[发明专利]基于主机网络行为的异常检测方法和装置

摘要

本发明公开了一种基于主机网络行为的异常检测方法和装置。其中，该方法包括：根据历史异常网络行为，采集至少一个主机中每个主机的网络行为数据；对网络行为数据进行多维度分析，得到每个主机在至少一个维度中各维度上的维度数据；确定维度数据中的异常维度数据；针对每个主机，将异常维度数据与预定义规则进行匹配，确定是否发生异常网络行为，并在确定发生异常网络行为的情况下，确定异常维度数据对应的异常网络行为，其中，预定义规则用于根据异常维度数据确定是否发生异常网络行为以及在确定发生异常网络行为的情况下，确定异常维度数据对应的异常网络行为。本发明解决了现有技术中一些异常无法通过单会话/连接检测的技术问题。

主权项

1.一种基于主机网络行为的异常检测方法，其特征在于，包括：根据历史异常网络行为，采集至少一个主机中每个主机的网络行为数据；对所述网络行为数据进行多维度分析，得到每个主机在至少一个维度中各维度上的维度数据；确定所述维度数据中的异常维度数据；按照周期性对所述异常维度数据进行分组；针对每个主机，将所述异常维度数据与预定义规则进行匹配，确定是否发生异常网络行为，并在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为，其中，所述预定义规则用于根据所述异常维度数据确定是否发生所述异常网络行为以及在确定发生所述异常网络行为的情况下，确定所述异常维度数据对应的所述异常网络行为；其中，将所述异常维度数据与预定义规则进行匹配，包括：将处于同一个周期的所述异常维度数据与所述预定义规则进行匹配。