[发明专利]一种基于回归的信息安全异常检测的方法及系统

摘要

本发明公开了一种基于回归的信息安全异常检测的方法及系统，包括：实时告警模块、历史告警模块、离线异常检测建模模块、在线异常检测模块,以及知识库。采用本发明，能够检测到异构的、动态的和复杂的IT企业网络设备产生的海量安全告警中的安全攻击事件，能够溯源或回放事件，能够发现故障的根源或源头，能够帮助IT企业快速恢复业务，保证其正常运营。

主权项

1.一种基于回归的信息安全异常检测的系统，包括实时告警模块、历史告警模块、离线异常检测建模模块和在线异常检测模块；所述实时告警模块，用于实时地接收来自各种安全设备的告警，并分别上报给历史告警模块和在线异常检测模块；所述离线异常检测建模模块，用于：对接收到的告警进行告警信息标准化处理，以消除重复警告；对处理后的告警进行分组，得到N个告警分组；根据时间窗和时间粒度，统计每一个告警分组的告警时间序列，所述时间窗是指统计的时间段，所述时间粒度是指统计的单位时间，所述告警时间序列是指所述单位时间内的告警数量；对于每一个告警时间序列，检测所述告警时间序列在对应的时间窗内是否活跃，以确定告警数量大于50%的告警时间序列；根据预先设定的时间组合参数，将活跃的告警时间序列分割为M个告警时间子序列；根据所述告警时间序列和所述告警时间子序列，获取对应的描述性统计，所述描述性统计用于指示数据的随机分布和时序依赖性，所述随机分布用于指示数据的集中趋势和离散度；根据所述描述性统计，检测基于回归的异常检测算法是否有效和适用，所述基于回归的异常检测算法包括：线性回归、最小二乘法、移动平均、加权移动平均和自回归模型；当描述性统计的随机分布和时序依赖性符合预设条件时，采用所述的基于回归的异常检测算法，以检测异常；所述在线异常检测模块，用于采用所述基于回归的异常检测算法，实时地检测实时告警模块所上报告警的异常，并且，将检测结果上报给相关显示模块或安全分析师做进一步处理。