[发明专利]一种基于多维度信息的内部网络异常检测方法及系统

权利要求书

1.一种基于多维度信息的内部网络异常检测方法，其特征在于，包括以下步骤：

S100：获取带时间戳的流量数据，所述流量数据包括业务特征信息和用户交互流量信息；

S200：基于所述时间戳获取历史时间信息和事件链信息，基于所述用户交互流量信息获取拓扑信息，对所述业务特征信息、所述历史时间信息、所述事件链信息和所述拓扑信息进行预处理；

S300：将经过预处理后的所述业务特征信息、所述事件链信息和所述拓扑信息输入不同的压缩网络以实现数据降维获得业务特征低维信息、事件链低维信息和拓扑低维信息；

S400：将业务特征低维信息、历史时间信息、事件链低维信息和拓扑低维信息进行整合，并输入估计网络以进行密度估计获得所述流量数据的能量；

S500：基于自适应判别能量阈值和所述流量数据的能量判断内部网络是否异常，若所述流量数据的能量大于所述自适应判别能量阈值，则判定内部网络出现异常；

其中，所述步骤S200中对所述业务特征信息进行预处理包括以下子步骤：

S221：将所述业务特征信息进行one-hot编码；

S222：对经过one-hot编码的业务特征信息进行数值特征归一化处理；

所述步骤S200中对所述历史时间信息、所述事件链信息和所述拓扑信息进行预处理包括：

对历史时间信息进行数值特征归一化处理，对事件链信息和拓扑信息均采用Min-Max算法进行数值特征归一化处理。

2.根据权利要求1所述的内部网络异常检测方法，其特征在于，所述步骤S200中基于时间戳获取历史时间信息包括：

分别计算当前时刻的业务特征信息和一定时间前的业务特征信息之间的欧氏距离和余弦相似度，以获得历史时间信息。

3.根据权利要求1所述的内部网络异常检测方法，其特征在于，所述步骤S200中基于时间戳获取事件链信息包括：

基于所述时间戳将流量数据按照时间序列从左到右依次排列以获得数据集合，将所述数据集合按照时间序列进行打包封装以获得多个事件链数据包；

将每个事件链数据包中的数据输入深度自动编码器以输出多个子集；将所有子集进行重组得到新数据集合，所述新数据集合中的流量数据样本包含了基于时间序列的事件链信息。

4.根据权利要求1所述的内部网络异常检测方法，其特征在于，所述步骤S200中基于用户交互流量信息获取拓扑信息包括：

在时间窗口内，基于所述用户交互流量信息形成方阵，分别将方阵中的每一列进行相加从而获得列向量，将所述列向量定义为流量拓扑信息。

5.根据权利要求1所述的内部网络异常检测方法，其特征在于，所述压缩网络采用深度自编码网络；所述估计网络为高斯混合模型。

6.根据权利要求1所述的内部网络异常检测方法，其特征在于，所述步骤S500中的自适应判别能量阈值通过以下公式获得：

式中，T为自适应判别能量阈值；E(i)为升序排序后第i个流量数据样本的能量值；i为流量数据样本数量N乘以(1-ρ)，ρ为异常数据的比例。