[发明专利]学习网络行为特征的网络设备、处理系统与方法

权利要求书

1.一种学习网络行为特征的网络设备，其特征在于：

一封包撷取单元，撷取多个网络封包；

一封包储存单元，连接该封包撷取单元，且该封包储存单元储存该些网络封包；

一特征撷取单元，连接该封包储存单元且以至少一特征模板解析该些网络封包，并撷取该些网络封包的至少一行为特征信息；

一特征储存单元，连接于该特征撷取单元，该特征储存单元储存该些行为特征信息，并该特征储存单元内另储存有复数行为结果信息；

一处理单元，接收所述行为特征信息及行为结果信息；及

一待学习模型，根据该至少一行为特征信息及一行为结果信息输出一学习收敛信息，该处理单元根据该些学习收敛信息决定调整该特征撷取单元或将该待学习模型输出一特征识别模型。

2.根据权利要求1所述的学习网络行为特征的网络设备，其特征在于：该处理单元根据该些学习收敛信息决定调整该特征撷取单元，而该特征撷取单元则依其处理单元的调整要求而调整其特征模板，该特征撷取单元再由调整的特征模板去解析该些网络封包，以撷取该些网络封包新的行为特征信息。

3.一种学习网络行为特征的处理系统，其特征在于：

至少一用户端，传输多个网络封包；

至少一服务器端，接收该些网络封包；以及

一网络设备，具有一封包撷取单元、一特征撷取单元、一封包储存单元、一特征储存单元、一处理单元与一待学习模型，该封包撷取单元撷取流经该用户端与该服务器端的该些网络封包，而该封包储存单元储存该些网络封包，另该特征撷取单元以至少一特征模板解析该些网络封包，并撷取该些网络封包的至少一行为特征信息，该特征储存单元储存该些行为特征信息与复数行为结果信息，而该处理单元接收所述行为特征信息及行为结果信息并输入至该待学习模型，使该待学习模型根据该至少一行为特征信息及一行为结果信息输出一学习收敛信息，该处理单元根据该些学习收敛信息决定调整该特征撷取单元或将该待学习模型输出一特征识别模型。

4.根据权利要求3所述的学习网络行为特征的处理系统，其特征在于：该处理单元根据该些学习收敛信息决定调整该特征撷取单元，而该特征撷取单元则依其处理单元的调整要求而调整其特征模板，该特征撷取单元再由调整的特征模板去解析该些网络封包，以撷取该些网络封包新的行为特征信息。

5.根据权利要求3所述的学习网络行为特征的处理系统，其特征在于：该服务器端还包括一异常行为侦测器，该异常行为侦测器从所述网络封包中侦测到至少一异常行为信息，且该异常行为侦测器将所述异常行为信息发送至一行为分析单元。

6.根据权利要求5所述的学习网络行为特征的处理系统，其特征在于：该行为分析单元连接于该特征撷取单元与封包储存单元，且该行为分析单元依据异常行为信息解析该封包储存单元中的该些网络封包，并要求特征撷取单元调整其特征模板。

7.一种学习网络行为特征的处理方法，其特征在于：

将至少一行为结果信息储存于一特征储存单元内；

由一封包撷取单元撷取至少一用户端提供的网络封包并储存于一封包储存单元中；

再由一特征撷取单元自封包储存单元解析网络封包，并根据至少一特征模板获取相应的行为特征信息且储存于一特征储存单元；

一处理单元自特征储存单元获取行为特征信息及行为结果信息并载入一待学习模型，该待学习模型输出一学习收敛信息；以及

该处理单元根据学习收敛信息决定调整特征撷取单元或将待学习模型输出一特征识别模型。

8.根据权利要求7所述的学习网络行为特征的处理方法，其特征在于：所述处理单元根据学习收敛信息调整特征撷取单元的步骤包括：

该特征撷取单元则依其处理单元的调整要求而调整其特征模板；

该特征撷取单元再由调整的特征模板去解析该些网络封包，以撷取该些网络封包新的行为特征信息。