[发明专利]基于主机画像的异常主机检测方法、装置、介质和设备

说明书

本发明提供了一种基于主机画像的异常主机检测方法、装置、介质和设备。包括：在第一设定时间片段内，基于无监督学习方法采集多个待测主机IP的第一流量数据；提取流量数据中的流量特征值和主机关联特征值；基于图切分方法,将流量特征值的相似性和所述主机关联特征值的关联性进行待测主机IP聚类，形成多组待测主机；将采集的每组流量特征值和主机关联特征值进行向量化处理,形成特征向量；归一化处理，分别形成每组待测主机的特征向量集；将特征向量集分别进行训练，构建相应的每组所述待测主机各自的检测模型；基于所述检测模型对待测主机行为异常进行检测。本发明不需要广泛训练集，而是基于时间和空间两个维度定义特征，检测维度更加全面。

技术领域

本发明涉及计算机技术领域，具体而言，涉及一种基于主机画像的异常主机检测方法、装置、介质和设备。

背景技术

随着互联网技术的发展，网络异常现象已司空见惯，例如黑客攻击等不规则手段都会产生网络异常行为。

因此，对于出现网络异常时的网络异常主机的监控就变得十分必要，其中，网络异常主机是指具有非正常网络行为的主机。如突然出现对外扫描，开启异常服务端口，攻击其他主机行为的主机等。网络异常行为主机往往是受到攻击者入侵或者控制的主机，发现异常行为主机对于追踪网络攻击者，消除网络恶意行为都具有重要的意义。

现有发现异常主机的方式主要是基于异常流量的检测：即基于一组规则过滤检测异常流量，基于这些规则匹配的恶意流量可以反向追踪发现对应的异常行为主机；针对加密流量等难以提取特征的场景，则采用机器学习等方法训练获得检测模型进行异常流量的检测，这种方式依然是以对流量的标记回溯异常主机。

现有的检测方法存在如下技术问题，一方面，对于基于规则的方法，面对当前使用越发普遍的加密协议(如TLS)而言，有效的规则特征越来越少，检测的有效性受到了极大挑战；另一方面，对于基于模型的方法，模型的训练需要大量的黑白流量进行对比训练，模型的有效性与训练方法、待测集质量等都有较大关系。因此，现有的方法本质上是对流量进行检测发现异常进而推测异常主机，而不是对主机本身的异常进行定义和检测，在准确性方面存在较大缺陷。

发明内容

本发明的目的在于提供一种基于主机画像的异常主机检测方法、装置、介质和设备，能够解决上述提到的至少一个技术问题。具体方案如下：

根据本发明的具体实施方式，第一方面，本发明提供一种基于主机画像的异常主机检测方法，该方法基于长时间的无监督学习方法形成日常主机行为的画像，并进行细粒度聚类。从时间和空间两个维度的多个特征入手对主机行为进行建模。在检测过程中以无监督学习形成的各类主机画像模型检测主机是否出现异常。包括：

在第一设定时间片段内，基于无监督学习方法采集多个待测主机IP的第一流量数据；

提取所述流量数据中的流量特征值和主机关联特征值，其中，所述流量特征值包括数据上下行数量和上下行流数量；所述主机关联特征值包括：访问端口序列、访问IP序列、访问域名序列、IP访问广度、被访问IP广度、访问域名集合和数字证书集合；

基于图切分方法,将所述流量特征值的相似性和所述主机关联特征值的关联性进行待测主机IP聚类，形成多组待测主机；

在所述第一设定时间片段内，将采集的每组所述待测主机的所述流量特征值和主机关联特征值进行向量化处理,形成特征向量；

将所述特征向量进行合并，将合并后的所述特征向量进行归一化处理，分别形成所述每组待测主机的特征向量集；

将每组所述待测主机对应的所述特征向量集通过其他组待测主机的特征向量集分别进行训练，构建相应的每组所述待测主机各自的检测模型；

基于所述检测模型对待测主机行为异常进行检测。

可选的，所述提取所述流量数据中的流量特征值和主机关联特征值，包括：