[发明专利]用于物联网中的隐私保护的异常检测的方法、系统及计算机可读存储介质

说明书

实施例可提供检测IoT数据流量中的网络安全事件的技术，该技术提供改进的检测准确度和隐私保护。例如，在实施例中，一种方法可以在计算机中实现，该计算机包括处理器、能由该处理器访问的存储器、以及存储在该存储器中并且能由该处理器执行的计算机程序指令，该方法可以包括：收集去往和来自至少一个设备的多个消息；从所收集的多个消息中提取元数据特征；生成时间窗口；基于在该时间窗口期间存在的所提取的元数据特征来确定附加特征；基于所收集的多个消息来检测至少一个设备的行为模式，对在该时间窗口期间存在的所确定的附加特征和所检测到的行为模式进行聚类；以及使用经聚类的所确定的附加特征和所检测到的行为模式来检测至少一个异常或异常类型。

背景技术

本发明涉及检测IoT数据流量中的网络安全事件的技术，该技术提供改进的检测准确度和隐私保护。

随着更多的物联网(IoT)设备连接到网络，检测网络安全事件的需要变得更加突出。IoT设备的网络流量拥有某些独特的特性。利用这些特性允许防御方检测异常偏离。例如，一些常规技术可以使用数据和数据的上下文来检测从传感器生成的数据中的异常。常规技术可以过滤数据，对数据执行统计分析，并且分析来自承载数据的分组的报头字段。然而，这样的常规技术在检测准确度以及隐私保护方面仍然留有改进的空间。

因此，出现了对检测IoT数据流量中的网络安全事件的技术的需要，该技术提供改进的检测准确度和隐私保护。

发明内容

实施例可以提供检测IoT数据流量中的网络安全事件的技术，该技术提供改进的检测准确度和隐私保护。实施例可以使用诸如星期几、一天中的时间、和小时的一部分之类的时间分层结构来对元数据信息进行建模并且对行为相似的设备进行聚类。实施例可以使用有限的、离散的消息大小，以允许严格的行为建模。与消息大小的高方差高斯分布相反，实施例可以识别相对少量的不同消息大小(每个消息大小被低方差消息大小分布包围)以提供更准确的异常检测。这些设备的非常特定于任务的性质还允许防御方识别不同的序列，与该序列的任何偏离可以算作异常。

例如，在实施例中，一种方法可以在计算机中实现，该计算机包括处理器、能由该处理器访问的存储器、以及存储在该存储器中并且能由该处理器执行的计算机程序指令，该方法可以包括：在计算机系统处收集去往和来自至少一个设备的多个消息，在计算机系统处从所收集的多个消息中提取元数据特征，在计算机系统处生成时间窗口，在计算机系统处基于在时间窗口期间存在的所提取的元数据特征来确定附加特征，在计算机系统处基于所收集的多个消息来检测至少一个设备的行为模式，在计算机系统处对在时间窗口期间存在的所确定的附加特征和所检测到的行为模式进行聚类，以及在计算机系统处使用经聚类的所确定的附加特征和所检测到的行为模式来检测至少一个异常或异常类型。