为之前，还包括：

获取第二训练样本集和第二测试样本集，其中所述第二训练样本集中的每个第二训练样本和所述第二测试样本集中的每个第二测试样本均为已确定的每个网络攻击行为中的各安全事件数据的关联关系；

采用所述第二训练样本对攻击预测模型进行训练，并采用所述第二测试样本对所述攻击预测模型进行测试，直到所述攻击预测模型收敛，以获得所述攻击预测模型。

5.根据权利要求1所述的方法，其特征在于，还包括：

若根据日志解析模型对所述待处理日志识别失败，则接收所述待处理日志的特征数据和所属设备信息；

将接收到的特征数据和所属设备信息作为所述待处理日志的标签数据，将所述待处理日志以及所述待处理日志的标签数据存储到所述第一训练样本集中，以对所述第一训练样本集进行更新；

根据所述更新后的第一训练样本集对所述日志解析模型进行更新。

6.一种网络攻击行为预测的装置，其特征在于，包括：

日志解析模块，用于根据日志解析模型对待处理日志进行特征提取和识别，以获得所述待处理日志的特征数据和所属设备信息；

聚合填充模块，用于根据所述待处理日志的特征数据和所属设备信息确定安全事件数据；

预测处理模块，用于根据所述安全事件数据和攻击预测模型预测是否发生网络攻击行为；

网络攻击行为预测的装置还包括：日志解析模型训练模块；

所述日志解析模型训练模块用于：

获取第一训练样本集和第一测试样本集，其中所述第一训练样本集中的每个第一训练样本和所述第一测试样本集中的每个第一测试样本的样本数据为包括已确定的网络设备生成的日志以及该日志的标签数据，所述标签数据包括日志的特征数据和所属设备信息；采用第一训练样本对日志解析模型进行训练，并采用第一测试样本对日志解析模型进行测试，直到日志解析模型收敛，以获得优化的日志解析模型。