欢迎光临小豌豆知识网!
当前位置:首页 > 电学技术 > 电通讯技术> 一种流量安全分析挖掘的方法及系统独创技术16857字

一种流量安全分析挖掘的方法及系统

2021-03-24 20:21:32

一种流量安全分析挖掘的方法及系统

  技术领域

  本申请涉及网络安全技术领域,尤其涉及一种流量安全分析挖掘的方法及系统。

  背景技术

  随着全球信息化的不断发展和持续推进,互联网、移动终端、即时通信的不断出现,网络安全威胁激增。不仅如此,随着所面临的最大挑战之一是缺乏具有规模、能够模拟真实环境、制造多种网络攻击场景的平台。为了解决上述问题,需要一种基于场景的分析方法和系统。

  同时,业界通常的检测方法多为单纯检测出网络攻击,基于网络流量来监测攻击行为。但是对于地址分散或以小博大与正常流量难以区分的攻击行为来说,却不能根据指定业务或指定用户,有针对性地检测网络攻击,更不能给出针对性的防御策略。

  因此,急需一种针对性的流量安全分析挖掘的方法及系统。

  发明内容

  本发明的目的在于提供一种流量安全分析挖掘的方法及系统,解决现有的网络攻击检测分析平台多为单纯检测出网络攻击,不能根据指定业务或指定用户,有针对性地检测网络攻击,也不能结合场景分析,给出针对性的防御策略的问题,可针对指定的业务或用户检测攻击和场景挖掘,并加入了模型训练功能,使得检测效果更好。

  第一方面,本申请提供一种流量安全分析挖掘方法,所述方法包括:

  对进入业务系统的数据流量进行分类聚合,所述分类聚合为根据解析后的标识信息,使用不同的聚类算法得到多维集合,所述标识信息包括用户标识信息、业务标识信息、设备标识信息,所述多维集合是指分别根据所述用户标识信息、业务标识信息和设备标识信息提取出隶属于同一数据流的三个特征集;

  根据用户标识信息、业务标识信息和设备标识信息,动态确定所述多维集合对应的三种检测参数和规则,由检测参数和规则得到特征向量加权后的多维检测样本,将所述多维检测样本送入机器学习模型,检测是否包括第一攻击向量;

  获取数据库的历史异常数据,模拟出指定类型的网络攻击流量,所述指定类型的网络攻击流量是指携带预先构造的第二攻击向量;

  将模拟的所述网络攻击流量送入机器学习模型,此时的机器学习模块作为判别器,判别所述网络攻击流量与当前网络流量之间的相似度,当相似度数值随着当前网络流量的变化形成的流量曲线符合预设的图形时,则认定所述机器学习模型能够正确识别出所模拟的网络攻击,所述机器学习模型完成训练;

  当所述机器学习模型检测出所述多维检测样本中包括第一攻击向量时,标记携带所述第一攻击向量的一个或多个特征集为异常,匹配异常特征集所属的维度是用户、业务或设备中的类型,根据异常涉及的类型开始对第一攻击向量进行针对性溯源;

  当所述异常涉及用户类型时,获取数据库的用户关系链,所述用户关系链包括所属部门的同事关系、与公司外部的客户关系、亲戚好友关系、邮件收发关系中的一种或若干种,每一种关系下每一个人为所述用户关系链的一个节点,根据所述用户关系链扩展检测每一个节点涉及的终端、邮箱、文件、即时通信中的一种或若干种,判断是否包括所述第一攻击向量,如果检测到所述第一攻击向量,则标记该节点为攻击轨迹在途点;

  当所述异常涉及业务类型时,根据业务流程规定的前后关系、具体业务动作的经办人,得到业务关系链,每一个经办人、经办人名下的终端、设备、文件、即时通信为所述业务关系链的一个节点,检测每一个节点是否包括所述第一攻击向量,如果是,则标记该节点为攻击轨迹在途点;

  当所述异常涉及设备类型时,获取设备上传输的数据流、用户使用情况、业务办理情况,得到设备关系链,每一个数据包、用户账号、业务动作作为所述设备关系链的一个节点,检测每一个节点是否包括所述第一攻击向量,如果是,则标记该节点为攻击轨迹在途点;

  将所述攻击轨迹在途点、第一攻击向量输入场景挖掘模型,所述场景挖掘模型使用标识信息对应的数据挖掘算法找出所述攻击轨迹在途点、第一攻击向量对应的场景属性,所述场景属性用于描述潜在攻击者的网络行为方式、潜在攻击者的估计数量、预计攻击的时间范围;

  连接所有的攻击轨迹在途点,形成完整的攻击轨迹,不同类型的异常特征集采用差异化显示,所述攻击轨迹可复用包括多个不同维度的异常攻击,溯源得到不同维度的异常攻击的源点;

  管理员针对不同的源点,根据所述场景属性,为所述源点选择对应的防御策略,并根据所述源点的状态动态部署相应的防御策略。

  结合第一方面,在第一方面第一种可能的实现方式中,所述防御策略包括:完全隔离单个设备或用户、完全禁止单项业务、仅拒绝单个设备或用户开展指定的单项业务、仅拒绝单个设备或用户修改数据中的一种或若干种;

  根据网络节点的负载情况自动部署防御策略,若异常攻击的源点负载小于预设的阈值,则直接在源点部署,否则,为源点选择负载小于阈值的邻近网络节点部署,切断源点向外传输的路径;

  当所述邻近网络节点的负载上升大于阈值时,先判断源点负载是否还大于阈值,如果是,为源点切换到第二邻近网络节点部署策略,所述第二邻近网络节点是在源点潜在的传播路径上;

  定期检测源点的负载情况,当负载稳定小于阈值时,则将部署切换回源点。

  结合第一方面,在第一方面第二种可能的实现方式中,所述溯源还包括形成攻击溯源图,得出针对不同业务或不同用户的风险评估、防御策略,指导管理员针对业务或用户进行针对性的风险消除。

  结合第一方面,在第一方面第三种可能的实现方式中,所述机器学习模型包括神经网络模型。

  第二方面,本申请提供一种流量安全分析挖掘系统,所述系统包括处理器以及存储器:

  所述存储器用于存储程序代码,并将所述程序代码传输给所述处理器;

  所述处理器用于根据所述程序代码中的指令执行第一方面四种可能中任一项所述的流量安全分析挖掘方法。

  第三方面,本申请提供一种计算机可读存储介质,所述计算机可读存储介质用于存储程序代码,所述程序代码用于执行第一方面四种可能中任一项所述的流量安全分析挖掘方法。

  第四方面,本申请提供一种包括指令的计算机程序产品,当其在计算机上运行时,使得所述计算机执行第一方面四种可能中任一项所述的流量安全分析挖掘方法。

  本发明提供一种流量安全分析挖掘的方法及系统,解决现有的网络攻击检测分析平台多为单纯检测出网络攻击,不能根据指定业务或指定用户,通过使用不同的聚类算法构建多维集合,得到多维检测样本,有针对性地检测网络攻击的问题,可针对指定的业务或用户检测攻击和攻击溯源,结合场景分析,给出针对性的防御策略,并加入了模型训练功能,使得检测效果更好。

  附图说明

  为了更清楚地说明本发明实施例中的技术方案,下面将对实施例中所需要使用的附图作简单地介绍,显而易见地,对于本领域普通技术人员而言,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。

  图1为本发明流量安全分析挖掘方法的大致流程图。

  具体实施方式

  下面结合附图对本发明的优选实施例进行详细阐述,以使本发明的优点和特征能更易于被本领域技术人员理解,从而对本发明的保护范围做出更为清楚明确的界定。

  图1为本申请提供的流量安全分析挖掘方法的大致流程图,所述方法包括:

  对进入业务系统的数据流量进行分类聚合,所述分类聚合为根据解析后的标识信息,使用不同的聚类算法得到多维集合,所述标识信息包括用户标识信息、业务标识信息、设备标识信息,所述多维集合是指分别根据所述用户标识信息、业务标识信息和设备标识信息提取出隶属于同一数据流的三个特征集;

  根据用户标识信息、业务标识信息和设备标识信息,动态确定所述多维集合对应的三种检测参数和规则,由检测参数和规则得到特征向量加权后的多维检测样本,将所述多维检测样本送入机器学习模型,检测是否包括第一攻击向量;

  获取数据库的历史异常数据,模拟出指定类型的网络攻击流量,所述指定类型的网络攻击流量是指携带预先构造的第二攻击向量;

  将模拟的所述网络攻击流量送入机器学习模型,此时的机器学习模块作为判别器,判别所述网络攻击流量与当前网络流量之间的相似度,当相似度数值随着当前网络流量的变化形成的流量曲线符合预设的图形时,则认定所述机器学习模型能够正确识别出所模拟的网络攻击,所述机器学习模型完成训练;

  当所述机器学习模型检测出所述多维检测样本中包括第一攻击向量时,标记携带所述第一攻击向量的一个或多个特征集为异常,匹配异常特征集所属的维度是用户、业务或设备中的类型,根据异常涉及的类型开始对第一攻击向量进行针对性溯源;

  当所述异常涉及用户类型时,获取数据库的用户关系链,所述用户关系链包括所属部门的同事关系、与公司外部的客户关系、亲戚好友关系、邮件收发关系中的一种或若干种,每一种关系下每一个人为所述用户关系链的一个节点,根据所述用户关系链扩展检测每一个节点涉及的终端、邮箱、文件、即时通信中的一种或若干种,判断是否包括所述第一攻击向量,如果检测到所述第一攻击向量,则标记该节点为攻击轨迹在途点;

  当所述异常涉及业务类型时,根据业务流程规定的前后关系、具体业务动作的经办人,得到业务关系链,每一个经办人、经办人名下的终端、设备、文件、即时通信为所述业务关系链的一个节点,检测每一个节点是否包括所述第一攻击向量,如果是,则标记该节点为攻击轨迹在途点;

  当所述异常涉及设备类型时,获取设备上传输的数据流、用户使用情况、业务办理情况,得到设备关系链,每一个数据包、用户账号、业务动作作为所述设备关系链的一个节点,检测每一个节点是否包括所述第一攻击向量,如果是,则标记该节点为攻击轨迹在途点;

  将所述攻击轨迹在途点、第一攻击向量输入场景挖掘模型,所述场景挖掘模型使用标识信息对应的数据挖掘算法找出所述攻击轨迹在途点、第一攻击向量对应的场景属性,所述场景属性用于描述潜在攻击者的网络行为方式、潜在攻击者的估计数量、预计攻击的时间范围;

  连接所有的攻击轨迹在途点,形成完整的攻击轨迹,不同类型的异常特征集采用差异化显示,所述攻击轨迹可复用包括多个不同维度的异常攻击,溯源得到不同维度的异常攻击的源点;

  管理员针对不同的源点,根据所述场景属性,为所述源点选择对应的防御策略,并根据所述源点的状态动态部署相应的防御策略。

  其中,攻击轨迹在途点还包括分析在途点上的若干个异常数据片段之间是否存在逻辑关联包括:分析数据片段所属业务是否存在关联、或业务是否相同,分析相关节点是否在潜在传播路径上,分析数据片段所属用户是否相同、或用户之间是否存在关系链;

  根据所述逻辑关联,辅助溯源结果,得到对应不同业务或不同用户的攻击轨迹的网络攻击面,以及形成攻击溯源图。

  所述根据所述源点的状态动态部署相应的防御策略,就是会根据作为源点的网络节点的负载情况自动部署防御策略。

  在一些优选实施例中,所述防御策略包括:完全隔离单个设备或用户、完全禁止单项业务、仅拒绝单个设备或用户开展指定的单项业务、仅拒绝单个设备或用户修改数据中的一种或若干种;

  根据网络节点的负载情况自动部署防御策略,若异常攻击的源点负载小于预设的阈值,则直接在源点部署,否则,为源点选择负载小于阈值的邻近网络节点部署,切断源点向外传输的路径;

  当所述邻近网络节点的负载上升大于阈值时,先判断源点负载是否还大于阈值,如果是,为源点切换到第二邻近网络节点部署策略,所述第二邻近网络节点是在源点潜在的传播路径上;

  定期检测源点的负载情况,当负载稳定小于阈值时,则将部署切换回源点。

  在一些优选实施例中,所述溯源还包括形成攻击溯源图,得出针对不同业务或不同用户的风险评估、防御策略,指导管理员针对业务或用户进行针对性的风险消除。

  在一些优选实施例中,所述机器学习模型包括神经网络模型。

  在一些优选实施例中,形成攻击溯源图之后,还可以包括:梳理出攻击事件的发生脉络和攻击路径,具体为:

  对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘,建立规则库;

  将疑似攻击的溯源信息与规则库中的信息进行对比,通过传播查询和追溯查询构建溯源图,根据所述溯源图获取攻击事件的发生脉络和攻击路径。

  本申请提供一种流量安全分析挖掘系统,所述系统包括:所述系统包括处理器以及存储器:

  所述存储器用于存储程序代码,并将所述程序代码传输给所述处理器;

  所述处理器用于根据所述程序代码中的指令执行第一方面所有实施例中任一项所述的流量安全分析挖掘方法。

  本申请提供一种计算机可读存储介质,所述计算机可读存储介质用于存储程序代码,所述程序代码用于执行第一方面所有实施例中任一项所述的流量安全分析挖掘方法。

  本申请提供一种包括指令的计算机程序产品,当其在计算机上运行时,使得所述计算机执行第一方面所有实施例中任一项所述的流量安全分析挖掘方法

  具体实现中,本发明还提供一种计算机存储介质,其中,该计算机存储介质可以存储有程序,该程序执行时可包括本发明各个实施例中的部分或全部步骤。所述的存储介质可以为磁碟、光盘、只读存储记忆体(简称:ROM)或随机存储记忆体(简称:RAM)等。

  本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解,本发明实施例中的技术方案本质上或者对现有技术做出贡献的部分可以以软件产品的形式体现出来,该计算机软件产品可以存储在存储介质中,如ROM/RAM、磁碟、光盘等,包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

  本说明书各个实施例之间相同相似的部分互相参见即可。尤其,对于实施例而言,由于其基本相似于方法实施例,所以描述的比较简单,相关之处参见方法实施例中的说明即可。

  以上所述的本发明实施方式并不构成对本发明保护范围的限定。

《一种流量安全分析挖掘的方法及系统.doc》
将本文的Word文档下载到电脑,方便收藏和打印
推荐度:
点击下载文档

文档为doc格式(或pdf格式)