[发明专利]基于特征迁移的设备异常检测、训练方法、系统和装置

说明书

本发明实施例提供了一种基于特征迁移的设备异常检测、训练方法、系统和装置，该方法，包括：获取第一样本流量集合及第二样本流量集合，利用第一样本流量集合中的样本数据流及设备异常标签，分别对统计特征检测模型、字符特征检测模型及图像特征检测模型训练；分别利用当前的统计特征检测模型、字符特征检测模型及图像特征检测模型，对第二样本流量集合中的样本数据流标记设备异常标签；利用第二样本流量集合中标记设备异常标签的样本数据流，对当前的统计特征检测模型、字符特征检测模型及图像特征检测模型融合训练，得到训练后的统计特征检测模型、字符特征检测模型以及图像特征检测模型，能够降低模型训练成本，从而降低设备异常检测的成本。

技术领域

本发明涉及网络安全技术领域，特别是涉及基于特征迁移的设备异常检测、训练方法、系统和装置。

背景技术

随着互联网技术的发展，网络中接入的设备数量及种类越来越多，例如：手机、PC（Personal Computer，个人计算机）机、平板电脑、笔记本电脑等等。这些设备的接入给人们的生活带来了极大的便利，使得工作效率更加高效，但也存在一些用户因操作不当给网络的安全造成一定的威胁。

针对设备异常的检测场景，可以通过预先训练的深度学习模型对设备的流量数据进行分析，从而判断设备是否异常。然而深度学习模型的训练需要大量标注有标签的流量数据，现有技术中，通过人工标注的方式对流量数据进行标注，并利用海量的人工标注的流量数据对深度学习模型进行训练，从而得到训练好的深度学习模型。

然而采用上述方法，需要耗费大量的人力成本对流量数据进行标注，会造成异常检测模型的训练成本较高，进一步导致设备异常检测成本高的问题。

发明内容

本发明实施例的目的在于提供一种基于特征迁移的设备异常检测、训练方法、系统和装置，以解决上述问题中的至少一项。具体技术方案如下：

第一方面，本发明实施例提供了一种基于特征迁移的设备异常检测模型训练方法，所述方法包括：

获取第一样本流量集合及第二样本流量集合，其中，所述第一样本流量集合中的各样本数据流均标记有设备异常标签，所述第二样本流量集合中的各样本数据流没有标记设备异常标签，针对任一样本数据流，该样本数据流的设备异常标签表示该样本数据流对应的设备的异常情况；

利用所述第一样本流量集合中的样本数据流及设备异常标签，分别对统计特征检测模型、字符特征检测模型及图像特征检测模型进行训练；

分别利用当前的统计特征检测模型、当前的字符特征检测模型及当前的图像特征检测模型，对第二样本流量集合中的样本数据流标记设备异常标签；

利用由当前的统计特征检测模型标记设备异常标签的样本数据流，分别对当前的字符特征检测模型及当前的图像特征检测模型进行训练；利用由当前的字符特征检测模型标记设备异常标签的样本数据流，分别对当前的统计特征检测模型及当前的图像特征检测模型进行训练；利用由当前的图像特征检测模型标记设备异常标签的样本数据流，分别对当前的字符特征检测模型及当前的统计特征检测模型进行训练；得到训练后的统计特征检测模型、训练后的字符特征检测模型以及训练后的图像特征检测模型。

可选地，所述利用所述第一样本流量集合中的样本数据流及设备异常标签，分别对统计特征检测模型、字符特征检测模型及图像特征检测模型进行训练，包括：

在所述第一样本流量集合中选取一个未选取过的样本数据流；

提取当前选取的样本数据流的统计特征、字符特征以及图像特征，其中，所述统计特征表示相应样本数据流的数据统计特征，所述字符特征表示相应样本数据流的应用层字符特征，所述图像特征表示相应样本数据流的数据空间特征；

将当前选取的样本数据流的统计特征输入到统计特征检测模型中得到第一预测结果，根据当前的第一预测结果及当前选取的样本数据流的设备异常标签，调整统计特征检测模型的参数；