[发明专利]基于可信度的内网安全威胁多模型协同防御方法

权利要求书

1.内网安全威胁智能分析方法，其特征在于，包括：

第1、多模型不一致性得分的计算，包括如下步骤：

第1.1步、生成日志模板集，获得日志的特征值；

第1.2步、模板预处理，将日志根据不同事件分块；

第1.3步、特征提取，生成特征矩阵；

第1.4步、训练集不一致性得分计算；

第1.5步、多个模型各自对待测日志模板集进行不一致性度量；

第2、使用统计学习算法计算模型预测结果的可信度；

计算各模型预测结果的P-Value，根据P-Value最终得到预测结果的可信度；

第3、多模型进行协同防御，共同预测某行为的恶意程度；

基于P-Value的结果，根据用户给出的最大出错概率，使用简单投票的方式对多模型预测结果进行融合，达到协同防御。

2.根据权利要求1所述的内网安全威胁智能分析方法，其特征在于，第1.1步包括：

第1.1.1、首先预处理原始日志生成日志流集合，利用日志解析算法f对日志流集合进行处理，得到日志模板集合T；

第1.1.2、日志解析的输入：原始日志流集X，日志解析算法集合G：

①日志流集合X：包含n个日志块x_j，j∈{1,2，…，n}，X＝{x₁，…，x_n}；

②日志解析算法集合F：包含m个日志解析算法f_k,k∈{1,2,…,m},F＝{f₁,…，f_m}；该算法集合的输入均为日志流集合，返回为日志模板集T；

第1.1.3、输出m个日志模板集合T_m,k∈{1,2,…，m},T＝{T₁,…,T_m}；其中每个日志模板集合T_k包含q个日志模板t_kb，b∈{1,2,…,q},T_k＝{t_k1，…,t_kq}。

3.根据权利要求2所述的内网安全威胁智能分析方法，其特征在于，第1.2步包括：

第1.2.1、对每一个异构的日志解析算法所生成的日志模板集合，首先按照日志模板内容中所包含的block_id进行分块，再按照用户给定的分割比例和分割方式划分为训练集和测试集；

第1.2.2、预处理的输入：日志模板集合T，包含m个日志模板集合T_k,k∈{1,2,…,m},T＝{T₁,…,T_m}；其中每个日志模板集合T_k包含q个日志模板t_kb，b∈{1,2,…,q},T_k＝{t_k1,…,t_kq}；

第1.2.3、预处理的输出：包含m个按block_id分块的日志块集合B_k，k∈{1,2,…,m}，其中每个日志块集合都含有r个日志块b_ki，i∈{1,2,...,r}，B_k＝{b_k1,...,b_kr}；且每个日志块集合都被分为训练集C_k，k∈{1,2,···,m}，其中每个训练集集合都含有h个日志块c_ki，i∈{1,2,...,h}，C_k＝{c_k1,...,c_kh}，以及测试集D_k，k∈{1,2,...,m}，其中每个测试集集合都含有l个日志块d_ki，i∈{1,2,...,l}，D_k＝{d_k1,...,d_kl}，B_k＝{C_k,D_k}。