[发明专利]实时在线学习的网络恶意行为检测方法

权利要求书

1.实时在线学习的网络恶意行为检测方法，其特征在于该方法包括如下步骤：

第1步、基本概念：

(1)网络恶意行为：网络恶意行为是指，以数据包为载体的，在未明确提示用户或未经用户许可的情况下，通过网络对用户计算机或其他终端进行的、侵犯用户合法权益的恶意行为；

(2)不一致性函数：描述一个样本与一组样本的不一致性，输入是一组样本和一个测试样本，输出是一个数值，也叫做不一致性得分；不同样本与同一组样本的不一致性得分之间可以比较，得分越高，说明样本与该组样本越不一致，得分越低，说明样本与该组样本越一致；

(3)统计量p-value：描述一个样本的不一致性得分在一组样本中的百分位，取值范围在0到1之间，从统计的角度刻画一个样本与一组样本的相似性；

第2步、网络行为特征的提取

第2.1、确定网络行为的表示粒度，其中包括：数据包级粒度，每个数据包表示一个网络行为；NetFlow级粒度，一个网络连接过程的所有网络数据表示一个网络行为；应用级粒度，一个应用过程的所有数据包表示一个网络行为；

第2.2、提取网络行为的特征点f；根据不同的数据集，可以选择不同的网络行为特征点f；

第2.3、选择特征点，将网络行为抽象成特征向量V；在可选的网络行为特征点中，选择n个特征点组成特征向量V(f1,f2,...fn)，使用选择的网络行为特征点作为网络行为的抽象表示，将二进制的网络数据映射成特征点组成的特征向量；

第2.4、用户正常行为集合的特征矩阵表示；用户正常行为集合中包含了N个行为，每个行为都使用相同结构的特征向量Vi表示，1≤i≤N，这N个特征向量组成用户正常行为特征矩阵C；特征矩阵的每一列表示一个特征点、每一行表示一个网络行为的特征向量；

第3步、网络行为与用户正常行为一致性度量

第3.1、确定不一致性度量函数A(V,C)；不一致性度量函数的输入是网络行为特征向量V，用户正常行为特征矩阵C，返回值是V与C的不一致得分s；不一致性度量函数A是任何能够表示不一致性的函数；

第3.2、计算网络行为特征向量V和用户正常行为特征矩阵C中向量的不一致性得分；将被检测的网络行为特征向量V放入用户正常行为特征矩阵C中作为最后一个向量，组成新的矩阵C'；依次从C'中取出特征向量Vi，1≤i≤N+1，使用不一致性度量函数计算向量V_i与取出V_i后的矩阵的不一致性得分s_i；最后，所有的N+1个向量都计算出不一致性得分，其中特征向量V与特征矩阵C的不一致性得分为s_n+1；

第3.3、计算网络行为特征向量V相对于用户正常行为特征矩阵C的统计量p-value；在第3.2步的计算中，特征向量V与特征矩阵C的不一致性得分为s_n+1；当不一致性度量函数为距离函数时，不一致性得分表示特征向量V与特征矩阵C的距离，统计所有不一致性得分大于等于s_n+1的特征向量的个数M＝|{j:s_j≥s_n+1}|；当不一致性度量函数为相似性函数时，不一致性得分表示特征向量V与特征矩阵C的相似程度，统计所有不一致性得分小于s_n+1的特征向量的个数M＝|{j:s_j<s_n+1}|；特征向量V相对于特征矩阵C的统计量p-value＝M/(N+1)；

第4步、实时在线学习的网络恶意行为检测

第4.1、用户给出可接受的可信度Conf，用户只接受准确率在Conf之上的检测结果；

第4.2、计算可接受的最大错误率是ε＝1-Conf；

第4.3、如果网络行为特征向量V对于用户正常行为特征矩阵C的p-value小于等于ε，则有Conf的可信度，判断该网络行为是网络恶意行为；

第4.4、如果检测结果判断该网络行为不是恶意行为，则该网络行为的特征向量V将自动吸收进用户正常行为特征矩阵C中，生成更新后的用户正常行为特征矩阵，原有的特征矩阵将过期，后面的检测将不再使用原矩阵，而是使用最新的矩阵；

第4.5步、对每一个新发现的未知网络行为都重复上述过程，判断结果是恶意行为则进行特殊处理，判断结果是正常行为则吸收进用户正常行为集合；从而用户正常行为集合在检测过程中不断吸收新的正常行为，逐渐更新，反映最新的正常行为模式，对每一个未知行为的检测也基于最新的用户正常行为集合，不存在传统的检测模型的退化问题，从而提高网络恶意行为检测的精准度。