CN107612938A - 一种网络用户异常行为检测方法、装置、设备及存储介质 - Google Patents

Abstract

本发明实施例公开了一种网络用户异常行为检测方法、装置、设备及存储介质，其中，所述方法包括：获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本；所经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。利用集成分类器提升处理非平衡复杂分布数据的能力，提高网络用户异常行为的检测准确性。

Description

一种网络用户异常行为检测方法、装置、设备及存储介质

技术领域

本发明涉及计算机技术领域，尤其涉及一种网络用户异常行为检测方法、装置、设备及存储介质。

背景技术

随着互联网技术的发展，网络在人们日常生活、工作和学习中越来越重要，必须要保证网络安全，其中检测网络用户异常行为尤为重要。网络用户异常行为是网络面临的一大威胁，所谓异常行为，是指与正常行为相对应，由网络用户实施的对网络正常运行造成影响的行为，例如传播蠕虫、DDOS攻击等。这些行为会造成网络服务质量急剧下降，网络负载加重甚至瘫痪等后果。随着网络快速发展，网络用户异常行为的新变种以及新行为层出不穷，其威胁也日益严重。因此无论是加强对用户行为的管控，还是保障网络的正常运行，都要求能够对网络用户的异常行为实施快速、准确的检测。

早期人们通常采用端口扫描、报文特征字段匹配等方法对异常行为进行深入分析以获取特征，从而实现网络用户异常行为的检测。目前随着人工智能技术的发展，机器学习技术更多地被用于从网络数据中自动计算异常行为模式、提取其特征，从而自动产生检测规则，大大降低了开发代价，其中协同学习是最常用且检测效果较好的一种方法。具体的，通过生成的若干成员分类器进行协作学习，能够充分利用蕴含在无标记训练样本中的信息，从而降低了对训练样本数据进行标记的数量要求，在检测准确性和标记训练样本数量之间取得了较好的折中。

虽然协同学习方法能够因只需部分标记的训练样本数据而降低系统开销，但其通常假设训练样本是均匀和平衡的，而实际的网络环境中，包含网络用户异常行为的网络数据中存在着明显的非平衡性和分布复杂性，若将协同学习方法直接用于网络用户异常行为的检测，则其生成的成员分类器会产生过拟合现象，从而影响协同学习的效果、降低检测的准确性。

发明内容

本发明实施例提供了一种网络用户异常行为检测方法、装置、设备及存储介质，通过引入选择性集成学习技术到协同学习检测方法中，提升协同学习方法处理非平衡复杂分布数据的能力，提高网络用户异常行为的检测准确性。

第一方面，本发明实施例提供了一种网络用户异常行为检测方法，包括：

获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本；

将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

第二方面，本发明实施例还提供了一种网络用户异常行为检测装置，包括：

预处理模块，获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本；

检测模块，将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

第三方面，本发明实施例还提供了一种服务器，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上述实施例提供的网络用户异常行为检测方法。

第四方面，本发明实施例还提供了包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如上述实施例提供的网络用户异常行为检测方法。

本发明实施例提供的一种网络用户异常行为检测方法、装置、设备及存储介质，根据检测特征指标，对采集的网络实际流量数据进行预处理，将经过预处理的网络原始流量数据输入到完成训练的集成分类器，根据所述统集成分类器的输出对用户行为进行识别。利用集成分类器提升处理非平衡复杂分布数据的能力，提高网络用户异常行为的检测准确性。

附图说明

图1是本发明实施例一提供的一种网络用户异常行为检测方法的流程图；

图2是本发明实施例二提供的集成分类器生成的流程图；

图3是本发明实施例三提供的一种网络用户异常行为检测装置的结构图；

图4是本发明实施例4提供的服务器的结构图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

实施例一

图1是本发明实施例一提供的一种网络用户异常行为检测方法的流程图，本实施例可适用于对网络用户异常行为进行检测的情况，该方法可以由网络用户异常行为检测装置来执行，并可集成于网络用户异常行为检测服务器中，具体包括如下步骤：

步骤110、获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本。

网络的流量数据并不能被集成分类器直接识别，还需要根据检测特征指标对网络流量数据进行预处理。其中检测特征指标是指用户网络行为流量中具备的可能包含用户正常和异常行为差异的特征。训练样本是指即经部分标记处理后所得的可用于训练分类器的带标记的用户网络行为数据。所谓部分标记数据即从采集得到的用户网络行为数据。根据所述检测特征指标对流量数据进行统计和测量，构造网络用户行为数据，可以通过软件工具、人工分析等方法对部分网络用户行为数据进行标记，得到部分标记的训练样本。示例性的，标记可以采用SVM分类器进行标记，SVM是一种二分类的检测方法，因此标记具体取值为1,0或-1，其中取值1为正标记，对应异常行为；-1为负标记，对应用户正常行为；0则表示无标记，即该行数据行为类别未知。

步骤120、将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

集成分类器根据输入的预处理的网络原始流量数据，根据流量数据的标记对网络用户行为进行检测。由于集成分类器是由多个成员分类器组成，而各成员分类器通常建立在不同特征子空间上，因此输入时还需进行必要的投影操作。当所有成员分类器输出结果后，使用简单多数原则进行投票后即得检测结果。

本发明实施例提供的一种网络用户异常行为检测方法，根据检测特征指标，对采集的网络实际流量数据进行预处理，将经过预处理的网络原始流量数据输入到完成训练的集成分类器，根据所述统集成分类器的输出对用户行为进行识别。利用集成分类器提升处理非平衡复杂分布数据的能力，提高网络用户异常行为的检测准确性。

实施例二

图2为本发明实施例二提供的集成分类器生成的流程示意图。本实施例中，详尽的描述集成分类器的生成过程，具体包括：

步骤210、获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本。

步骤220、根据改进的EasyEnssemble方法对所述训练样本进行处理，获取样本子集。

使用基于特征子空间的聚类方法获取样本分布情况，将训练数据划分为保留原有分部信息的、平衡的样本子集。

步骤230、基于混合扰动方法处理所述样本子集生成具备差异性的成员分类器。

对特征子空间、训练样本子集以及SVM参数三者进行充分组合的基于混合扰动的成员分类器生成方法，首先对样本处理过程中生成的特征子空间和训练样本子集进行组合；然后在每个组合上计算可降低分类器偏差的参数和取值空间(“低偏差区域”Reglow)，从中随机选择参数和取值空间，并进一步与特征指标、样本空间进行组合，最终生成一定数量的、有差异的成员分类器。

步骤240、基于改进的协同学习方法对成员分类器进行训练，根据准确性筛选成员构建集成分类器。

成员分类器协同学习环节使用选择性集成方法对置信度计算进行简化，即每次迭代中不再对每个成员分类器分别计算置信度并更新数据，而是基于准确性选择部分成员分类器的集成分类结果来计算无标记数据的置信度并从整体上更新数据；然后在成员分类器集成环节进行选择性集成，基于协同学习过程中积累的准确性选择质量较高的成员分类器来构建最终用于检测的集成分类器。

本实施例具体描述集成分类器的生成过程，为后续利用集成分类器识别网络用户异常行为提供基础。

实施例三

图3是本发明实施例三提供的一种网络用户异常行为检测装置的结构示意图，如图3所示，所述装置包括：

预处理模块310，获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本。

检测模块320，将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

本发明实施例提供的一种网络用户异常行为检测装置，根据检测特征指标，对采集的网络实际流量数据进行预处理，将经过预处理的网络原始流量数据输入到完成训练的集成分类器，根据所述统集成分类器的输出对用户行为进行识别。利用集成分类器提升处理非平衡复杂分布数据的能力，提高网络用户异常行为的检测准确性。

在上述各实施例的基础上，所述装置还包括：

样本处理模块，根据改进的EasyEnssemble方法对所述训练样本进行处理，获取样本子集；

成员分类器构造模块，基于混合扰动方法处理所述样本子集生成具备差异性的成员分类器；

集成分类器构造模块，基于改进的协同学习方法对成员分类器进行训练，根据准确性筛选成员构建集成分类器；

标记模块，根据所述检测特征指标对流量数据进行统计和测量，构造网络用户行为数据，通过软件工具、人工分析等方法对部分网络用户行为数据进行标记，得到部分标记的训练样本。

本发明实施例所提供的网络用户异常行为检测装置可执行本发明任意实施例所提供的网络用户异常行为检测方法，具备执行方法相应的功能模块和有益效果。

实施例四

图4为本发明实施例四提供的一种服务器的结构示意图。图4示出了适于用来实现本发明实施方式的示例性服务器12的框图。图4显示的服务器12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图4所示，服务器12以通用计算设备的形式表现。服务器12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同系统组件(包括系统存储器28和处理单元16)的总线18。

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。

服务器12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被服务器12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。服务器12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图4未显示，通常称为“硬盘驱动器”)。尽管图4中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。

服务器12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该设备/服务器/服务器12交互的设备通信，和/或与使得该服务器12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，服务器12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与服务器12的其它模块通信。应当明白，尽管图中未示出，可以结合服务器12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的网络用户异常行为检测方法。

实施例五

本发明实施例五还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如上述实施例提供的网络用户异常行为检测方法。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如”C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种网络用户异常行为检测方法，其特征在于，包括：

获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本；

将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

2.根据权利要求1所述的方法，其特征在于，在获得部分标记的训练样本后，还包括：

根据改进的EasyEnssemble方法对所述训练样本进行处理，获取样本子集；

基于混合扰动方法处理所述样本子集生成具备差异性的成员分类器；

基于改进的协同学习方法对成员分类器进行训练，根据准确性筛选成员构建集成分类器。

3.根据权利要求1所述的方法，其特征在于，所述获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本包括：

根据所述检测特征指标对流量数据进行统计和测量，构造网络用户行为数据，通过软件工具、人工分析等方法对部分网络用户行为数据进行标记，得到部分标记的训练样本。

4.根据权利要求2所述的方法，其特征在于，所述根据改进的EasyEnssemble方法对所述训练样本进行处理，获取样本子集包括：

基于特征子空间的聚类方法获取样本分布情况，将训练数据划分为保留原有分部信息的、平衡的样本子集。

5.根据权利要求2所述的方法，其特征在于，所述基于混合扰动方法处理所述样本子集生成具备差异性的成员分类器包括：

样本子空间、样本子空间特征和分类器参数互相组合，生成足够数量且具备差异性的成员分类器。

6.一种网络用户异常行为检测装置，其特征在于，包括：

预处理模块，获取网络实际流量数据，根据检测特征指标对所述网络实际流量数据进行预处理，获得部分标记的训练样本；

检测模块，将经过预处理的网络原始流量数据输入集成分类器，根据所述统集成分类器的输出对用户行为进行识别。

7.根据权利要求6所述的装置，其特征在于，所述装置包括：

样本处理模块，根据改进的EasyEnssemble方法对所述训练样本进行处理，获取样本子集；

成员分类器构造模块，基于混合扰动方法处理所述样本子集生成具备差异性的成员分类器；

集成分类器构造模块，基于改进的协同学习方法对成员分类器进行训练，根据准确性筛选成员构建集成分类器。

8.根据权利要求6所述的装置，其特征在于，所述预处理模块还包括：

标记模块，根据所述检测特征指标对流量数据进行统计和测量，构造网络用户行为数据，通过软件工具、人工分析等方法对部分网络用户行为数据进行标记，得到部分标记的训练样本。

9.一种服务器，其特征在于，所述服务器包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-5中任一所述的网络用户异常行为检测方法。

10.一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1-5任一所述的网络用户异常行为检测方法。