CN106992994A - 一种云服务的自动化监控方法和系统 - Google Patents

Abstract

本发明实施例公开了一种云服务的自动化监控方法和系统，用于通过自动化的运营机制，提高云服务监控的准确率，同时降低云服务监控的漏报率。本发明实施例提供一种云服务的自动化监控方法，包括：获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

Description

一种云服务的自动化监控方法和系统

技术领域

本发明涉及计算机技术领域，尤其涉及一种云服务器的自动化监控方法和系统。

背景技术

目前的云计算产品系列众多，为了了解并提高云计算服务的性能，需要对云计算服务进行监控。由于云计算服务本身的特点，现有技术中云服务监控更多的是依赖云服务提供商的规则库结合用户自定义规则进行服务监控。

现有技术中，通常利用经验规则建立规则库，并结合用户自定义的规则，通过监控判断云服务是否有异常，并将异常行为上报给开发商，开发商指的是注册云服务器的用户。这种传统的方式更多的依赖人工规则，灵活性较差，只能发现一些浅层规则，云服务监控的漏报率较高。

发明内容

本发明实施例提供了一种云服务的自动化监控方法和系统，用于通过自动化的运营机制，提高云服务监控的准确率，同时降低云服务监控的漏报率。

为解决上述技术问题，本发明实施例提供以下技术方案：

第一方面，本发明实施例提供一种云服务的自动化监控方法，包括：

获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云应用程序编程接口API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；

将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；

获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

第二方面，本发明实施例还提供一种云服务的自动化监控系统，包括：

模型获取模块，用于获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云应用程序编程接口API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；

模型评估模块，用于将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；

安全分析模块，用于获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

本申请的第三方面，提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。

从以上技术方案可以看出，本发明实施例具有以下优点：

在本发明实施例中，首先获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；然后将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估；最后获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果。本发明实施例中可以使用云服务样本数据来训练得到云服务监控模型，通过云服务监控模型可以对云API访问行为进行安全性风险评估，从而向云服务注册用户输出安全性分析结果。由于云服务监控模型通过机器学习的方式可以发现一些深层次安全规则，不需要人工构造规则库，因此尅降低云服务监控的漏报率，对云API访问行为自动的做出安全风险评估。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的技术人员来讲，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种云服务的自动化监控方法的流程方框示意图；

图2为本发明实施例提供的云服务的自动化监控系统与注册用户、访问用户之间的交互流程示意图；

图3-a为本发明实施例提供的云服务的自动化监控方法的整体实现框架示意图；

图3-b为本发明实施例提供的特征提取的实现过程示意图；

图4-a为本发明实施例提供的一种云服务的自动化监控系统的组成结构示意图；

图4-b为本发明实施例提供的另一种云服务的自动化监控系统的组成结构示意图；

图4-c为本发明实施例提供的一种模型训练模块的组成结构示意图；

图4-d为本发明实施例提供的一种安全风险分析模块的组成结构示意图；

图4-e为本发明实施例提供的另一种安全风险分析模块的组成结构示意图；

图4-f为本发明实施例提供的另一种云服务的自动化监控系统的组成结构示意图；

图5为本发明实施例提供的云服务的自动化监控方法应用于服务器的组成结构示意图。

具体实施方式

本发明实施例提供了一种云服务的自动化监控方法和系统，用于通过自动化的运营机制，提高云服务监控的准确率，同时降低云服务监控的漏报率。

为使得本发明的发明目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，下面所描述的实施例仅仅是本发明一部分实施例，而非全部实施例。基于本发明中的实施例，本领域的技术人员所获得的所有其他实施例，都属于本发明保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，以便包含一系列单元的过程、方法、系统、产品或设备不必限于那些单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它单元。

以下分别进行详细说明。

本发明云服务的自动化监控方法的一个实施例，具体可以应用于云服务场景下，可以对云应用程序编程接口(Application Programming Interface，API)访问行为进行安全性风险评估。其中，云服务是基于互联网的相关服务的增加、使用和交付模式，通常涉及通过互联网来提供动态易扩展且经常是虚拟化的资源。云API是云服务提供商预先定义的一些函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。本发明实施例中云服务场景下的云API访问行为可以进行自动化监控。请参阅图1所示，本发明一个实施例提供的云服务的自动化监控方法，请参阅图2所示，为本发明实施例提供的云服务的自动化监控系统与注册用户、访问用户之间的交互流程示意图。该云服务的自动化监控方法可以包括如下步骤：

101、获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据。

其中，首先获取到可用于评估云API访问行为是否具有安全性风险的云服务监控模型，本发明实施例采用逻辑回归(英文全称:Logist Regression，英文简称:LR)模型来预测云API访问行为的安全性风险，该逻辑回归模型通过逻辑回归算法使用云服务样本数据进行训练得到，训练完成的逻辑回归模型定义为本发明实施例中的云服务监控模型。本发明实施例中云服务监控模型通过逻辑回归算法从云服务样本数据中学习得到。其中，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据。其中，云API访问日志是云服务访问用户访问云服务注册用户时所产生的访问日志，云服务注册用户是注册到云服务的开发商，云服务访问用户是指使用云服务进行的普通用户。用户的信息数据是与具体用户相关的数据，比如用户标识(Identifier，ID)、用户年龄等信息。通过云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据对逻辑回归模型进行训练，从而输出云服务监控模型，该云服务器监控模型通过机器学习的方式可以发现一些深层次安全规则，不需要用户手动的设置规则库，因此可以降低云服务监控的漏报率。

在本发明的一些实施例中，步骤101获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型之前，本发明实施例提供的方法还包括：

A1、从云服务日志库中提取多个云API访问日志，以及从云服务提供商提供的用户模型中获取到云服务注册用户的信息数据和云服务访问用户的信息数据；

A2、以多个云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型。

其中，云服务日志库由云服务产生的大量云API访问日志构成，云服务会产生大量的云API访问日志，这些日志内容包括用户、操作、资源及上下文等信息，用户包括访问用户和注册用户(也称为开发商)两部分，访问用户可以用登陆IP或者第三方帐号ID来描述，而开发商则用云服务的唯一ID来描述。云API访问日志中记录有API访问的操作，包括服务类型和具体的API函数。上下文包括访问时间、登陆IP、密钥证书有效期、是否MFA验证等信息，资源是云服务的实体，如存储资源、机器资源等。用户模型是监控服务引入的第三方数据，是云服务提供商长期运营积累的用户画像和安全相关的信息，用户模型包括该用户常用的登陆方式，用户可信度及用户的行为标签等信息，用户可以分为云服务注册用户和云服务访问用户两种，用户模型中分别记录有云服务注册用户的信息数据和云服务访问用户的信息数据。

在获取到多个云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据之后，就可以将获取到的这些数据作为云服务训练样本，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型。进一步的，在本发明的一些实施例中，步骤A2以多个云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型，包括：

A21、从多个云API访问日志中提取出第一用户基础特征和云API操作基础特征；

A22、从云服务注册用户的信息数据中提取出云服务注册用户的第二用户基础特征，从云服务访问用户的信息数据中提取出云服务访问用户的第三用户基础特征；

A23、对第一户基础特征、云API操作基础特征、第二用户基础特征、第三用户基础特征分别进行特征离散处理，得到多个单一特征，并基于用户标识对多个单一特征进行组合，得到组合特征；

A24、根据云服务的历史攻击行为构造正负样本标签，以及根据多个单一特征以及组合特征、正负样本标签，通过逻辑回归算法对逻辑回归模型进行训练学习，在得到最优化参数时输出云服务监控模型。

其中，在云API访问日志记录有用户的信息数据和云API操作，因此可以对多个云API访问日志进行特征提取，得到第一用户基础特征和云API操作基础特征，例如第一用户基础特征和云API操作基础特征可以包括：用户ID、时间、IP、操作、资源、上下文等基础特征。在步骤A22中，基于用户的信息数据还可以提取用户相关特征，包括用户类型、常见登陆方式和登陆信息、可信度以及一些行为标签等，将从云服务注册用户的信息数据中提取出的特征定义为第二用户基础特征，将从云服务访问用户的信息数据中提取出的特征定义为第三用户基础特征。对基于云API访问日志生成的特征，以及基于用户信息生成的特征，通过用户ID进行关联，生成组合特征，通过该组合特征可以降低了模型训练的复杂度，从而步骤A24执行完成后就可以在得到最优参数时输出云服务监控模型。

102、将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估。

在本发明实施例中，获取到通过逻辑回归算法从云服务器样本数据中学习得到的云服务监控模型之后，该云服务监控模型可以用于云API访问行为的安全性风险预测，当有云服务访问用户发起云API访问行为时对该访问行为进行监控，将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估。通过云服务监控中的特征数据可以对该云API访问行为进行安全性风险评估。其中，监控到的云API访问行为可以是一个云API访问行为，也可以指的是多个云API访问行为，此时可以通过云服务监控模型对多个云API访问行为进行安全性风险评估。

103、获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果。

在本发明实施例中，通过步骤102云服务监控模型对云API访问行为进行安全风险评估之后，可以云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果。例如，逻辑回归模型评估后输出的安全风险值的取值区间为从0到1，每个云API访问行为通过云服务监控模型评估后输出的安全风险值按照从高到低进行排序，安全风险值越高的云API访问行为代表其存在的安全风险越大。

在本发明的一些实施例中，步骤103获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，包括：

B1、根据云服务监控模型评估后输出的安全风险值确定云API访问行为是攻击行为的概率值；

B2、判断概率值是否超过安全概率阈值；

B3、若概率值高于安全概率阈值，确定云API访问行为是高风险操作。

其中，对于单个的云API访问行为，通过云服务监控模型评估后输出安全风险值，可获得该云API访问行为的概率值，例如(0～1)之间一个概率值，并设定安全概率阈值，概率高于该阈值的云API访问行为，认为是高风险操作。

进一步的，在前述执行步骤B1至步骤B3的实现场景下，步骤103中的向云服务注册用户输出安全性分析结果，包括：

B4、当云API访问行为是高风险操作时，向云服务注册用户发出实时告警。

其中，云服务注册用户是注册到云服务的开发商，通过步骤B3确定单个云API访问行为是高风险操作时，可以发出实时告警，对于高优先级的重大安全问题，开发商在收到实时告警后可以及时跟进处理，例如告警的方式可以安全通知，或者提醒等。

在本发明的一些实施例中，除了执行前述的实施例中的步骤之外，本发明实施例提供的方法还可以包括如下步骤：

C1、按照云服务注册用户、云服务访问用户分别统计在一段时间内高风险操作的比例，若高风险操作的比例超过安全比例阈值，向云服务注册用户发出实时告警；或，

C2、按照云服务注册用户、云服务访问用户分别统计在一段时间内可疑的安全风险，以安全报告形式定期输出给云服务注册用户，供云服务注册用户分析确认。

其中，使用云服务监控模型，可以对一些新的云API访问行为，实时分析该行为属于攻击行为的概率，并通过用户维度和开发商维度统计高概率攻击行为的比例，对于高可疑攻击行为相关的数据反馈给开发商。本发明实施例中通过对高风险操作的评估，在输出时可以有多种方式，例如最近一段时间(以分钟为时间单位)的高风险操作比例超过一定阈值，则触发实时告警，还可以定期输出安全性报告，包括可疑的高风险操作集合及分布情况。

在本发明的一些实施例中，步骤103获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果之后，本发明实施例提供的方法还包括：

D1、接收云服务注册用户发送的安全风险，以及接收云服务提供商提供的安全风险；

D2、根据接收到的安全风险构造模型训练的负样本，并根据构造出的负样本对云服务监控模型进行优化。

其中，云服务注册用户可以根据本发明实施例中反馈的安全风险进行安全性确认，并反过来优化云服务监控模型，模型训练的负样本包括历史积累的有安全风险的样本，以及用户提交的有安全风险的样本，样本和模型都需要持续更新和优化。通过机器学习方式去发现一些深层次安全规则，降低云服务监控的漏报率。

通过以上实施例对本发明实施例的描述可知，首先获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；然后将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估；最后获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果。本发明实施例中可以使用云服务样本数据来训练得到云服务监控模型，通过云服务监控模型可以对云API访问行为进行安全性风险评估，从而向云服务注册用户输出安全性分析结果。由于云服务监控模型通过机器学习的方式可以发现一些深层次安全规则，不需要人工构造规则库，因此尅降低云服务监控的漏报率，对云API访问行为自动的做出安全风险评估。

为便于更好的理解和实施本发明实施例的上述方案，下面举例相应的应用场景来进行具体说明。

如图3-a所示，为本发明实施例提供的云服务的自动化监控方法的整体实现框架示意图。本发明实施例中通过从云服务提供商持续运营积累的云API访问日志以及用户信息数据中，提取和云服务安全相关的特征，根据历史安全行为进行标注，并基于逻辑回归模型进行训练，生成云服务监控模型，给云服务开发商提供自动化的云服务监控服务。本发明实施例中采用的是逻辑回归算法，逻辑回归算法是在线性回归基础上加了层逻辑函数，普遍应用于互联网的分类方法，适用于大量特征大量样本的情况，处理效果会比SVM、决策树好很多。

本发明实施例中根据云API访问日志以及结合用户信息数据提取特征，通过逻辑回归算法进行模型训练，创新点在于结合了用户信息数据进行逻辑回归模型的训练。本发明实施例中进一步的通过分析用户的云API访问日志，结合开发商以及用户的信息数据，提取单一特征和组合特征，其中组合特征就是单一特征组合起来的，比如A、B是单一特征，A、B的组合可以当成一个组合特征，从而提高模型的泛化能力。本发明实施例中利用历史上的攻击行为(通过云服务的历史运营数据积累)作为标注数据，构造正样本和负样本，通过逻辑回归的方法训练模型；利用训练模型，对一些新的云API访问行为，实时分析该行为属于攻击行为的概率，并通过用户维度和开发商维度统计高概率攻击行为的比例，对于高可疑攻击行为相关的数据通过云服务监控系统反馈给开发商。开发商或者云服务提供商可以根据监控系统反馈进行安全性确认，并反过来优化反馈模型。该方案更多的靠机器学习方式去发现一些深层次安全规则，降低云服务监控的漏报率。

云服务产品给开发商提供自动化监控系统服务，开发商开启该服务之后，可以定期收到云服务推送的安全报告，以及高优先级的重大安全告警。对于高优先级的重大安全问题，开发商在收到实时告警后可以及时跟进处理，对于潜在的或者可疑的安全风险，云服务提供商会以安全报告形式定期输出给开发商，供开发商分析确认。云服务的自动化监控系统还会实时收集开发商确认的安全风险以及开发商自主上报的安全风险进行模型优化。是用开发商提供的安全风险作为样本，来训练逻辑回归模型。

在图3-a中，要完成基于逻辑回归的自动化云服务监控，需要对云API访问日志进行持续积累和标注，在此基础上，结合云服务获取的开发商的信息数据(profile)和访问用户的信息数据并进行特征提取和建模，以及持续优化，在图3-a所示的整体框架中，整个系统包括数据收集模块、特征提取模块、基于逻辑回归的安全模型训练模块和行为分析模块四部分。

首先对数据收集模块进行说明，数据收集需要包括两部分数据，一部分是云API访问日志，另外一部分是由云服务长期运营积累的用户profile数据。用户profile数据包括了开发商profile和普通用户profile。云API访问日志中包括了用户信息，用于后续特征提取时把两部分数据结合起来。

数据收集模块可以收集云服务会产生大量的云API访问日志，这些日志内容包括用户、操作、资源及上下文等信息，用户包括访问者和开发商两部分，访问者可以用登陆IP或者第三方帐号ID来描述，而开发商则用云服务的唯一ID来描述。操作即具体的云API，包括服务类型和具体的API函数。上下文包括访问时间、登陆IP、密钥证书有效期、是否MFA验证等信息。资源是云服务的实体，如内容分发网络(Content Delivery Network，CDN)资源、存储资源、机器资源等。

数据收集模块还可以收集从用户模型收集用户信息数据，用户模型是监控服务引入的第三方数据。是云服务提供商长期运营积累的用户画像和安全相关的信息，可以和云API中的用户相关联。用户模型包括该用户常用的登陆方式，用户可信度及用户的行为标签等信息。

下面是云API访问日志的具体形式概述。

下面是用户的具体形式概述。

访问用户：

注册用户：

其次对特征提取模块进行说明。通过用户信息关联云API访问日志和用户profile数据，并提取云API操作相关的特征、用户模型中的特征以及用户和云API的组合特征，进行特征离散化后，基于历史标签生成训练用数据，其中，历史标签就是样本的目标值，是正样本或者负样本。

特征提取模块执行的特征提取过程，决定了整个模型训练的效果，如图3-b所示，为本发明实施例提供的特征提取的实现过程示意图。整个流程描述如下：

基于云API访问日志，提取用户相关特征以及操作相关特征，包括用户ID、时间、IP、操作、资源、上下文等基础特征。基于用户信息数据，提取用户相关特征，包括用户类型、常见登陆方式和登陆信息、可信度以及一些行为标签等。基于云API访问日志生成的特征，以及基于用户信息数据生成的特征，通过用户ID进行关联，生成组合特征。组合特征的好处是降低了模型训练的复杂度。

下表1是列出了基础特征和组合特征的列表。

a.基于云API访问日志的基础特征

b.基于用户信息数据的基础特征

得到基础特征之后，需要对基础特征进行离散化处理，得到多个单一特征，所有上述特征，都需要进行离散化，离散化除了一些计算方面等等好处，还可以引入非线性特性，也可以很方便的做组合特征。组合特征通过开发商ID和访问用户ID，把两类基础特征进行两两关联后，进行特征扩展，例如用户类型+云API ID的组合构成了一个特征等。组合特征可以丰富和约束基础特征，同时可以提供模型训练的准确率。在完成组合特征生成后，结合之前的基础特征，以及历史积累的正负样本标签数据，即可以提供模型训练需要的样本了。

接下来对安全模型训练模块进行说明。会根据特征提取模块输出的离散化特征，以及正负样本标签，通过逻辑回归模型进行训练，得到最优化参数。

基于逻辑回归的模型训练，会根据上述的单一特征和组合特征，不断的训练特征关联的特征参数，并得到参数的最优解。模型训练的负样本包括历史积累的有安全风险的样本，以及用户提交的有安全风险的样本。样本和模型都需要持续更新和优化。

最后对行为分析模块进行说明。将云API操作的一些特征作为安全模型的输入分析得到操作的安全性概率。并按开发商维度和普通用户维度实时统计一定时间窗口的操作安全性比例，对于安全性比例较低的用户，将实时告警，同时定期给开发商输出安全报告。其中，安全性比例包括：开发商操作安全比例、用户操作安全比例，操作安全性比例是指用户的安全操作次数除以用户访问总次数。

行为分析模块基于训练模型进行最终的安全性评估，单个云API操作，以及该云API关联的开发商和普通用户信息进行特征提取，通过基于逻辑回归的安全模型，可获得该云API操作的概率(0～1)，并设定安全概率阈值，概率高于该阈值的云API操作，认为是高风险操作。按开发商维度和普通用户维度，统计一定时间窗口的高风险操作比例。决策输出包括两种：一种最近一段时间的高风险操作比例超过一定阈值，则触发实时告警。另一种是定期输出安全性报告，包括可疑的高风险操作集合及分布情况。

本发明实施例中能够更好的挖掘云服务的风险操作的特征。通过自动化的运营机制，提高云服务监控的准确率，同时降低漏报率，对于高安全性风险的操作，能够进行实时告警。在本发明的一些实施例中，还可以结合在线机器学习(Follow The RegularizedLeader，FTRL)的方式进行进一步的实时模型优化，从而可以提高训练速度。具体做法就是FTRL针对近期的实时数据做训练，生成一个短时模型，而且模型更新时效性是实时的。逻辑回归算法得到的是一个长时模型，通过FTRL模型和逻辑回归模型两个模型进行融合打分，最终决定用户的云API访问请求是否有安全风险，通过两个模型的组合评判，可以提高安全风险预测的准确性。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

为便于更好的实施本发明实施例的上述方案，下面还提供用于实施上述方案的相关装置。

请参阅图4-a所示，本发明实施例提供的一种云服务的自动化监控系统400，可以包括：模型获取模块401、模型评估模块402、安全分析模块403，其中，

模型获取模块401，用于获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云应用程序编程接口API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；

模型评估模块402，用于将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；

安全分析模块403，用于获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

在本发明的一些实施例中，请参阅图4-b所示，所述云服务的自动化监控系统400还包括：数据获取模块404和模型训练模块405，其中，

所述数据获取模块404，用于所述模型获取模块401获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型之前，从云服务日志库中提取多个云API访问日志，以及从云服务提供商提供的用户模型中获取到所述云服务注册用户的信息数据和所述云服务访问用户的信息数据；

所述模型训练模块405，用于以所述多个云API访问日志、所述云服务注册用户的信息数据和所述云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型。

在本发明的一些实施例中，请参阅图4-c所示，所述模型训练模块405，包括：

特征提取模块4051，用于从所述多个云API访问日志中提取出第一用户基础特征和云API操作基础特征；从所述云服务注册用户的信息数据中提取出所述云服务注册用户的第二用户基础特征，从所述云服务访问用户的信息数据中提取出所述云服务访问用户的第三用户基础特征；

特征组合模块4052，用于对所述第一户基础特征、所述云API操作基础特征、所述第二用户基础特征、所述第三用户基础特征分别进行特征离散处理，得到多个单一特征，并基于用户标识对所述多个单一特征进行组合，得到组合特征；

训练处理模块4053，用于根据云服务的历史攻击行为构造正负样本标签，以及根据所述多个单一特征以及所述组合特征、所述正负样本标签，通过逻辑回归算法对逻辑回归模型进行训练学习，在得到最优化参数时输出云服务监控模型。

在本发明的一些实施例中，请参阅图4-d所示，所述安全分析模块403，包括：

概率计算模块4031，用于根据所述云服务监控模型评估后输出的安全风险值确定所述云API访问行为是攻击行为的概率值；

判断模块4032，用于判断所述概率值是否超过安全概率阈值；

高风险确定模块4033，用于若所述概率值高于所述安全概率阈值，确定所述云API访问行为是高风险操作。

在本发明的一些实施例中，请参阅图4-e所示，进一步的，相对于图4-d所示，所述安全分析模块403，还包括：

告警模块4034，用于当所述云API访问行为是高风险操作时，向所述云服务注册用户发出实时告警。

在本发明的一些实施例中，所述安全分析模块403，还用于按照云服务注册用户、云服务访问用户分别统计在一段时间内高风险操作的比例，若所述高风险操作的比例超过安全比例阈值，向所述云服务注册用户发出实时告警；或，按照云服务注册用户、云服务访问用户分别统计在一段时间内可疑的安全风险，以安全报告形式定期输出给所述云服务注册用户，供所述云服务注册用户分析确认。

在本发明的一些实施例中，请参阅图4-f所示，所述云服务的自动化监控系统400还包括：模型优化模块406，用于所述安全分析模块403获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果之后，接收所述云服务注册用户发送的安全风险，以及接收云服务提供商提供的安全风险；根据接收到的安全风险构造模型训练的负样本，并根据构造出的负样本对所述云服务监控模型进行优化。

通过以上对本发明实施例的描述可知，首先获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；然后将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估；最后获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果。本发明实施例中可以使用云服务样本数据来训练得到云服务监控模型，通过云服务监控模型可以对云API访问行为进行安全性风险评估，从而向云服务注册用户输出安全性分析结果。由于云服务监控模型通过机器学习的方式可以发现一些深层次安全规则，不需要人工构造规则库，因此尅降低云服务监控的漏报率，对云API访问行为自动的做出安全风险评估。

图5是本发明实施例提供的一种服务器结构示意图，该服务器1100可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(central processingunits，CPU)1122(例如，一个或一个以上处理器)和存储器1132，一个或一个以上存储应用程序1142或数据1144的存储介质1130(例如一个或一个以上海量存储设备)。其中，存储器1132和存储介质1130可以是短暂存储或持久存储。存储在存储介质1130的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器1122可以设置为与存储介质1130通信，在服务器1100上执行存储介质1130中的一系列指令操作。

服务器1100还可以包括一个或一个以上电源1126，一个或一个以上有线或无线网络接口1150，一个或一个以上输入输出接口1158，和/或，一个或一个以上操作系统1141，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

上述实施例中服务器可以为前述的云服务的自动化监控系统，由服务器所执行的步骤可以基于该图5所示的服务器结构。

通过以上对本发明实施例的描述可知，首先获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，云服务样本数据包括：云API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；然后将监控到的云API访问行为输入到云服务监控模型中，通过云服务监控模型对监控到的云API访问行为进行安全性风险评估；最后获取云服务监控模型评估后输出的安全风险值作为云API访问行为的安全性分析结果，并向云服务注册用户输出安全性分析结果。本发明实施例中可以使用云服务样本数据来训练得到云服务监控模型，通过云服务监控模型可以对云API访问行为进行安全性风险评估，从而向云服务注册用户输出安全性分析结果。由于云服务监控模型通过机器学习的方式可以发现一些深层次安全规则，不需要人工构造规则库，因此尅降低云服务监控的漏报率，对云API访问行为自动的做出安全风险评估。

另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本发明而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘、U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

综上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照上述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对上述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (15)

1.一种云服务的自动化监控方法，其特征在于，包括：

获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云应用程序编程接口API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；

将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；

获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

2.根据权利要求1所述的方法，其特征在于，所述获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型之前，所述方法还包括：

从云服务日志库中提取多个云API访问日志，以及从云服务提供商提供的用户模型中获取到所述云服务注册用户的信息数据和所述云服务访问用户的信息数据；

以所述多个云API访问日志、所述云服务注册用户的信息数据和所述云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型。

3.根据权利要求2所述的方法，其特征在于，所述以所述多个云API访问日志、所述云服务注册用户的信息数据和所述云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型，包括：

从所述多个云API访问日志中提取出第一用户基础特征和云API操作基础特征；

从所述云服务注册用户的信息数据中提取出所述云服务注册用户的第二用户基础特征，从所述云服务访问用户的信息数据中提取出所述云服务访问用户的第三用户基础特征；

对所述第一户基础特征、所述云API操作基础特征、所述第二用户基础特征、所述第三用户基础特征分别进行特征离散处理，得到多个单一特征，并基于用户标识对所述多个单一特征进行组合，得到组合特征；

根据云服务的历史攻击行为构造正负样本标签，以及根据所述多个单一特征以及所述组合特征、所述正负样本标签，通过逻辑回归算法对逻辑回归模型进行训练学习，在得到最优化参数时输出云服务监控模型。

4.根据权利要求1所述的方法，其特征在于，所述获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，包括：

根据所述云服务监控模型评估后输出的安全风险值确定所述云API访问行为是攻击行为的概率值；

判断所述概率值是否超过安全概率阈值；

若所述概率值高于所述安全概率阈值，确定所述云API访问行为是高风险操作。

5.根据权利要求4所述的方法，其特征在于，所述向所述云服务注册用户输出所述安全性分析结果，包括：

当所述云API访问行为是高风险操作时，向所述云服务注册用户发出实时告警。

6.根据权利要求4所述的方法，特征在于，所述方法还包括：

按照云服务注册用户、云服务访问用户分别统计在一段时间内高风险操作的比例，若所述高风险操作的比例超过安全比例阈值，向所述云服务注册用户发出实时告警；或，

按照云服务注册用户、云服务访问用户分别统计在一段时间内可疑的安全风险，以安全报告形式定期输出给所述云服务注册用户，供所述云服务注册用户分析确认。

7.根据权利要求1所述的方法，其特征在于，所述获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果之后，所述方法还包括：

接收所述云服务注册用户发送的安全风险，以及接收云服务提供商提供的安全风险；

根据接收到的安全风险构造模型训练的负样本，并根据构造出的负样本对所述云服务监控模型进行优化。

8.一种云服务的自动化监控系统，其特征在于，包括：

模型获取模块，用于获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型，所述云服务样本数据包括：云应用程序编程接口API访问日志、云服务注册用户的信息数据和云服务访问用户的信息数据；

模型评估模块，用于将监控到的云API访问行为输入到所述云服务监控模型中，通过所述云服务监控模型对所述监控到的云API访问行为进行安全性风险评估；

安全分析模块，用于获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果。

9.根据权利要求8所述的系统，其特征在于，所述云服务的自动化监控系统还包括：数据获取模块和模型训练模块，其中，

所述数据获取模块，用于所述模型获取模块获取通过逻辑回归算法从云服务样本数据中学习得到的云服务监控模型之前，从云服务日志库中提取多个云API访问日志，以及从云服务提供商提供的用户模型中获取到所述云服务注册用户的信息数据和所述云服务访问用户的信息数据；

所述模型训练模块，用于以所述多个云API访问日志、所述云服务注册用户的信息数据和所述云服务访问用户的信息数据作为云服务样本数据，通过逻辑回归算法对逻辑回归模型进行训练学习，输出云服务监控模型。

10.根据权利要求9所述的系统，其特征在于，所述模型训练模块，包括：

特征提取模块，用于从所述多个云API访问日志中提取出第一用户基础特征和云API操作基础特征；从所述云服务注册用户的信息数据中提取出所述云服务注册用户的第二用户基础特征，从所述云服务访问用户的信息数据中提取出所述云服务访问用户的第三用户基础特征；

特征组合模块，用于对所述第一户基础特征、所述云API操作基础特征、所述第二用户基础特征、所述第三用户基础特征分别进行特征离散处理，得到多个单一特征，并基于用户标识对所述多个单一特征进行组合，得到组合特征；

训练处理模块，用于根据云服务的历史攻击行为构造正负样本标签，以及根据所述多个单一特征以及所述组合特征、所述正负样本标签，通过逻辑回归算法对逻辑回归模型进行训练学习，在得到最优化参数时输出云服务监控模型。

11.根据权利要求8所述的系统，其特征在于，所述安全分析模块，包括：

概率计算模块，用于根据所述云服务监控模型评估后输出的安全风险值确定所述云API访问行为是攻击行为的概率值；

判断模块，用于判断所述概率值是否超过安全概率阈值；

高风险确定模块，用于若所述概率值高于所述安全概率阈值，确定所述云API访问行为是高风险操作。

12.根据权利要求11所述的系统，其特征在于，所述安全分析模块，还包括：

告警模块，用于当所述云API访问行为是高风险操作时，向所述云服务注册用户发出实时告警。

13.根据权利要求11所述的系统，特征在于，所述安全分析模块，还用于按照云服务注册用户、云服务访问用户分别统计在一段时间内高风险操作的比例，若所述高风险操作的比例超过安全比例阈值，向所述云服务注册用户发出实时告警；或，按照云服务注册用户、云服务访问用户分别统计在一段时间内可疑的安全风险，以安全报告形式定期输出给所述云服务注册用户，供所述云服务注册用户分析确认。

14.根据权利要求8所述的系统，其特征在于，所述云服务的自动化监控系统还包括：模型优化模块，用于所述安全分析模块获取所述云服务监控模型评估后输出的安全风险值作为所述云API访问行为的安全性分析结果，并向所述云服务注册用户输出所述安全性分析结果之后，接收所述云服务注册用户发送的安全风险，以及接收云服务提供商提供的安全风险；根据接收到的安全风险构造模型训练的负样本，并根据构造出的负样本对所述云服务监控模型进行优化。

15.一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行如权利要求1-7任意一项所述的方法。