[发明专利]一种基于孪生网络的内部威胁的检测方法及系统

说明书

本发明涉及一种基于孪生网络的内部威胁的检测方法及系统，其方法包括：S1：获取内部威胁测试数据集进行预处理，构建样本集，将样本集划分为训练集、待检测样本集和标准样本集；S2：从训练集随机选取一个样本对及其类别标签构成输入三元组，将三元组输入孪生网络模型，计算得到的两个二维样本向量的欧式距离，并根据预设阈值，以判定二者是否属于同一类别；步骤S3：分别从待检测样本集和标准样本集各取一个样本，输入训练好的孪生网络模型，判断二者是否属于同一类别，从而确定待检测样本的类别。本发明提供的检测方法，全面地分析用户行为，实现更加准确地内部威胁检测，且对于数据集是否平衡不敏感，提高了系统的智能性。

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于孪生网络的内部威胁的检测方法及系统。

背景技术

随着科学技术的飞速发展，越来越多的企业和组织借助计算机网络实现资源共享、信息交换、互操作等运营管理方式，但随之而来的还有无法估量的网络安全威胁。随着防火墙、防病毒软件、入侵检测等安全产品的广泛应用，企业逐渐可以应对网络外部产生的安全威胁，但由内部人员造成安全威胁是企业和组织难以预料和防范的。因为内部威胁的主要攻击者是企业或组织员工(包括在职和离职)、承包商、商业伙伴以及第三方的服务提供方等，他们更加了解企业内部结构，具有企业和组织的系统、网络、数据的访问权限，所以内部威胁具有更高的隐蔽性、危险性、多元性，外部的安全防御手段对其几乎不起作用。因此，当内部人员变得不再可靠时，真正的解决方法就是设计构建一种有效的内部威胁检测方法。

为了应对内部威胁，目前的解决方法大致可以分为两类。第一类是特征工程和分类器的结合。具体来说，研究人员通过特征工程从原始日志中提取频率或统计特征，并将其输入到机器学习或深度学习的分类器中。但随着企业规模不断扩大和内部复杂性的提高，网络异常事件占据极小比例，该方法逐渐展现出弊端。首先是特征工程高度依赖于专家领域知识，这使得特征提取过程既耗时又昂贵。其次，由于内部威胁数据集的高度不平衡，分类器的效果并不稳定。最后，提取到的数值特征难以关联和融合多个对数域的潜在信息。第二类是应用异常检测来解决内部威胁问题。为了避免数据集的不平衡性，一些方法建立正常行为模式库，结合社会学以及心理学对内部人员进行威胁建模，利用机器学习相关的算法分析建模正常员工的行为日志，对威胁员工进行模式匹配，帮助安全管理者及时发现内部网络中的异常事件，快速做出判断和响应。尽管该方法在一定程度上能够对内部威胁检测起到一定的作用，但它只能评估某个行为是否正常，对于行为模式库中未曾出现的正常行为可能会产生误判，从而导致高的误报率，浪费企业资源。

综上所述，由于内部威胁数据的高度不平衡性，目前的方法及系统无法有效地解决内部威胁问题。

发明内容

为了解决上述技术问题，本发明提供一种基于孪生网络的内部威胁的检测方法及系统。

本发明技术解决方案为：一种基于孪生网络的内部威胁的检测方法，包括：

步骤S1：获取内部威胁测试数据集进行预处理，将用户每天的行为活动表示为灰度图，构建样本集，将所述样本集划分为训练集、待检测样本集和标准样本集；

步骤S2：从所述训练集随机选取一个样本对(X₁,X₂)及其类别标签Y构成输入三元组(X₁,X₂,Y)，将所述三元组输入孪生网络模型，依次经过卷积层、池化层和全连接层，得到二维样本向量；计算两个所述二维样本向量的欧式距离，并根据预设阈值，以判定二者是否属于同一类别；将所述孪生网络模型输出类别与所述类别标签Y进行比对，构建对比损失函数计算损失并迭代训练模型，直到得到训练好的孪生网络模型；

步骤S3：分别从所述待检测样本集和所述标准样本集各取一个样本，输入所述训练好的孪生网络模型，判断二者是否属于同一类别，从而确定待检测样本的类别。

本发明与现有技术相比，具有以下优点：