CN110266510B - 网络控制策略生成方法及装置、网络控制方法、存储介质 - Google Patents

Abstract

本发明涉及一种网络控制策略生成方法及装置，属于信息安全技术领域。该方法包括：采集终端设备的网络日志信息；基于所述网络日志信息，提取多个预设维度的特征数据；获取特征数据与网络控制策略之间的映射模型；通过所述映射模型，利用提取的所述特征数据得到所述终端设备的网络控制策略。本发明可以实现企业中网络控制策略的配置及维护过程自动化，减轻网络运维人员的工作量，降低人为失误给系统安全造成的风险。

Description

网络控制策略生成方法及装置、网络控制方法、存储介质

技术领域

本发明涉及信息安全技术领域，具体而言，涉及一种网络控制策略生成方法及装置、网络控制方法、计算机可读存储介质。

背景技术

网络控制策略是企业或组织内管理员工网络访问权限与网络资源使用的规则。例如，在企业或组织内网的员工通过代理服务器访问外网时，代理服务器可以通过一定的网络控制策略限制员工访问网站的类别、时间、流量等。同时，随着各类挂马、钓鱼、病毒等非法网站的增加，代理服务器配置合适的网络控制策略，还可以抵御各种网络攻击，为企业或组织守护信息与资产安全。

现有技术中通常是由网络运维人员采用静态配置的方式，统一配置组织内的网络控制策略。例如，可以通过XML(可扩展标记)、Json(JavaScript对象标记)、ini(初始配置文件)等配置文件统一配置内网中全部设备的上网时长、时段、数据量、黑白名单网站等。

然而，如果整个企业或组织内使用统一的网络控制策略，则难以针对所有设备进行个性化设置，可能会导致部分用户使用上的不便；并且网络控制策略需要由网络运维人员手动配置以及定期维护，无法由系统自动实现，增加了操作的繁琐度；同时，当网络运维人员配置失误时，可能会给企业的信息安全带来极大的风险。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本发明的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本发明的目的在于提供一种网络控制策略生成方法、网络控制方法、网络控制策略生成装置及计算机可读存储介质，进而至少在一定程度上克服由于相关技术的限制和缺陷而导致的配置与维护网络控制策略的过程无法实现自动化的问题。

根据本公开的一个方面，提供一种网络控制策略生成方法，包括：采集终端设备的网络日志信息；基于所述网络日志信息，提取多个预设维度的特征数据；获取特征数据与网络控制策略之间的映射模型；通过所述映射模型，利用提取的所述特征数据得到所述终端设备的网络控制策略。

在本公开的一种示例性实施例中，所述方法还包括：获取多条训练数据，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略；基于所述训练数据，对一机器学习模型进行训练，生成所述映射模型。

在本公开的一种示例性实施例中，所述获取多条训练数据包括：采集多个终端设备的网络日志信息，得到网络日志信息样本；基于各所述网络日志信息样本，提取多个所述预设维度的特征数据，得到所述特征数据样本；获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，得到所述训练数据。

在本公开的一种示例性实施例中，所述机器学习模型包括随机森林模型、深度神经网络模型、支持向量机模型、提升树模型、一般线性模型以及渐进梯度回归树模型中的一种或多种。

在本公开的一种示例性实施例中：所述机器学习模型包括随机森林模型，所述随机森林模型包括多个决策树；利用提取的所述特征数据计算所述终端设备的网络控制策略包括：分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略；将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。

在本公开的一种示例性实施例中，所述决策树包括多个特征路径，每个所述特征路径对应一个候选网络控制策略；分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略，包括：根据提取的所述特征数据，从各决策树包括的特征路径中获取与提取的所述特征数据匹配的特征路径作为目标特征路径；将各所述目标特征路径对应的候选网络控制策略作为各所述决策树的计算得到的候选网络控制策略。

在本公开的一种示例性实施例中，所述映射模型包括特征数据与网络控制策略之间的直接映射关系；所述利用提取的所述特征数据计算与提取的所述特征数据对应的网络控制策略包括：根据提取的所述特征数据，从所述映射模型中查询与提取的所述特征数据存在映射关系的网络控制策略作为所述终端设备的网络控制策略。

在本公开的一种示例性实施例中，所述预设维度包括：所述终端设备的使用者信息、所述终端设备的机器属性、所述终端设备的访问属性、所述终端设备的恶意属性、所述终端设备的灰色属性、所述终端设备访问网站的分类属性以及所述终端设备的用户历史属性中的一个或多个。

根据本公开的一个方面，提供一种网络控制方法，包括：周期性的根据上述任意一项所述的网络控制策略生成方法为多个终端设备生成网络控制策略；通过所述网络控制策略对所述终端设备的网络访问进行控制。

根据本公开的一个方面，提供一种网络控制策略生成装置，包括：日志采集模块，用于采集终端设备的网络日志信息；特征提取模块，用于基于所述网络日志信息，提取多个预设维度的特征数据；映射获取模块，用于获取特征数据与网络控制策略之间的映射模型；策略服务模块，通过所述映射模型，利用提取的所述特征数据得到所述终端设备的网络控制策略。

在本公开的一种示例性实施例中，还包括：训练数据获取模块，用于获取多条训练数据，其中，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略；机器学习模块，用于基于所述训练数据，通过一机器学习模型进行训练，生成所述映射模型。

在本公开的一种示例性实施例中，所述训练数据获取模块包括：日志样本采集单元，用于从所述日志采集模块中调取多个终端设备的网络日志信息样本；特征样本提取单元，用于从各所述网络日志信息样本中提取多个所述预设维度的特征数据，得到所述特征数据样本；映射样本获取单元，用于获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，以得到所述训练数据。

在本公开的一种示例性实施例中：所述机器学习模型包括随机森林模型、深度神经网络模型、支持向量机模型、提升树模型、一般线性模型以及渐进梯度回归树模型中的一种或多种。

在本公开的一种示例性实施例中：所述机器学习模型包括随机森林模型，所述随机森林模型包括多个决策树，其中，所述决策树用于通过提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略，以使所述机器学习模型将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。

在本公开的一种示例性实施例中：所述决策树包括多个特征路径，每个所述特征路径对应一个候选网络控制策略。

在本公开的一种示例性实施例中：所述映射模型包括特征数据与网络控制策略之间的直接映射关系；所述策略服务模块还包括：直接映射单元，用于根据提取的所述特征数据，从所述映射模型中查询与提取的所述特征数据存在映射关系的网络控制策略作为所述终端设备的网络控制策略。

在本公开的一种示例性实施例中，所述预设维度包括：所述终端设备的使用者信息、所述终端设备的机器属性、所述终端设备的访问属性、所述终端设备的恶意属性、所述终端设备的灰色属性、所述终端设备访问网站的分类属性以及所述终端设备的用户历史属性中的一个或多个。

根据本公开的一个方面，提供一种网络控制装置，包括：网络控制策略生成模块，用于周期性的根据上述任意一项所述的网络控制策略生成方法为多个终端设备生成网络控制策略；网络控制策略执行模块，用于通过所述网络控制策略对所述终端设备的网络访问进行控制。

根据本公开的一个方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任意一项所述的方法。

根据本公开的一个方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任意一项所述的方法。

本发明示例性实施例可以包括以下有益效果：

本发明提供的网络控制策略生成方法中，在从终端设备的网络日志信息中提取特征数据后，通过映射模型得出对应的网络控制策略。一方面，对于网络行为习惯不同的员工，其终端设备的网络日志信息中包含的特征数据也不同，进而能够根据特征数据生成针对性的网络控制策略，实现以员工为单位的个性化网络控制管理，在保障安全与员工使用便利之间达到平衡，既能保证企业的网络安全，又能使员工与网络相关的业务行为不受到过度的限制，进而提高了网络控制管理的效率；另一方面，网络控制策略可以自动生成，以及在网络日志信息发生变化时自动调整，实现了自动化以及自适应性的网络控制，减轻了网络运维人员的工作量，并且降低了人为失误给系统安全造成的风险。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出一种网络控制策略生成方法的示例性应用环境系统架构图。

图2示出一种网络控制策略生成方法的流程图。

图3示出另一种网络控制策略生成方法的流程图。

图4示出一种训练数据获取方法的流程图。

图5示出一种随机森林模型的训练树。

图6示出一种随机森林模型的决策树。

图7示出另一种随机森林模型的训练树。

图8示出另一种随机森林模型的决策树。

图9示出一种候选网络控制策略生成方法的流程图。

图10示出一种网络控制策略生成装置的结构框图。

图11示出一种网络控制策略生成装置中各模块的交互流程图。

图12示出一种网络控制装置的结构框图。

图13示出一种用于实现上述方法的电子设备。

图14示出一种用于实现上述方法的计算机可读存储介质。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本发明将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本发明的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本发明的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本发明的各方面变得模糊。

图1示出了可以应用本发明实施例的一种网络控制策略生成方法的示例性应用环境系统架构的示意图。如图1所示，系统架构100可以包括内网101、提供代理服务的设备102(下称代理服务设备)以及外网103。外网和内网是根据互联网的接入方式不同而划分得到的。其中，外网103也称广域网、远程网或公网，外网通常跨接很大的物理范围，所覆盖的范围从几十公里到几千公里，它能连接多个城市或国家，或横跨几个洲并能提供远距离通信，形成国际性的远程网络。内网101一般指局域网，是指在某一区域内由多台终端设备互联成的终端设备组。终端设备可以包括接入企业内网中的个人电脑、服务器、手机、平板电脑或者智能设备等。内网101中的各终端设备可以通过代理服务设备102接入外网103访问互联网。代理服务设备102可以包括网关、路由器、服务器等。通过代理服务设备102加载的网络控制策略，可以控制内网101中终端设备的网络行为。网络控制策略可以是网络安全策略、组织结构策略、资源分配策略等。本示例实施方式中的网络控制策略生成方法可以由代理服务设备102执行；也可以是由内网101中的终端设备执行或者由其他服务器执行，并将生成的网络控制策略通过数据传输等方式提供给代理服务设备，本示例性实施例中对此不做特殊限定。

以本示例实施方式中的网络控制策略生成方法由代理服务设备102执行为例，如图2所示，该网络控制策略生成方法可以包括以下步骤：

步骤S210，采集终端设备的网络日志信息。

通常而言，当终端设备发生网络行为时，例如访问网站、向外部的节点发送消息、下载文件等时，一般会生成一条网络日志信息并写入网络日志文件。终端设备的本地存储模块中可以保存本设备的网络日志信息，代理服务设备的存储模块中可以保存全部终端设备的网络日志信息。但由于网络日志信息的数据量庞大，代理服务设备的存储可能不足以保存长时间的数据，因此还可以将网络日志信息存储在MongoDB(一种基于分布式文件存储的数据库)、HDFS(一种分布式文件系统)等大型数据库中，以供代理服务设备在需要时调取。网络日志信息的保存形式可以是按照发生时间记录的流水文本，也可以是整理后的数据列表等，例如可以按照时间范围、信息类型、终端设备名等将网络日志信息进行整理后保存。

代理服务设备可以实时的同步采集网络日志信息，也可以按照预设条件从网络日志文件中提取信息，例如提取一定时间范围的网络日志信息，或者提取某个特定类型的网络日志信息等。并且，当为特定的终端设备生成网络控制策略时，可以只提取该终端设备的网络日志信息。

步骤S220，基于所述网络日志信息，提取一个或多个预设维度的特征数据。

本示例实施方式中，每一上述预设维度可以用于反映终端设备网络行为的一个或多个方面的属性。例如，预设维度可以包括：终端设备的使用者信息、终端设备的机器属性、终端设备的访问属性、终端设备的恶意属性、终端设备的灰色属性、终端设备访问网站的分类属性以及终端设备的用户历史属性中的部分或全部。

其中，终端设备的使用者信息可以是用户属性。例如，用户属性可以包括用户职级，进而后续过程可以对不同级别的员工采取不同的网络控制策略；或者用户属性可以包括岗位信息，进而后续过程可以对涉密岗位员工执行更严格的网络控制策略等。终端设备的机器属性可以用于表示该设备的用途、补丁安装情况、病毒查杀结果、可疑进程、开机时长/时段等；例如，后续过程可以对长时间不查杀病毒或彻夜不关机的设备执行更严格的网络控制策略等。终端设备的访问属性可以是用户访问外网的相关信息，如访问外网时长/时段，上传/下载数据量等。终端设备的恶意属性用于表示对用户访问的网站进行恶意分析的结果，例如网站是否包含挂马、钓鱼、病毒等。终端设备的灰色属性用于表示用户访问的灰色网站情况，例如可以包括对赌博类、情色类等网站的统计分析。终端设备访问网站的分类属性用于表示用户访问网站的类别，可以包括工作类、娱乐类、新闻类、购物类、游戏类等；进而后续过程可以对工作相关的外网请求执行有倾向性放开的网络控制策略等。终端设备的历史属性可以是用户历史一周、一个月等统计周期内发生的安全行为属性，例如可以包括告警行为、违规行为、安全事故等。

当然，在本公开的其他示例性实施例中，根据网络使用环境以及企业业务的情况不同，预设维度还可以包括其他方面的属性或信息，本示例性实施例中对此不做特殊限定。

上述预设维度分别从不同方面反映了终端设备的网络行为，可以作为安全决策的考虑因素。为了量化的表征各预设维度下的特征数据，可以首先对各所述预设维度下的特征数据进行统计与整理。例如为了提取终端设备A的网站分类属性，可以从终端设备A的网络日志信息中抽取最近一个月所有访问网站的相关信息，统计出每个网站域名的访问次数、时长与数据量等，得出每种类型网站的访问比例，如工作类80％，新闻类12％，购物类7％，其他1％，该统计结果可以作为终端设备A网站分类属性的特征数据。需要说明的是，特征数据可以是通过网络日志信息中的原数据统计得到的数据，在某些情况下也可以就是原数据(如终端设备的用户名、网站恶意属性等)；此外，为了方便运算，还可以根据需要，将部分或全部预设维度下的特征数据转换为一维向量或多维向量等；本示例性实施例中对此不做特殊限定。

步骤S230，获取特征数据与网络控制策略之间的映射模型。

本示例实施方式中，映射模型用于表示特征数据与网络控制策略之间的对应关系。映射模型决定了根据特征数据采取怎样的网络控制策略，其可以是预设的数学模型，如机器学习模型等；也可以是包含了大量的特征数据与网络控制策略之间的对应关系的映射表等。映射模型可以储存在代理服务设备的配置文件中，由代理服务设备读取配置文件后获得，也可以从与代理服务设备通信的其他服务器或数据库获取，本示例性实施例中对此不做特殊限定。

步骤S240，通过所述映射模型，利用提取的所述特征数据得到所述终端设备的网络控制策略。

在映射模型是数学模型时，可以将提取的所述特征数据作为所述数学模型的输入，计算得到相应的网络控制策略。在映射模型包括上述对应关系映射表时，也可以通过在对应关系映射表中查找的方式，得到相应的网络控制策略。举例说明，终端设备A的网络日志信息中包含了一条“zhangsan-Level 3-Confidential 2”的信息，表示终端设备A的用户为员工zhangsan，职级为3级，岗位涉密等级为2级；则可以计算得到用户属性维度下的特征数据为1(＝3-2)。表1-1是一个包括对应关系映射表的简单映射模型，反映的是当用户职级高、岗位涉密等级低时，可以分配级别较低的网络控制策略。根据该映射模型，则终端设备A的网络控制策略为中级。

需要说明的是，表1-1仅是映射模型的简单示例。在实际应用中，映射模型还可以综合考量多个预设维度的特征数据，通过更复杂的算法，对终端设备进行更细分的评价，相应的网络控制策略也可以有更细致的分类。例如表1-2所示，可以用评分的方式评价终端设备用户的网络行为，通过在各预设维度设置评分标准，得到综合评价终端设备的总分，再按照预设的总分标准生成相应等级的网络控制策略。网络控制策略还可以包括更多等级、类型、偏好等，本示例性实施例中对此不做特殊限定。

表1-1

表1-2

本示例性实施例的网络控制策略生成方法中，代理服务设备从终端设备的网络日志信息中提取特征数据后，通过映射模型得出对应的网络控制策略，一方面，不同员工有不同的网络行为习惯，其终端设备的网络日志信息中包含的特征数据也不同，从而使代理服务设备根据特征数据生成针对性的网络控制策略，实现以员工为单位的个性化网络控制管理，在保障安全与员工使用方便之间达到平衡，既能保证企业的网络安全，又能使员工与网络相关的业务行为不受到过度的限制，提高了网络控制管理的效率；另一方面，网络控制策略可以通过代理服务设备上的程序自动生成，以及在网络日志信息发生变化时自动调整，实现了自动化以及自适应性的网络控制，减轻了网络运维人员的工作量，并且消除了人为失误给系统安全造成的风险。

下面，对于如何生成上述映射模型进行详细说明。

在所述映射模型是数学模型时，可以通过机器学习生成映射模型。如图3所示，本示例实施方式的网络控制策略生成方法中，生成映射模型可以包括如下步骤：

步骤S310，获取多条训练数据，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略。具体而言，如图4所示，本示例实施方式中，可以通过下述步骤S411至步骤S413获取多条训练数据。

步骤S411，采集多个终端设备的网络日志信息，得到网络日志信息样本。本示例实施方式中，所述多个终端设备可以是局域网内的全部终端设备，也可以是其中的一部分；但通常而言，增加采集的终端设备的数量有利于更全面的反映整个局域网的终端设备情况。同时，为了使训练数据更有代表性，还可以优化终端设备的采样范围，例如所述多个终端设备可以覆盖台式电脑、笔记本电脑、手机等各种类型，也可以覆盖业务部、行政部、人力部等多个部门，还可以覆盖从管理层到基层员工等多个职级，本示例性实施例中对此不做特殊限定。网络日志信息样本可以是采集的全部的网络日志信息，可以是采集的全部网络日志信息中的一部分。

步骤S412，基于各所述网络日志信息样本，提取多个所述预设维度的特征数据，得到所述特征数据样本。相比于只通过终端设备的用户属性决定网络控制策略，在做安全决策时考虑多个预设维度通常更具合理性。但网络日志信息可能包含多个、甚至超过十个的预设维度，在人为决定网络控制策略时，难以综合考虑如此多的预设维度，通常只提取少数几个进行计算或对应；而在使用机器学习方法时，由于具备处理大量特征数据的能力，可以将人为决定网络控制策略时无法使用的预设维度的特征数据输入机器学习模型中，作为训练数据的一部分，有利于网络控制策略的最优化。此步骤与上述步骤S220类似，因此不再赘述。

步骤S413，获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，得到所述训练数据。其中，网络控制策略样本可以是由网络运维人员基于经验及对历史数据与事件的统计等，对各所述终端设备直接标注得到；也可以是来自于各所述终端设备的历史网络控制策略，本示例性实施例中对此不做特殊限定。

表2是一个小型的训练数据库示例(其中部分维度的数值未展示)，其包含了多个终端设备(A、B、C、…Z)的多个预设维度(用户属性、用户访问属性等)的特征数据以及对应的网络控制策略。

表2-1

步骤S320，基于所述训练数据，对一机器学习模型进行训练，生成所述映射模型。

本示例实施方式中，机器学习模型可以包括随机森林模型、深度神经网络模型、支持向量机模型、提升树模型、一般线性模型以及渐进梯度回归树模型等机器学习模型中的一种或多种；当然，本领域技术人员还可以根据需求，使用其他的机器学习模型，本示例性实施例中并不以此为限。通常而言，将网络日志信息样本以及对应的网络控制策略样本输入至机器学习模型，并设定好学习率、训练次数、损失函数以及优化目标等训练参数后，即可自动训练得到所述映射模型。

本示例实施方式中，以随机森林模型为例说明机器学习模型的训练过程。随机森林模型是指在样本中随机取样并训练后生成多个决策树，然后利用决策树的决策分叉模式进行预测的一种机器学习模型，可用于处理预设维度较高的分类问题。其中，决策树代表特征数据与网络控制策略的一种映射关系，决策树中根节点代表特征数据的集合，而通过分叉形成的特征路径则代表将特征数据按照训练中得到的分类条件进行分类，特征路径对应的节点代表分类条件集合；通过特征路径的分类可最终到达决策树末端的叶节点，各叶节点对应于输出的网络控制策略。

利用随机森林模型进行训练时，可以从上述训练数据库中随机取样得到决策树的样本集。例如从表2所示的训练数据库中随机取样得到样本集，样本集可以包含所有终端设备中的一部分以及所有预设维度中的一部分。并且，为了避免机器学习过程中发生过拟合，本示例实施方式中可以不将整个训练数据库的全部数据作为样本集。

一种随机取样结果如表3-1所示，该随机取样结果可以作为一个样本集。根据该样本集可以首先建立训练树1。如图5所示，训练树1的最上端为根节点，该节点接收样本集的各条训练数据；如其中A表示终端设备A对应的一条训练数据，B表示终端设备B对应的一条训练数据等。然后通过计算最小基尼系数等参数的方式来确定分类条件，并以每次分类时实现最高区分度为目标，对样本集进行分类；确定分类条件的可以如：灰色网站属性>0、网站分类属性≥80％等。根节点中样本集的各条训练数据基于确定的分类条件，通过多次分类后最终到达叶节点；同一个叶节点中训练数据所对应的网络控制策略相同。需要说明的是，本示例实施方式中的随机森林模型中训练树遵循完全分类，即如果当前的节点中特征数据对应了超过一个的网络控制策略，说明未完全分分类，则需要继续计算分类条件并进行分类。

在使用随机森林模型时，参考图6所示，将训练树1中各节点的特征数据样本替换为分类条件的特征值，可以得到相应的决策树1。决策树是将训练中计算得到的各分类条件按顺序连接后，所形成的特征路径图。得到一个决策树后，即完成了随机森林模型的一次训练。需要补充的是，对于同一个样本集，在确定分类条件时，多种条件下的基尼系数可能相同或相近；因此，基于同一样本集也可能得到多个不同的决策树。

当样本集不同时，生成的决策树一般会存在较大差异。本示例实施方式中，从上述训练数据库中随机取样得到各决策树的样本集的方式可以是放回式取样，即决策树1抽取的样本仍然可以被其他决策树抽取，不同决策树的样本集之间可以有交集。例如表3-2为决策树2的样本集，其中，该样本集所包含的终端设备与决策树1不完全相同，选取的预设维度也与决策树1不完全相同，即表3-1与表3-2之间有部分相同的终端设备，也有部分相同的预设维度。

由于样本集不同，通过计算最小基尼系数等方式确定的决策分叉条件以及由此形成的特征路径图一般也不同。图7所示为基于表3-2中的样本集训练产生的训练树2；图8为按照图7中确定的分类条件所形成的决策树2。可见，图8中的决策树与图6有较大差异。

需要说明的是，图8与图6仅是两种决策树示例，在实际应用中，按照对训练数据库的不同取样，可以产生大量的决策树。在训练数据库确定的情况下，随机森林模型的训练过程可以包括大量的随机取样-计算分类条件-生成决策树的过程，以获得足够多的决策树。

表3-1

表3-2

在对随机森林模型进行训练得到多个决策树后，利用提取的所述特征数据计算所述终端设备的网络控制策略可以包括步骤S350以及步骤S360。

步骤S350中，分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略。具体而言，如图9所示，本示例实施方式中，可以通过下述步骤S951与步骤S952得到候选网络控制策略：步骤S951，根据提取的所述特征数据，从各决策树包括的特征路径中获取与提取的所述特征数据匹配的特征路径作为目标特征路径；步骤S952，将各所述目标特征路径对应的候选网络控制策略作为各所述决策树的计算得到的候选网络控制策略。举例而言：

图6及图8所示的决策树均包含了多个特征路径，在决策树中输入特征数据后，按照不同节点的分类条件下分类的结果，可以为特征数据匹配出目标特征路径，以及最终对应的候选网络控制策略。例如，假设终端设备P1的特征数据如表4中所示，按照决策树1的特征路径，P1的目标特征路径可以是图6中的网站灰色属性＝0—网站分类属性＝80％—用户访问属性＝1000MB—用户访问属性＝200MB—网络控制策略＝2，则对应的候选网络控制策略等级为2；按照决策树2的特征路径，P1的目标特征路径可以是图8中的网站灰色属性＝0—用户机器属性＝6—用户机器属性＝8—用户属性＝0—用户机器属性＝9—网络控制策略＝3，则对应的候选网络控制策略等级为3。可见，特征数据通过一个决策树可以得到一个候选网络控制策略，不同决策树生成的候选网络控制策略可以相同，也可以不同。在实际应用中，随机森林模型可以通过多个决策树为特征数据生成相应的多个候选网络控制策略。

表4

步骤S360中，将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。随机森林模型中输出的结果是由所有决策树输出结果中的众数而定；因此，可以统计每个候选网络控制策略出现的次数，将出现次数最多的一个作为最终输出的网络控制策略。当然，在本公开的其他示例性实施例中，也可以通过其他方式，利用决策树输出结果得到最终输出的网络控制策略。

需要补充说明的是，随着机器学习模型的使用，产生的新的特征数据、网络控制策略及其映射关系也可以作为训练数据的一部分；同时，在机器学习模型的使用过程中，发生的安全事件、收到的投诉反馈等也可以加入训练数据库中，对当前的特征路径进行修正。因此机器学习是一个不断改进与优化的过程，随着使用时间的增加及训练数据的增多，其生成的映射模型及网络控制策略都将越来越完善。

在一示例性实施例中，在所述映射模型包括对应关系映射表时，可以通过该映射表记录特征数据与网络控制策略之间的直接映射关系，进而得到映射模型。映射表可以通过人工输入的方式得到，也可以通过机器学习等其他方式得到，本示例性实施例中对此不做特殊限定。相应的，则所述利用提取的所述特征数据计算与提取的所述特征数据对应的网络控制策略可以包括：根据提取的所述特征数据，从所述映射模型中查询与提取的所述特征数据存在映射关系的网络控制策略作为所述终端设备的网络控制策略。

对应关系映射表可以适用于特殊情况的网络控制策略分配，例如根据网络日志信息中的账户名识别出终端设备用户的特殊身份，为其生成具有特别权限的网络控制策略，或者网络日志信息中包含了登录某付费招聘网站的情况，认定终端设备用户有业务需要，为其生成有特别网站白名单的网络控制策略等。直接映射可以单独的作为网络控制策略的生成依据，也可以作为补充，与上述数学模型等一起构成映射模型。

在本发明的示例性实施例中，还提供了一种网络控制方法，可以应用于局域网中提供代理服务的设备上，例如网关、路由器、服务器等，该方法可以包括：周期性的根据上述示例性实施例中所述的网络控制策略生成方法为多个终端设备生成网络控制策略；通过所述网络控制策略对所述终端设备的网络访问进行控制。其中，周期性是指可以设定代理服务设备中网络控制策略的生成周期，例如可以每天生成一次，也可以每周、每月生成一次等。通常缩短周期以更频繁的生成网络控制策略，有利于对于网络环境的变化进行及时的调整，但同时可能增加代理服务设备的运算量。因此，可以根据终端设备的网络控制策略稳定性决定生成周期，例如当终端设备一段时间内每个周期生成的网络控制策略都相同或相近时，可以适当的延长生成周期，当终端设备一段时间内不同周期生成的网络控制策略之间差别很大时，可以适当的缩短生成周期等。

在本发明的示例性实施例中，还提供了一种网络控制策略生成装置，可以应用于局域网中提供代理服务的设备上，例如网关、路由器、服务器等，也可以应用于与代理服务设备进行交互的终端设备或数据库中，通过数据传输等方式为代理服务设备提供网络控制策略。如图10所示，该网络控制策略生成装置1000可以包括：日志采集模块1010，用于采集终端设备的网络日志信息；特征提取模块1020，用于基于所述网络日志信息，提取多个预设维度的特征数据；映射获取模块1030，用于获取特征数据与网络控制策略之间的映射模型；策略服务模块1040，通过所述映射模型，利用提取的所述特征数据得到所述终端设备的网络控制策略。

在一示例性实施例中，所述装置还可以包括：训练数据获取模块，用于获取多条训练数据，其中，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略；机器学习模块，用于基于所述训练数据，通过一机器学习模型进行训练，生成所述映射模型。

在一示例性实施例中，所述训练数据获取模块还可以包括：日志样本采集单元，用于从所述日志采集模块中调取多个终端设备的网络日志信息样本；特征样本提取单元，用于从各所述网络日志信息样本中提取多个所述预设维度的特征数据，得到所述特征数据样本。映射样本获取单元，用于获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，以得到所述训练数据。

其中，所述机器学习模型可以包括随机森林模型、深度神经网络模型、支持向量机模型、提升树模型、一般线性模型以及渐进梯度回归树模型中的一种或多种。

在一示例性实施例中，所述机器学习模型可以是随机森林模型，所述随机森林模型可以包括多个决策树，其中，所述决策树用于通过提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略，以使所述机器学习模型将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。

如前所述，决策树包含了全部样本集的根节点以及通过分类条件所形成的特征路径与末端的叶节点，在一示例性实施例中，所述决策树可以包括多个特征路径，每个所述特征路径可以对应一个候选网络控制策略，其中，不同特征路径对应的候选网络控制策略可以相同。

上述网络控制策略生成装置中各模块/单元的具体细节已经在对应的网络控制策略生成方法部分进行了详细的描述，此处不再赘述。

在一示例性实施例中，所述映射模型可以包括特征数据与网络控制策略之间的直接映射关系；所述策略服务模块还可以包括：直接映射单元，用于根据提取的所述特征数据，从所述映射模型中查询与提取的所述特征数据存在映射关系的网络控制策略作为所述终端设备的网络控制策略。其中，直接映射可以视为映射模型中的一种特殊情况，可用于表征无规则或规则不明确的对应关系，将映射关系以一一对应的直接映射表的形式表现，即形成了直接映射单元中的直接映射关系。直接映射单元可以独立的执行生成网络控制策略的指令，也可以作为策略服务模块中其他单元的补充，在其他单元中不存在目标映射关系时，执行查询直接映射关系的指令。

在以上实施例中，所述预设维度可以包括：所述终端设备的使用者信息、所述终端设备的机器属性、所述终端设备的访问属性、所述终端设备的恶意属性、所述终端设备的灰色属性、所述终端设备访问网站的分类属性以及所述终端设备的用户历史属性中的一个或多个。

在一示例性实施例中，所述网络控制策略生成装置中各模块的交互流程可以如图11所示。日志采集模块可以周期性采集用户的网络日志信息，并生成日志数据库。特征提取模块可以从日志数据库中按照预设维度提取特征数据，并生成特征表。映射获取模块可以从特征表中读取特征样本，再读取相应的网络控制策略样本，将两类样本数据集输入机器学习模型中，以生成映射模型。策略服务模块可以从特征表中获取用户的网络行为特征，并根据映射模型生成网络控制策略，将其下发到负责网络控制服务的模块或外部设备。该网络控制服务的模块或外部设备可以依据网络控制策略对用户的网络行为进行控制，并将接收到的事件、投诉等反馈至机器学习模型中，以改进映射模型。

在本发明的示例性实施例中，还提供了一种网络控制装置，可以应用于局域网中提供代理服务的设备上，例如网关、路由器、服务器等。如图12所示，该网络控制装置1200可以包括：网络控制策略生成模块1210，用于周期性的根据上述示例性实施例中所述的网络控制策略生成方法为多个终端设备生成网络控制策略；网络控制策略执行模块1220，用于通过所述网络控制策略对所述终端设备的网络访问进行控制。

该网络控制装置中各模块的具体细节已经在对应的网络控制策略生成方法与网络控制方法的实施例中进行了详细的描述，此处不再赘述。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本发明中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

在本发明的示例性实施例中，还提供一种电子设备，可以用于执行本示例实施方式中所述的网络控制策略生成方法或网络控制方法的全部或者部分步骤。所述装置包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器被配置为执行：响应于用户在客户端的输入，根据来自所述客户端的远程输入消息更新云应用端的远程输入事件队列；以及将用于获取输入事件的应用程序接口API获取输入事件的操作重定向至所述远程输入事件队列，并对从所述远程输入事件队列获取的输入事件进行处理。

图13示出了适于用来实现本发明实施例的电子设备的计算机系统的结构示意图。需要说明的是，图13示出的电子设备的计算机系统1300仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图13所示，计算机系统1300包括中央处理单元(CPU)1301，其可以根据存储在只读存储器(ROM)1302中的程序或者从存储部分1308加载到随机访问存储器(RAM)1303中的程序而执行各种适当的动作和处理。在RAM 1303中，还存储有系统操作所需的各种程序和数据。CPU 1301、ROM 1302以及RAM 1303通过总线1304彼此相连。输入/输出(I/O)接口1305也连接至总线1304。

以下部件连接至I/O接口1305：包括键盘、鼠标等的输入部分1306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分1307；包括硬盘等的存储部分1308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1309。通信部分1309经由诸如因特网的网络执行通信处理。驱动器1310也根据需要连接至I/O接口1305。可拆卸介质1311，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1310上，以便于从其上读出的计算机程序根据需要被安装入存储部分1308。

特别地，根据本发明的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1309从网络上被下载和安装，和/或从可拆卸介质1311被安装。在该计算机程序被中央处理单元(CPU)1301执行时，执行本申请的装置中限定的各种功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是—但不限于—电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

在本发明的示例性实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。参考图14所示，上述计算机可读存储介质承载有一个或者多个计算机程序1400，当上述一个或者多个计算机程序1400被一个该电子设备执行时，使得该电子设备实现如上述实施例中所述的方法，例如，所述的电子设备可以实现如图2或图3所示的各个步骤。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种网络控制策略生成方法，其特征在于，包括：

采集终端设备的网络日志信息；

基于所述网络日志信息，提取多个预设维度的特征数据；所述预设维度用于反映所述终端设备网络行为的一个或多个方面的属性；

获取特征数据与网络控制策略之间的映射模型；所述映射模型是由对机器学习模型进行训练得到；所述机器学习模型为随机森林模型；所述随机森林模型包括多个决策树；分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略；

将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。

2.根据权利要求1所述的网络控制策略生成方法，其特征在于，所述方法还包括：

获取多条训练数据，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略；

基于所述训练数据，对一机器学习模型进行训练，生成所述映射模型。

3.根据权利要求2所述的网络控制策略生成方法，其特征在于，所述获取多条训练数据包括：

采集多个终端设备的网络日志信息，得到网络日志信息样本；

基于各所述网络日志信息样本，提取多个所述预设维度的特征数据，得到所述特征数据样本；

获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，得到所述训练数据。

4.如权利要求1所述的方法，其特征在于，所述决策树包括多个特征路径，每个所述特征路径对应一个候选网络控制策略；

分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略，包括：

根据提取的所述特征数据，从各决策树包括的特征路径中获取与提取的所述特征数据匹配的特征路径作为目标特征路径；

将各所述目标特征路径对应的候选网络控制策略作为各所述决策树的计算得到的候选网络控制策略。

5.根据权利要求1～4任意一项所述的网络控制策略生成方法，其特征在于，所述预设维度包括：所述终端设备的使用者信息、所述终端设备的机器属性、所述终端设备的访问属性、所述终端设备的恶意属性、所述终端设备的灰色属性、所述终端设备访问网站的分类属性以及所述终端设备的用户历史属性中的一个或多个。

6.一种网络控制方法，其特征在于，包括：

通过权利要求1～5任意一项所述的网络控制策略生成方法为多个终端设备生成网络控制策略；

通过所述网络控制策略对所述终端设备的网络访问进行控制。

7.一种网络控制策略生成装置，其特征在于，包括：

日志采集模块，用于采集终端设备的网络日志信息；

特征提取模块，用于基于所述网络日志信息，提取多个预设维度的特征数据；所述预设维度用于反映所述终端设备网络行为的一个或多个方面的属性；

映射获取模块，用于获取特征数据与网络控制策略之间的映射模型；所述映射模型是由对机器学习模型进行训练得到；所述机器学习模型为随机森林模型；所述随机森林模型包括多个决策树；

策略服务模块，具体用于分别通过各所述决策树，利用提取的所述特征数据计算所述终端设备的网络控制策略，得到多个候选网络控制策略；将所述多个候选网络控制策略中出现次数最多的候选网络控制策略作为所述终端设备的网络控制策略。

8.根据权利要求7所述的网络控制策略生成装置，其特征在于，还包括：

训练数据获取模块，用于获取多条训练数据，其中，各所述训练数据至少包含特征数据样本以及所述特征数据样本对应的网络控制策略；

机器学习模块，用于基于所述训练数据，通过一机器学习模型进行训练，生成所述映射模型。

9.根据权利要求8所述的网络控制策略生成装置，其特征在于，所述训练数据获取模块包括：

日志样本采集单元，用于从所述日志采集模块中调取多个终端设备的网络日志信息样本；

特征样本提取单元，用于从各所述网络日志信息样本中提取多个所述预设维度的特征数据，得到所述特征数据样本；

映射样本获取单元，用于获取各所述终端设备的网络控制策略样本，并建立所述特征数据样本与所述网络控制策略样本的映射关系，以得到所述训练数据。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1-5任一项所述的方法。

Images