[发明专利]异常攻击行为检测方法、装置、设备及存储介质

权利要求书

1.一种异常攻击行为检测方法，其特征在于，包括：

实时采集网络流数据，并间隔固定周期统计所述网络流数据的流量特征；

如果统计特征值超出特征期望范围，则获取固定周期时间段内的异常网络流数据；

将所述异常网络流数据输入至预先训练的攻击检测模型中，并将所述攻击检测模型输出的目标网络行为作为异常攻击行为；

其中，所述攻击检测模型通过计算不同时间窗口中的异常网络流数据之间的通信相似度，确定目标网络行为；

所述将所述异常网络流数据输入至预先训练的攻击检测模型中，并将所述攻击检测模型输出的目标网络行为作为异常攻击行为，包括：

将所述异常网络流数据输入至预先训练的攻击检测模型中，以通过所述攻击检测模型计算不同时间窗口中的异常网络流数据之间的通信相似度，并根据通信相似度将各时间窗口中的异常网络流数据映射到预设高维向量中，对所述高维向量进行异常分析确定目标异常网络流数据；

将所述攻击检测模型输出的与所述目标异常网络流数据对应的目标网络行为作为异常攻击行为；

所述通过所述攻击检测模型计算不同时间窗口中的异常网络流数据之间的通信相似度，包括：

通过所述攻击检测模型对各时间窗口中不同IP端口接收的异常网络流数据进行聚合；

通过所述攻击检测模型，根据聚合簇，计算同类型的不同IP地址之间的相似度以及不同类型的不同IP地址之间的匹配度；

通过所述攻击检测模型，根据所述不同IP地址之间的相似度以及匹配度计算不同时间窗口之间的通信相似度。

2.根据权利要求1所述的方法，其特征在于，在将所述攻击检测模型输出的目标网络行为作为异常攻击行为之后，还包括：

对所述异常攻击行为对应的网络流数据进行解析，得到攻击行为特征；所述攻击行为特征包括：源IP地址、目的IP地址、协议类型、源IP端口以及目的IP端口；

根据所述攻击行为特征查询预设的攻击行为映射表，确定与所述异常攻击行为对应的异常攻击类型、攻击源以及攻击危险级别。

3.根据权利要求1所述的方法，其特征在于，所述攻击检测模型采用孤立森林算法。

4.根据权利要求1所述的方法，其特征在于，所述异常攻击行为包括APT攻击行为。

5.一种异常攻击行为检测装置，其特征在于，包括：

特征统计模块，用于实时采集网络流数据，并间隔固定周期统计所述网络流数据的流量特征；

数据获取模块，用于如果统计特征值超出特征期望范围，则获取固定周期时间段内的异常网络流数据；

检测模块，用于将所述异常网络流数据输入至预先训练的攻击检测模型中，并将所述攻击检测模型输出的目标网络行为作为异常攻击行为；

其中，所述攻击检测模型通过计算不同时间窗口中的异常网络流数据之间的通信相似度，确定目标网络行为；

所述检测模块用于将所述异常网络流数据输入至预先训练的攻击检测模型中，并将所述攻击检测模型输出的目标网络行为作为异常攻击行为，包括：

将所述异常网络流数据输入至预先训练的攻击检测模型中，以通过所述攻击检测模型计算不同时间窗口中的异常网络流数据之间的通信相似度，并根据通信相似度将各时间窗口中的异常网络流数据映射到预设高维向量中，对所述高维向量进行异常分析确定目标异常网络流数据；

将所述攻击检测模型输出的与所述目标异常网络流数据对应的目标网络行为作为异常攻击行为；

所述通过所述攻击检测模型计算不同时间窗口中的异常网络流数据之间的通信相似度，包括：

通过所述攻击检测模型对各时间窗口中不同IP端口接收的异常网络流数据进行聚合；

通过所述攻击检测模型，根据聚合簇，计算同类型的不同IP地址之间的相似度以及不同类型的不同IP地址之间的匹配度；

通过所述攻击检测模型，根据所述不同IP地址之间的相似度以及匹配度计算不同时间窗口之间的通信相似度。