[发明专利]基于大数据技术的网络异常行为检测方法

说明书

本发明涉及网络安全技术领域，具体是基于大数据技术的网络异常行为检测方法，包括以下步骤：S1.对ATP攻击的方法进行分析和总结；S2.从分析和总结中进行提取出有针对性的特征，并建立模型；S3.基于训练数据，采用有监督或无监督的方法对模型进行训练；S4.采用测试数据或真实数据对模型进行验证；S5.将错误的结果经过调整特征参数后反馈到模型训练环节；S6.将正确的验证结果进行输出，在S2中，采用大数据中主机上的单个应用，进行建立细粒度模型。本发明与传统建模对象不同，为基于大数据技术进行建立细粒度模型，可以基于单个主机，甚至主机上的单个应用建立细粒度模型，使得模型对异常检测能力有足够的灵敏度。

技术领域

本发明涉及网络安全技术领域，具体是基于大数据技术的网络异常行为检测方法。

背景技术

在互联网迅速普及当中，人们在感受网络所带来的便利的同时，也面临着各种各样的进攻和威胁：机密泄漏、数据丢失、网络滥用、身份冒用、非法入侵等。网络与系统存在的漏洞给攻击者带来了可乘之机，随着计算机技术的不断发展，新的攻击层出不穷，给政府、银行甚至军事系统带来了极大的损失。

中国专利号201611153838.X提供一种基于攻击范式的互联网异常行为检测方法与系统，属于网络安全技术领域。包括以下步骤：步骤A、基于有限状态机创建攻击范式库；步骤B、基于异常行为创建网络节点信誉库；步骤C、基于攻击范式库与节点信誉库检测网络攻击。本发明的优点是使得能够快速检测网络异常行为，快速精确地定位互联网攻击路径，以保证互联网应用的安全性，给网络用户一个安全的互联网应用环境。

上述的201611153838.X专利中，虽然能够实现对网络异常行为进行检测，但是其未采用大数据进行建模，建模粒度较大，导致对异常检测的灵敏度低，且特征选取维度较低，导致无法获取丰富的特征参数，使得攻击者容易隐藏，而且为对大量的历史流量样本进行训练，导致检测能力不够精确。因此，亟需设计基于大数据技术的网络异常行为检测方法来解决上述的问题。

发明内容

本发明的目的在于提供基于大数据技术的网络异常行为检测方法，以解决上述背景技术中提出的灵敏度低、攻击者容易隐藏、检测能力不够精确的问题。

本发明的技术方案是：基于大数据技术的网络异常行为检测方法，包括以下步骤：

S1.对ATP攻击的方法进行分析和总结；

S2.从分析和总结中进行提取出有针对性的特征，并建立模型；

S3.基于训练数据，采用有监督或无监督的方法对模型进行训练；

S4.采用测试数据或真实数据对模型进行验证；

S5.将错误的结果经过调整特征参数后反馈到模型训练环节；

S6.将正确的验证结果进行输出。

进一步地，所述S2中，采用大数据中主机上的单个应用，进行建立细粒度模型。

进一步地，所述S2中，对大数据中的建模对象的时空维度、行为维度等方面抽取足够丰富的特征参数。

进一步地，所述S3中，对大数据的历史流量数据样本机进行提取的参数和模型并进行充分训练。

进一步地，所述检测方法还包括数据采集层、储存管理层、入侵行为分析挖掘层和展示及配置管理层。

进一步地，所述数据采集层包括日志采集、流量采集、精确数据采集以及外部数据支撑。

进一步地，所述储存管理层包括结构化数据储存和非结构化数据储存。

进一步地，所述入侵行为分析层包括特征提取、基于特征的统计分析、模型训练和取证溯源。

进一步地，所述配置管理层包括报表管理和运维管理。