[发明专利]入侵操作检测方法、装置、设备及计算机可读存储介质

摘要

本发明公开了一种入侵操作检测方法、装置、设备及计算机可读存储介质，在根据每个数据点的局部离群因子检测日志文件中的入侵操作时，为了避免查找k近邻时计算距离矩阵所需的计算量，利用网格的记忆性，即：距离目标网格中的数据点最近的k个其他数据点，一定在该目标网格或在该目标网格的最近邻接网格中；从而利用网格的记忆性来查找各个数据点的k近邻，避免了传统算法查找k近邻时需要计算距离矩阵，减少了计算量，加快了离群点的检测速度，从而减少了计算机内存需求，提高入侵检测的检测效率。

主权项

1.一种入侵操作检测方法，其特征在于，包括：S101、获取目标主机的日志文件，将所述日志文件作为待检测数据集，所述待检测数据集中每个数据点的n维数据值与所述日志文件中每个操作的n维操作数据相对应；S102、利用所述待检测数据集中每个数据点的n维数据值，建立与所述待检测数据集对应的n维数据空间，所述n维数据空间由边长相等且互不相交的网格组成，将所述待检测数据集中每个数据点映射到所述n维数据空间的网格内，并确定待检测的目标网格；S103、检测目标网格内的数据点个数是否小于K+1；其中，K为k近邻参数值；若是，则将目标网格作为中心网格，执行S104；若否，则执行S105；S104、查找中心网格的邻接网格，将所述中心网格和所述邻接网格组合生成重组网格，并检测所述重组网格内的数据点个数是否小于K+1；若是，则将重组网格作为中心网格，继续执行S104；若否，则执行S105；S105、计算目标网格内每个数据点的局部离群因子；若所述n维网格内存在未检测的网格，则从未检测的网格内重新选取目标网格，并继续执行S103；若所述n维网格内不存在未检测的网格，则执行S106；S106、将局部离群因子大于预定阈值的数据点作为异常数据点，将所述异常数据点对应的操作作为入侵操作。