[发明专利]一种用于监控命令是否异常的设备和方法

权利要求书

1.一种用于监控命令是否异常的设备，包括： 

接收器，被配置为接收受监控的命令； 

过滤器，被配置为对所述接收的命令采用预置的可疑规则进行过滤，将被所述可疑规则命中的命令输入分类器；以及 

分类器，被配置为根据已有分类模型的训练样本集，对从所述过滤器新输入至分类器的命令进行分类，至少识别出异常命令和正常命令。 

2.如权利要求1所述的设备，所述分类器包括： 

第一切分模块，被配置为将从所述过滤器新输入至分类器的命令切分为若干特征词，获得该命令包含的各特征词； 

先验获取模块，被配置为获取在已有分类模型的训练样本集中、当一条命令是异常命令时其包含某一特征词w_n的先验概率P(w_n|y₂)，和当一条命令是正常命令时其包含某一特征词w_n的先验概率P(w_n|y₁)，以及在已有训练样本集中出现异常命令的先验概率P(y₂)和出现正常命令的先验概率P(y₁)； 

概率分析模块，被配置为根据所述命令包含的各特征词，以及与所述各特征词相关的先验概率，获得所述命令分别为异常命令的概率和正常命令的概率；以及 

类别识别模块，被配置为至少根据所述命令是异常命令的概率和正常命令的概率，识别所述命令所属类别，所述类别至少包括异常命令和正常命令两类。 

3.如权利要求2所述的设备： 

所述先验获取模块还被配置为获取在已有分类模型的训练样本集中、当一条命令是未知命令时其包含某一特征词w_n的先验概率P(w_n|y₃)，以及在已有训练样本集中出现未知命令的先验概率P(y₃)； 

所述概率分析模块还被配置为获得所述命令是未知命令的概率；以及 

所述类别识别模块还被配置为识别所述命令是否属于未知命令的类别。 

4.如权利要求2或3所述的设备， 

所述概率分析模块具体被配置为根据命令所包含的各特征，以及与所述 各特征相关的先验概率，基于贝叶斯原理或费舍尔原理获得所述命令是异常命令的概率和该命令是正常命令的概率。 

5.如权利要求1所述的设备，所述分类器具体被配置为基于贝叶斯原理或费舍尔原理或决策树原理或逻辑回归原理或偏最小二乘法ＰＳＬ原理的分类器。 

6.一种用于监控命令是否异常的方法，包括： 

接收受监控的命令； 

对所述受监控的命令采用预置的可疑规则进行过滤，获得被所述可疑规则命中的命令； 

根据已有分类模型的训练样本集，对被所述可疑规则命中的命令进行分类，至少识别出异常命令和正常命令。 

7.如权利要求6所述的方法，所述对被可疑规则命中的命令进行分类的步骤包括： 

将所述命令切分为若干特征词，获得该命令包含的各特征词； 

获取在已有分类模型的训练样本集中、当一条命令是异常命令时其包含某一特征词w_n的先验概率P(w_n|y₂)，和当一条命令是正常命令时其包含某一特征词w_n的先验概率P(w_n|y₁)，以及在已有训练样本集中出现异常命令的先验概率P(y₂)和出现正常命令的先验概率P(y₁)； 

根据所述命令包含的各特征词，以及与所述各特征词相关的先验概率，获得所述命令分别为异常命令的概率和正常命令的概率；以及 

至少根据所述命令是异常命令的概率和正常命令的概率，识别所述命令所属类别，所述类别至少包括异常命令和正常命令两类。