[发明专利]基于多源安全检测框架的机器学习场景检测方法及系统

权利要求书

1.一种基于多源安全检测框架的机器学习场景检测方法，其特征在于，所述方法包括：

根据安全威胁的特征从多源安全检测框架中选取基于关系代数的基础算子以及机器学习算子，所述多源安全检测模型为利用预定义的检测算子组合得到检测策略以对各种来源数据进行安全检测的统一检测框架；

根据关系代数的基础算子以及机器学习算子构建检测策略；

基于检测策略进行机器学习场景的安全威胁检测；

所述根据关系代数的基础算子以及机器学习算子构建检测策略包括：根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略；根据机器学习算子构建用于对检测对象进行异常检测的形式化检测策略；

若机器学习场景为异常偏离场景，根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略包括：根据选择算子、分组算子和辅助函数构建线上学习数据集筛选、分组、统计、求期望的检测策略；所述检测策略为：首先需要利用选择算子从相关日志数据中获取线上学习数据集并按日期进行分组和计数：σ_f1(R)→R₁，π_f2(R₁)→R₂，count(R₂)→R₃

其中σ为选择算子，π为投影算子，f_i为过滤条件，R为检测对象，R_i为数据集；形成集类并将集类中的所有元素合并成集合R₃，然后再将R₃中的相关元素的所有计数求期望：如果s的值和相关需要检测的线上学习数据集在一个时间段出现的数量出现偏差大于预设阈值时则认为出现异常；

若机器学习场景为相似度异常场景，所述根据关系代数的基础算子以及机器学习算子构建检测策略包括：根据选择算子、投影算子、分组算子、膨胀算子、辅助函数构建的线上学习数据集筛选、分组、增加属性、集合并的检测策略；

若机器学习场景为序列异常场景，所述根据关系代数的基础算子以及机器学习算子构建检测策略包括：根据选择算子、投影算子、相似度算子、辅助函数构建线上学习数据集筛选、分组、集合并、统计、求分布的检测策略。

2.根据权利要求1所述的基于多源安全检测框架的机器学习场景检测方法，其特征在于，机器学习场景包括异常偏离场景、相似度异常场景、序列异常场景。

3.根据权利要求2所述的基于多源安全检测框架的机器学习场景检测方法，其特征在于，所述根据关系代数的基础算子以及机器学习算子构建检测策略包括：

根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略；

根据机器学习算子构建用于对检测对象进行异常检测的形式化检测策略。

4.根据权利要求3所述的基于多源安全检测框架的机器学习场景检测方法，其特征在于，所述机器学习场景为异常偏离场景，所述根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略包括：

根据选择算子、分组算子和辅助函数构建线上学习数据集筛选、分组、统计、求期望的检测策略。

5.根据权利要求3所述的基于多源安全检测框架的机器学习场景检测方法，其特征在于，所述机器学习场景为相似度异常场景，所述根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略包括：

根据选择算子、投影算子、分组算子、膨胀算子、辅助函数构建线上学习数据集筛选、分组、增加属性、集合并的检测策略。

6.根据权利要求3所述的基于多源安全检测框架的机器学习场景检测方法，其特征在于，所述机器学习场景为序列异常场景，所述根据基于关系代数的基础算子构建用于线上学习数据集选择和/或预处理的形式化检测策略包括：

根据选择算子、投影算子和辅助函数构建线上学习数据集筛选、分组、集合并、统计、求分布的检测策略。