[发明专利]一种基于用户画像的内部威胁预警方法

说明书

本发明涉及电通信领域，公开了一种基于用户画像的内部威胁预警方法，包括获取数据并进行预处理，得到内在特征数据；基于内在特征数据使用层次聚类方法进行用户画像，得到用户组；对于所述用户组，在发生内部威胁攻击时进行预警。针对内部用户存在多样性的问题，提出使用层次聚类作为内部用户画像的方法，提高了画像效果的精准性，针对用户内在特征数据存在定量和定性两种不同类型的数据，传统的聚类算法大多使用欧氏距离或者余弦相似度等单一的相似度度量方式，不能很好的应用于用户画像中，提出对定量和定性数据分别计算属性相似度并加权求和的方式作为相似度度量方法，提高了聚类效果的准确性。

技术领域

本发明涉及电通信领域，尤其涉及一种基于用户画像的内部威胁预警方法。

背景技术

除了传统的主机和网络行为数据之外，内部威胁研究人员越来越多的探索用户内在特征数据与内部威胁的联系。在现实网络环境中，用户的性格、经历可能大不相同，用户类型多种多样，特提出使用层次聚类的方法队用户进行内在特征属性的画像，层次聚类无需事先指定聚类数目，并且能够根据需要表现数据的层次关系，在用户画像领域中能够发现用户间的层次关系。用户画像领域中，用户存在定性和定量两种不同类型的数据，而传统的层次聚类算法中，属性相似度计算大多使用单一的度量方式，如直接应用于用户画像领域的异构数据会导致聚类效果不精确，画像效果不准确，特提出定量和定性数据综合计算的属性相似度计算方法。

发明内容

本发明的目的在于提供一种基于用户画像的内部威胁预警方法，旨在解决现有方法画像效果和聚类效果的精准性较低的问题。

为实现上述目的，本发明提供了一种基于用户画像的内部威胁预警方法，包括：获取数据并进行预处理，得到内在特征数据；基于内在特征数据使用层次聚类方法进行用户画像，得到用户组；对于所述用户组，在发生内部威胁攻击时进行预警。

其中，所述获取数据并进行预处理，得到内在特征数据的具体步骤为：获取实验数据；基于spark平台采用用户名为关键词并行化提取数据集中每个用户对应的内在数据；对于每个用户，提取对应的内在特征属性数据，并归一化处理。

其中，所述实验数据采用卡内基·梅隆大学的CERT部门提出的内部威胁测试数据集。

其中，所述内在特征属性数据包括业务属性数据和个人属性数据。

其中，所述业务属性数据包括角色、项目、业务单元、功能单元、部门、小组和所属主管，所述个人属性数据包括开放性、责任性、外倾性、宜人性和情绪性。

其中，所述使用层次聚类方法进行用户画像，得到用户组的具体步骤为：对于个人属性数据，基于欧式距离计算第一属性相似度；对于业务属性数据，基于相同程度计算第二属性相似度；基于第一属性相似度和第二属性相似度计算总属性相似度；基于轮廓系数确定层次聚类的最终用户组数。

本发明的一种基于用户画像的内部威胁预警方法，包括获取数据并进行预处理，得到内在特征数据；基于内在特征数据使用层次聚类方法进行用户画像，得到用户组；对于所述用户组，在发生内部威胁攻击时进行预警。针对内部用户存在多样性的问题，提出使用层次聚类作为内部用户画像的方法，提高了画像效果的精准性，针对用户内在特征数据存在定量和定性两种不同类型的数据，传统的聚类算法大多使用欧氏距离或者余弦相似度等单一的相似度度量方式，不能很好的应用于用户画像中，提出对定量和定性数据分别计算属性相似度并加权求和的方式作为相似度度量方法，提高了聚类效果的准确性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的第一攻击者分布图；

图2是本发明的第二攻击者分布图；