[发明专利]异常行为检测方法及装置

摘要

本发明实施例公开了一种异常行为检测方法及装置，所述方法包括：通过对业务系统进行测试，建立异常行为模式库；采集网络中当前传输的数据，通过设定的分析算法，对所采集的数据与所述异常行为模式库中的数据进行比对，判断所采集的数据是否为异常数据；当确定所采集的数据为异常数据时，记录该异常数据；在所记录的某类型的异常数据超出设定阈值时，输出超出设定阈值的异常数据的告警信息。

主权项

1.一种异常行为检测方法，其特征在于，通过对业务系统进行测试，建立异常行为模式库；所述方法包括：采集网络中当前传输的数据，通过设定的分析算法，对所采集的数据与所述异常行为模式库中的数据进行比对，判断所采集的数据是否为异常数据；其中，通过下式确定所采集的数据的风险值R：其中，i的取值范围为1到n，n为安全行为层次模型中的总层次数；Po_i(f,c)∈[0,1]，Po_i(f,c)表示第i层的异常行为确定性指数，由频率f和行为匹配度c决定；In_i(q,c)∈[0,1]，In_i(q,c)表示第i层的异常行为影响指数，由数量q和行为匹配度c决定；若关联因素能将i层与其他层关联，则k＝1，否则k＝0；将风险值R大于设定阈值的所采集的数据确定为异常数据；当确定所采集的数据为异常数据时，记录该异常数据；在所记录的某类型的异常数据超出设定阈值时，输出超出设定阈值的异常数据的告警信息；其中，所述建立异常行为模式库，包括：对网络中的业务系统进行安全测试，记录所述业务系统的数据变化；根据预设的安全行为层次模型，建立所述数据与数据变化方式的对应关系；根据所述安全行为层次模型将所述数据分层梳理，再为分层后的数据设置关联要素，所述关联要素将各分层后的数据关联形成异常行为模式库。