[发明专利]基于属性关系图的主机网络行为模式度量方法

摘要

本发明公开了一种基于属性关系图的主机网络行为模式度量方法，其技术方案主要由网络流量采集——主机网络行为模式形式化表征——主机网络行为异常检测——异常判定四个关键步骤组成。通过本发明所设计的技术方案，很好地解决了传统异常检测方法的训练数据难以获取和异常检测行为系统适应能力差的问题，其完全可以有效地应对主机面临的新型威胁和未知异常以及攻击层出不穷的安全防护需求，降低目标攻击对企事业单位造成的损失。

主权项

1.基于属性关系图的主机网络行为模式度量方法，其特征在于，包括以下步骤：(1)采集主机网络流量数据；(2)为主机构建属性关系图，所述的属性关系图包括若干按照任意顺序排列的特征信息，每列特征中不同的值作为一个节点；(3)根据主机之间的网络连接为相邻两列特征的节点建立连接，不相邻的节点不能连接，从而使主机所有的网络流量数据均对应到属性关系图中；(4)在每个时间窗口结束时，从属性关系图和特征的节点中抽取特征值，将固定时间窗口的主机网络行为模式表示成具有多维特征值的基线特征向量矩阵；(5)基于固定时间窗口计算主机网络行为偏离度值，并剔除异常值，形成主机网络行为的偏离度；(6)获取每台主机网络行为模式的偏离度集中趋势，设定时间窗口的偏离度阈值；(7)根据网络流量数据，统计检测时间的固定时间窗口的主机网络行为模式的多维特征值，并汇聚到主机层，形成检测特征向量矩阵；(8)基于检测时间的固定时间窗口计算每台被监控主机的当前网络行为偏离度值；(9)根据步骤(6)设定的时间窗口的偏离度阈值，确定步骤(8)计算的偏离度值是否处于偏离度阈值内，从而判定主机状态是否发生异常。