[发明专利]一种流量安全分析挖掘的方法及系统

说明书

本发明提供一种流量安全分析挖掘的方法及系统，解决现有的网络攻击检测分析平台多为单纯检测出网络攻击，不能根据指定业务或指定用户，通过使用不同的聚类算法构建多维集合，得到多维检测样本，有针对性地检测网络攻击的问题，可针对指定的业务或用户检测攻击和攻击溯源，结合场景分析，挖掘出相应的场景属性，给出针对性的防御策略，并加入了模型训练功能，使得检测效果更好。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种流量安全分析挖掘的方法及系统。

背景技术

随着全球信息化的不断发展和持续推进，互联网、移动终端、即时通信的不断出现，网络安全威胁激增。不仅如此，随着所面临的最大挑战之一是缺乏具有规模、能够模拟真实环境、制造多种网络攻击场景的平台。为了解决上述问题，需要一种基于场景的分析方法和系统。

同时，业界通常的检测方法多为单纯检测出网络攻击，基于网络流量来监测攻击行为。但是对于地址分散或以小博大与正常流量难以区分的攻击行为来说，却不能根据指定业务或指定用户，有针对性地检测网络攻击，更不能给出针对性的防御策略。

因此，急需一种针对性的流量安全分析挖掘的方法及系统。

发明内容

本发明的目的在于提供一种流量安全分析挖掘的方法及系统，解决现有的网络攻击检测分析平台多为单纯检测出网络攻击，不能根据指定业务或指定用户，有针对性地检测网络攻击，也不能结合场景分析，给出针对性的防御策略的问题，可针对指定的业务或用户检测攻击和场景挖掘，并加入了模型训练功能，使得检测效果更好。

第一方面，本申请提供一种流量安全分析挖掘方法，所述方法包括：

对进入业务系统的数据流量进行分类聚合，所述分类聚合为根据解析后的标识信息，使用不同的聚类算法得到多维集合，所述标识信息包括用户标识信息、业务标识信息、设备标识信息，所述多维集合是指分别根据所述用户标识信息、业务标识信息和设备标识信息提取出隶属于同一数据流的三个特征集；

根据用户标识信息、业务标识信息和设备标识信息，动态确定所述多维集合对应的三种检测参数和规则，由检测参数和规则得到特征向量加权后的多维检测样本，将所述多维检测样本送入机器学习模型，检测是否包括第一攻击向量；

获取数据库的历史异常数据，模拟出指定类型的网络攻击流量，所述指定类型的网络攻击流量是指携带预先构造的第二攻击向量；

将模拟的所述网络攻击流量送入机器学习模型，此时的机器学习模块作为判别器，判别所述网络攻击流量与当前网络流量之间的相似度，当相似度数值随着当前网络流量的变化形成的流量曲线符合预设的图形时，则认定所述机器学习模型能够正确识别出所模拟的网络攻击，所述机器学习模型完成训练；

当所述机器学习模型检测出所述多维检测样本中包括第一攻击向量时，标记携带所述第一攻击向量的一个或多个特征集为异常，匹配异常特征集所属的维度是用户、业务或设备中的类型，根据异常涉及的类型开始对第一攻击向量进行针对性溯源；

当所述异常涉及用户类型时，获取数据库的用户关系链，所述用户关系链包括所属部门的同事关系、与公司外部的客户关系、亲戚好友关系、邮件收发关系中的一种或若干种，每一种关系下每一个人为所述用户关系链的一个节点，根据所述用户关系链扩展检测每一个节点涉及的终端、邮箱、文件、即时通信中的一种或若干种，判断是否包括所述第一攻击向量，如果检测到所述第一攻击向量，则标记该节点为攻击轨迹在途点；

当所述异常涉及业务类型时，根据业务流程规定的前后关系、具体业务动作的经办人，得到业务关系链，每一个经办人、经办人名下的终端、设备、文件、即时通信为所述业务关系链的一个节点，检测每一个节点是否包括所述第一攻击向量，如果是，则标记该节点为攻击轨迹在途点；