[发明专利]一种基于长时间行为分析的VPN账号失陷智能检测模型

说明书

本发明公开了一种基于长时间行为分析的VPN账号失陷智能检测模型，包括如下检测流程：步骤一、数据读取阶段：从大数据分布式存储系统读取汇总后的VPN账号登录数据；步骤二、数据预处理阶段：对读取的数据进行数据清洗操作；步骤三、特征工程阶段：利用数据预处理后的数据生成建立推测VPN账号失陷模型所需的多维特征；步骤四、模型训练阶段：训练评分模型和常用列表模型；步骤五、模型预测阶段：使用训练好的模型，以及读取的VPN账号数据，预测其中存在不同风险程度的失陷VPN账号。本发明既不依赖安全数据中的正负例样本标注，省去了大量的人力和时间成本，又可以切实结合VPN账号失陷的业务场景，有效提高召回率和准确率。

技术领域

本发明涉及一种基于长时间行为分析的VPN账号失陷智能检测模型。

背景技术

自从2017年6月1日，国家施行《中华人民共和国网络安全法》来，企业对自身安全的重视也从聚焦于漏洞、APT事件、主机失陷等各类威胁的网络安全，进一步深入到对包括员工信息泄露、违规操作、VPN账号失陷等的IT办公安全，以及再深入一层的业务安全。对于企业的业务安全来说，IT办公安全是最后一道屏障，其中如果账号失陷，便标志着IT办公安全的屏障被突破，直接威胁到企业的业务安全。所以，对企业账号失陷的预警和告警便显得尤为重要。

但是，企业自身的IT办公环境中，充斥着大量的员工信息，VPN账号信息等数据，尤其当企业规模壮大之后，员工的信息、VPN账号等数据会呈现数量级的增大。如何从海量的数据中检测出已经失陷的VPN账号，以及预测出失陷风险较大的VPN账号，就成了企业迫切需要解决的企业安全问题之一。

从以往的安全方式、手段来看，人们长期以来都依赖于已知的规则来做检测。在已知的规则中，规则阈值都是人为设定的，往往召回率比较低，准确率也有待提高。所以，各个安全厂商纷纷开始尝试使用机器学习算法的方式，在海量数据中，从聚焦数据内容本身到内容上下文关系、行为分析等特征，从单点单条检测到多维度大数据分析来检测失陷VPN账号和预测失陷高风险的VPN账号，以此应对企业与日俱增的数据体量，以及提高失陷VPN账号检测的召回率和准确率。

可是，在实际的企业安全数据中，绝大部分时间都是正常的操作，只有少数的时间段内会发成异常的操作，或者遭到攻击。所以在企业安全数据中，负例样本相对较少，正负例样本极不平衡，而且运维人员如何在海量的数据中，发现、确认在较短时间段内发生的异常操作或者遭受攻击的数据，进行标注，也是一项非常耗费人力和时间的事情，很少有企业愿意在这上面花费人力和资源。所以，在没有充足线上业务数据样本的前提下，利用分类、回归等有监督学习算法来训练模型，并使用此模型检测失陷VPN账号的方式，得到检测结果的召回率和准确率都并不尽如人意。而不依赖样本的无监督学习算法，如聚类算法、时间序列预测算法等，算法本身的准确度就并不高，往往需要结合其他分类算法一起使用，才能得到比较令人满意的效果。

发明内容

为了克服现有技术的上述缺点，本发明提出了一种基于长时间行为分析的VPN账号失陷智能检测模型，该模型针对VPN账号失陷的实际过程，提炼出多维度的特征，并以此建立多重评分函数，使用动态或静态阈值，评判每一个VPN账号的失陷风险。使用这种方式，既不依赖安全数据中的正负例样本标注，省去了大量的人力和时间成本，又可以切实结合VPN账号失陷的业务场景，有效提高召回率和准确率。并且，模型还通过数个月的较长时间窗口，使用循环神经网络RNN算法或强化学习的方式，持续学习每一个VPN账号的登录习惯，形成每一个VPN账号的常用列表，以实现对VPN账号失陷评估的更准确判断。

本发明解决其技术问题所采用的技术方案是：一种基于长时间行为分析的VPN账号失陷智能检测模型，包括如下检测流程：

步骤一、数据读取阶段：从大数据分布式存储系统读取汇总后的VPN账号登录数据；

步骤二、数据预处理阶段：对读取的数据进行数据清洗操作；

步骤三、特征工程阶段：利用数据预处理后的数据生成建立推测VPN账号失陷模型所需的多维特征；