[发明专利]使用行为辨识系统的认知信息安全性

权利要求书

1.一种用于处理来自一个或多个网络连接计算机系统的信息安全性数据流的方法，所 述方法包括：

接收标准化矢量的有序流，所述标准化矢量对应于从监视计算机网络的一个或多个传 感器获得的信息安全性数据；和

通过以下方式产生所述信息安全性数据的神经语言学模型：

群集矢量的所述有序流并对每一群集指定字母，

基于将标准化矢量的所述有序流映射到所述群集来输出字母的有序序列，

建立来自字母的所述有序输出的词语的词典，

基于字母的所述有序输出来输出词语的有序流，和

基于词语的所述有序输出产生多个短语。

2.如权利要求1所述的方法，其进一步包括：

将从所述有序流中的后续标准化矢量产生的字母、词语或短语的当前观察结果与所述 神经语言学模型比较；和

当字母、词语、短语的所述当前观察结果不同于所述信息安全性数据的所述神经语言 学模型时产生警告。

3.如权利要求2所述的方法，其中当字母、词语、短语的所述当前观察结果不同于所述 信息安全性数据的所述神经语言学模型时产生警告包括针对当前观察结果中的至少第一 字母、词语或短语，基于所述神经语言学模型的所述字母、词语和短语中字母、词语和短语 分别的频率确定稀有评分；和

当所述当前观察结果中的所述字母、词语或短语中的至少一个的所述稀有评分超过规 定阈值时产生所述警告。

4.如权利要求1所述的方法，其进一步包括：

将从所述有序流中的后续标准化矢量产生的字母、词语或短语的当前观察结果与所述 神经语言学模型比较；和

产生所述当前观察结果中的所述字母、词语或短语中的至少一个的稀有评分。

5.如权利要求1所述的方法，其进一步包括，

从标准化矢量的所述有序流中的后续标准化矢量动态地更新所述神经语言学模型。

6.如权利要求1所述的方法，其中与所述标准化矢量相关联的所述信息安全性数据中 的所述每一个值被标准化成在范围0至1内的值，包括端值。

7.如权利要求1所述的方法，其中所述信息安全性数据包括网络包流量信息、磁盘安装 事件信息或安全性日志数据。

8.如权利要求1所述的方法，其中建立所述词典包括建立多达字母的最大长度的词语 的词典。

9.一种存储指令的计算机可读存储介质，当在处理器上执行所述指令时，所述指令执 行用于处理一个或多个网络连接计算机系统的数据流的操作，所述操作包括：

接收标准化矢量的有序流，所述标准化矢量对应于从监视计算机网络的一个或多个传 感器获得的信息安全性数据；和

通过以下方式产生所述信息安全性数据的神经语言学模型：

群集矢量的所述有序流并对每一群集指定字母，

基于将标准化矢量的所述有序流映射到所述群集来输出字母的有序序列，

建立来自字母的所述有序输出的词语的词典，

基于字母的所述有序输出来输出词语的有序流，和

基于词语的所述有序输出产生多个短语。

10.如权利要求9所述的计算机可读存储介质，其中所述操作进一步包括：

将从所述有序流中的后续标准化矢量产生的字母、词语或短语的当前观察结果与所述 神经语言学模型比较；和

当字母、词语、短语的所述当前观察结果不同于所述信息安全性数据的所述神经语言 学模型时产生警告。

11.如权利要求10所述的计算机可读存储介质，其中当字母、词语、短语的所述当前观 察结果不同于所述信息安全性数据的所述神经语言学模型时产生警告包括针对当前观察 结果中的至少第一字母、词语或短语，基于所述神经语言学模型的所述字母、词语和短语中 字母、词语和短语分别的频率确定稀有评分；和

当所述当前观察结果中的所述字母、词语或短语中的至少一个的所述稀有评分超过规 定阈值时产生所述警告。