[发明专利]基于用户长短期行为表征的内部威胁检测方法及装置

说明书

本申请公开了一种基于用户长短期行为表征的内部威胁检测方法及装置，其中，方法包括：采集多种异构的用户活动日志数据，抽取原始日志数据，并将异构用户活动日志数据转化为预设格式的数据；构建活动表征，并且按时间顺序生成用户活动表征序列，通过对活动序列建模为每个时刻生成该时刻的短期行为表征；获取用户短期行为表征和用户长期行为表征，并基于用户短期行为表征和用户长期行为表征对用户长期行为模式建模，以利用建模得到的模型对内部危险进行异常预测。本申请实施例可以统一描述的日志数据格式与行为表征方法，并应用了对比学习思想设计学习任务来指导模型对用户的长期行为和短期行为模式进行建模，来解决当前内部威胁检测领域所面临的问题。

技术领域

本申请涉及网络安全攻击检测技术领域，特别涉及一种基于用户长短期行为表征的内部威胁检测方法及装置。

背景技术

信息化的推广和普及，信息技术系统已经成为当前各组织机构日常运转中不可或缺的一部分。内部威胁是发生频率最高，造成损失最大的网络空间安全事件之一。由于内部人员已经拥有了信息技术系统相关资源的访问权限，并且他们对信息技术系统内部安全防控技术与机制有着一定的了解，恶意内部人员可以有效避免诸如外部攻击所遗留下的许多攻击痕迹。因此，相较于多数具有鲜明攻击行为特征的外部攻击检测，基于用户日志的内部威胁检测需要面临更高的隐蔽性、复杂性。

相关技术中，通常可以分为基于统计特征、基于图构造和基于序列建模三类。基于特征构造的方法是研究者设计一套特征工程方案来抽取用户的行为特征，这类特征通常是具有统计学意义的特征。该方法通过多个统计特征描述活动或者会话中用户的行为特点。然后，再通过机器学习算法寻找异常点来进行异常检测。但是在特征工程的设计阶段依然依赖于设计者的领域经验以及对特定信息技术系统的熟悉程度，可扩展性难以保证。并且基于人工设计的特征进行分析可能造成原始活动数据中许多有效信息被丢弃。基于图构建的检测方法将原始日志依据研究者设计的图构建规则转化为相应的活动图，结合图表征技术与聚类技术进行异常检测。基于图构造的方法可以更直接的将有关联的日志数据通过边连接在一起，通过拉近空间距离来实现关联日志之间在时间维度上相互靠近。基于序列建模的方法是将原始日志数据组织成活动序列，并基于此构建用户的正常行为模式，主要专注于获取日志数据时序维度上的用户行为特征。这两类方法大幅提升了内部威胁检测的效果以及可用性，有效缓解了因纯人工特征造成信息丢失问题。但多数研究依然依赖于专家知识并且只能在会话层面对用户行为进行检测。此外，对活动的原始信息的利用还有待提升。此外，内部威胁检测是一个典型的不平衡数据场景下的学习任务，上述方法受限于缺少恶意样本，为了避免出现表征崩溃问题难以大规模使用日志数据，这错失了数据中所蕴含的大量底层用户活动特征和用户行为信息。

申请内容

本申请提供一种基于用户长短期行为表征的内部威胁检测方法及装置，以解决相关技术中受限于缺少恶意样本，为了避免出现表征崩溃问题难以大规模使用日志数据，导致错失了多种异构日志数据中所蕴含的大量底层用户活动特征和用户行为信息等问题。

本申请第一方面实施例提供一种基于用户长短期行为表征的内部威胁检测方法，包括以下步骤：采集多种异构的用户活动日志数据，并且根据用户活动抽取原始日志数据，并将所述原始日志数据中的异构用户活动日志数据转化为预设格式的数据；对所述原始日志数据对应的活动进行表征，以构建活动表征，并且按时间顺序生成用户活动表征序列，通过对活动序列建模为每个时刻生成该时刻的短期行为表征；根据所述用户活动表征序列获取用户短期行为表征和用户长期行为表征，并基于所述用户短期行为表征和所述用户长期行为表征对用户长期行为模式建模，以利用建模得到的模型对内部危险进行异常预测。

可选地，在本申请的一个实施例中，所述预设格式为三元组T，I，C形格式，其中，T代表活动发生的时间属性，I代表活动类型属性，C代表活动上下文属性。