[发明专利]一种基于多维度信息的内部网络异常检测方法及系统

说明书

本发明公开了一种基于多维度信息的内部网络异常检测方法及系统，包括获取带时间戳的流量数据，流量数据包括业务特征信息和用户交互流量；基于时间戳获取历史时间信息和事件链信息，基于用户交互流量信息获取拓扑信息，对业务特征信息、历史时间信息、事件链信息和拓扑信息进行预处理；输入不同的压缩网络以获c得业务特征低维信息、事件链低维信息和拓扑低维信息；输入估计网络以进行密度估计获得流量数据的能量；基于自适应判别能量阈值和流量数据的能量判断内部网络是否异常，若流量数据的能量大于自适应判别能量阈值，则判定内部网络出现异常；该方法对异常具有更全面的解释性，可以更好地发现隐蔽的内部攻击行为。

技术领域

本发明涉及异常数据检测方法的技术领域，具体涉及一种基于多维度信息的内部网 络异常检测方法及系统。

背景技术

传统的网络安全技术存在以下缺陷：

大型集团公司都会设置内部网络防御系统，制定防范机制来保护内部系统不受外部 攻击；早期可以通过物理隔绝的方式保障网络安全，但在信息化时代中，即便是这样的高 标准保密单位也会存在大量卫星手持机、外部主机的接入，网络边界正在逐步弱化，仅仅 采用“防火墙+入侵检测+防病毒网关+网闸”的边界防护模式，无法有效防范基于“供应链预先植入+社会工程学攻击”的新型攻击模式；现有的内部网络异常检测思路通常是将用户日志生成特征向量，然后对特征向量集进行异常检测得到异常用户；检测流程中缺少对异常行为的分析与解释，信息的利用也不够全面。

发明内容

针对上述问题，本发明的一个目的是提供一种基于多维度信息的内部网络异常检测 方法，该方法基于业务特征信息、事件链信息、拓扑信息以及历史时间信息来分析内部网 络中是否存在的异常，对异常具有更全面的解释性，在此基础上识别高级攻击在内网横向 移动时对业务特征产生的影响，可以更好地发现隐蔽的内部攻击行为。

本发明的第二个目的是提供一种基于多维度信息的内部网络异常检测系统。

本发明所采用的第一个技术方案是：一种基于多维度信息的内部网络异常检测方法， 包括以下步骤：

S100：获取带时间戳的流量数据，所述流量数据包括业务特征信息和用户交互流量 信息；

S200：基于所述时间戳获取历史时间信息和事件链信息，基于所述用户交互流量信 息获取拓扑信息，对所述业务特征信息、所述历史时间信息、所述事件链信息和所述拓扑 信息进行预处理；

S300：将经过预处理后的所述业务特征信息、所述事件链信息和所述拓扑信息输入 不同的压缩网络以实现数据降维获得业务特征低维信息、事件链低维信息和拓扑低维信息；

S400：将业务特征低维信息、历史时间信息、事件链低维信息和拓扑低维信息进行整合，并输入估计网络以进行密度估计获得所述流量数据的能量；

S500：基于自适应判别能量阈值和所述流量数据的能量判断内部网络是否异常，若 所述流量数据的能量大于所述自适应判别能量阈值，则判定内部网络出现异常。

优选地，所述步骤S200中基于时间戳获取历史时间信息包括：

分别计算当前时刻的业务特征信息和一定时间前的业务特征信息之间的欧氏距离和 余弦相似度，以获得历史时间信息。

优选地，所述步骤S200中基于时间戳获取事件链信息包括：

基于所述时间戳将流量数据按照时间序列从左到右依次排列以获得数据集合，将所述 数据集合按照时间序列进行打包封装以获得多个事件链数据包；

将每个事件链数据包中的数据输入深度自动编码器以输出多个子集；将所有子集进行 重组得到新数据集合，所述新数据集合中的流量数据样本包含了基于时间序列的事件链信 息。

优选地，所述步骤S200中基于用户交互流量信息获取拓扑信息包括：