[发明专利]一种基于门控循环单元的内部威胁检测方法和装置

说明书

本发明涉及一种基于门控循环单元的内部威胁检测方法和装置。该方法的步骤包括：解析用户审计日志以获取用户动作信息，将每个用户的动作按照时间先后顺序构建用户动作序列；利用门控循环单元GRU从用户动作序列中提取用户行为的时序特征；将提取的时序特征输入LR分类器进行分类，判别其为正常或异常，从而实现内部威胁检测。本发明融合多域的用户活动记录以全面地刻画用户行为，GRU可以更好地捕获用户动作序列的长期依赖，该方案能够实现用户行为细粒度的分析并提高了内部威胁检测的准确率。

技术领域

本发明属于网络安全技术领域，具体涉及一种基于门控循环单元的内部威胁检测方法和装置。

背景技术

随着计算机和互联网技术的飞速发展，信息网络已经深入到企业、组织和个人生活的方方面面，极大的推动了社会经济的发展。虽然互联网技术给人们的生活带来了极大的便利，但随之而来的网络安全问题也日益突出。企业和组织为了避免它们的信息系统遭受来自黑客的网络攻击和减轻网络攻击带来的危害，花费巨资安装了防火墙、入侵检测系统、防病毒软件和一体化安全网关等安全产品。这些安全产品一般部署在网络的安全边界处，将内部网络和外部网络进行隔离，防止外部攻击者进入内部系统发起攻击。然而，当攻击者来自组织或者企业内部时，由于攻击者在安全边界内，这些安全防护措施将不再有效。此外，内部攻击者拥有组织的内部知识和合法的访问权限，能够有效地规避安全检测机制。虽然内部攻击的发生次数远小于外部攻击的数量，但是由于内部威胁更有针对性和隐蔽性，内部威胁对组织造成的危害在一定程度上比外部攻击造成的危害更严重。

内部威胁不同于外部威胁，内部攻击者拥有信息系统的合法权限和内部知识，使得其难以检测发现、难以防范。因此，内部威胁检测的关键是通过建立用户正常行为模型，对比检测出偏移该模型的异常行为。目前，研究人员已经提出了很多方法对内部攻击者的恶意行为进行检测和识别。代表性工作主要分为基于机器学习的检测方法和基于深度学习的检测方法两类。其中，基于机器学习的检测方法使用机器学习模型对用户的正常行为轮廓进行建模，对比检测出偏离正常行为轮廓的异常行为以发现内部威胁。基于深度学习的检测方法使用深度神经网络模型对用户行为进行建模，基本思想是训练深度神经网络模型以预测用户的下一个行为，若预测结果与用户的实际活动没有明显差异，则认为用户行为是正常的，否则，用户行为是异常的。

然而，现有内部威胁检测方法主要使用基于时间聚合的统计数据作为特征，对用户行为的分析粒度比较粗，可能会导致漏报情况的发生。

发明内容

为了克服现有内部威胁检测方法用户行为分析粒度较粗的不足，本发明提供一种基于门控循环单元(Gated Recurrent Unit，GRU)的内部威胁检测方法来提高用户异常行为分类的粒度，降低内部威胁检测的漏报率。

本发明采用的技术方案如下：

一种基于门控循环单元的内部威胁检测方法，包括以下步骤：

解析用户审计日志(即用户在计算机系统中的活动记录)以获取用户动作信息，将每个用户的动作按照时间先后顺序构建用户动作序列；

利用门控循环单元(GRU)从用户动作序列中提取用户行为的时序特征；

将提取的时序特征输入逻辑回归分类器(LR分类器)进行分类，判别其为正常或异常，从而实现内部威胁检测。

进一步地，所述用户审计日志为融合多域的用户审计日志，用以全面地刻画用户行为。

进一步地，所述融合多域的用户审计日志包含5种不同类型的活动：登录/注销、邮件收发、设备使用、文件使用和HTTP访问。

进一步地，所述构建用户动作序列，是基于一天的时间窗口集成用户各域的动作，以时间发生先后为顺序构建每个用户每天的动作序列。

进一步地，所述门控循环单元和所述逻辑回归分类器的训练过程包括：