[发明专利]行为安全基线融合学习方法、装置、电子设备及存储介质

说明书

本发明提供一种行为安全基线融合学习方法、装置、电子设备及存储介质，方法包括：获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；根据所述行为安全基线规则，确定行为安全基线学习方法；根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。本发明提供的方法，能够实现行为安全基线学习的数据完整性，提升行为安全基线的准确性，降低误报率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种行为安全基线融合学习方法方法、装置、电子设备及存储介质。

背景技术

随着技术的发展和知识的扩散，网络攻击方法和数量也随之大幅增加，各种新攻击手段层出不穷，给安全分析人员和产品带来了很大的挑战和压力。传统的安全分析和检测手段是基于先验知识，采用特征的方式来对网络数据和日志进行安全检测，这种方式可以应对已知攻击方法，但是对未知和新的攻击方法的检测效率较低，无法适应当前严峻的网络安全态势。近年来随着机器学习的发展和实时计算框架的兴起，基于行为的安全分析方法开始越来越多的应用于各类安全产品中。

相关技术中，基于行为的安全分析方法采用机器学习的方法，通过对网络数据和日志进行学习，统计和归纳出用户和实体的行为特点，通过学习出的行为安全基线，能很好的用于异常行为分析和检测，完成很多基于特征的方式无法达到的效果。但是，行为安全基线学习的数据并不完整，影响行为安全基线学习的数据完整性，导致行为安全基线的准确性低，误报率高。

发明内容

针对相关技术存在的行为安全基线的准确性低，误报率高等问题，本发明提供一种行为安全基线融合学习方法、装置、电子设备及存储介质。

本发明提供一种行为安全基线融合学习方法，方法包括：

获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；

根据所述行为安全基线规则，确定行为安全基线学习方法；

根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。

根据本发明提供的一种行为安全基线融合学习方法，所述规则参数包括以下至少一项：时间窗口、历史行为数据存储地址及实时行为数据队列地址。

根据本发明提供的一种行为安全基线融合学习方法，所述行为安全基线学习方法包括以下至少一项：

历史行为数据学习方法；其中，所述历史行为数据学习方法的参数包括：所述历史行为数据存储地址及第一时间范围；所述第一时间范围包括t1至t2；t1为行为安全基线的开始学习时间，t2为行为安全基线的结束学习时间；

实时行为数据学习方法；其中，所述实时行为数据学习方法的参数包括：所述实时行为数据队列地址及第一时间范围；

混合行为数据学习方法；其中，所述混合行为数据学习方法的参数包括：所述历史行为数据存储地址及第二时间范围；所述实时行为数据队列地址及第三时间范围；所述第二时间范围包括t1至t3；所述第三时间范围包括t3至t2；t3为实时行为数据的开始时间。

根据本发明提供的一种行为安全基线融合学习方法，所述根据所述行为安全基线规则，确定行为安全基线学习方法，包括：

根据所述时间窗口，计算所述行为安全基线的开始学习时间和所述行为安全基线的结束学习时间；

根据所述历史行为数据存储地址探测历史行为数据的时间范围；

判断所述行为安全基线的结束学习时间是否早于所述历史行为数据的终止时间；

在所述行为安全基线的结束学习时间早于所述历史行为数据的终止时间的情况下，将所述历史行为数据学习方法，确定为所述行为安全基线学习方法；