CN111131322A - 网络行为的检测方法、装置、计算机设备和存储介质 - Google Patents

网络行为的检测方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
CN111131322A
CN111131322A CN201911424188.1A CN201911424188A CN111131322A CN 111131322 A CN111131322 A CN 111131322A CN 201911424188 A CN201911424188 A CN 201911424188A CN 111131322 A CN111131322 A CN 111131322A
Authority
CN
China
Prior art keywords
behavior
detected
image
network
mapping
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201911424188.1A
Other languages
English (en)
Other versions
CN111131322B (zh
Inventor
王占一
马江波
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qianxin Technology Group Co Ltd
Secworld Information Technology Beijing Co Ltd
Original Assignee
Qianxin Technology Group Co Ltd
Secworld Information Technology Beijing Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qianxin Technology Group Co Ltd, Secworld Information Technology Beijing Co Ltd filed Critical Qianxin Technology Group Co Ltd
Priority to CN201911424188.1A priority Critical patent/CN111131322B/zh
Publication of CN111131322A publication Critical patent/CN111131322A/zh
Application granted granted Critical
Publication of CN111131322B publication Critical patent/CN111131322B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V20/00—Scenes; Scene-specific elements
    • G06V20/50—Context or environment of the image
    • G06V20/52—Surveillance or monitoring of activities, e.g. for recognising suspicious objects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Security & Cryptography (AREA)
  • Evolutionary Computation (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Artificial Intelligence (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Evolutionary Biology (AREA)
  • Multimedia (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Image Analysis (AREA)

Abstract

本发明提供了一种网络行为的检测方法、装置、计算机设备和存储介质。该网络行为的检测方法包括：获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为。通过本发明，提升对未知异常行为检测的准确度。

Description

网络行为的检测方法、装置、计算机设备和存储介质
技术领域
本发明涉及异常网络行为检测技术领域，尤其涉及一种网络行为的检测方法、装置、计算机设备和存储介质。
背景技术
近年来，全世界不断发生网络安全事件，网络安全问题日益突出。随着相关数据量呈爆炸式增长的趋势，网络攻击模式也越来越复杂多变，在防御方面，目前针对已知威胁的发现和处置游刃有余，而面对未知威胁往往办法不多，大多需要依靠安全人员的经验和已有工具或产品来分析，而这些方式已经无法满足业界需求。
同时，人工智能技术飞速发展，机器学习及其分支深度学习技术在计算机视觉、语音识别和自然语言处理等领域取得了巨大突破。学术界和工业界越来越多的人开始利用人工智能技术尝试解决网络安全中的问题。人工智能可凭借自动化、智能化及大规模运算能力等优势，快速检测百万、千万甚至上亿次事件，以发现安全威胁。
在现有技术中，基于人工智能进行异常网络行为的检测时，通常是根据人工经验抽取网络行为的特征，具体包括专家利用经验从IP、域名、UA、时间等多种维度定义特征，抽取后拼接为特征向量，人工智能模型基于该特征向量来进行网络行为的检测。
但是该检测网络不仅非常耗费人力成本，而且由于行为模型和安全事件不断变化，人工经验有一定的滞后性，往往覆盖不全，应对未知威胁能力较差，使得对未知异常行为的检出准确度并不高。
因此，提供一种网络行为的检测方法、装置、计算机设备和存储介质，提升对未知异常行为检测的准确度，成为本领域亟需解决的技术问题。
发明内容
本发明的目的是提供一种网络行为的检测方法、装置、计算机设备和存储介质，用于解决现有技术中上述的技术问题。
一方面，为实现上述目的，本发明提供了一种网络行为的检测方法。
该网络行为的检测方法包括：获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为。
进一步地，根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为的步骤包括：将待检测图像输入至行为检测模型，以确定待检测网络行为是否为异常行为。
进一步地，根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为的步骤包括：提取待检测图像的特征向量，得到待检测特征向量；以及根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为。
进一步地，提取待检测图像的特征向量的步骤包括：建立初始自编码器，其中，初始自编码器包括输入层、编码层、反编码层和输出层；获取训练行为图像，并将训练行为图像分别作为初始自编码器的输入层的输入和输出层的输出，对初始自编码器进行训练，得到目标自编码器；获取验证行为图像，将验证行为图像作为目标自编码器的输入层的输入，得到目标自编码器的输出层的输出；通过验证行为图像与目标自编码器的输出层的输出进行比对，判断目标自编码器是否满足要求；当目标自编码器满足要求时，将待检测图像作为目标自编码器的输入层的输入，获取目标自编码器的编码层的输出，以得到特征向量。
进一步地，该网络行为的检测方法还包括：在连续s个待检测单位时间窗内，具有r个待检测单位时间窗内目标主体网络行为为异常行为时，产生报警，其中，r≤s。
进一步地，行为数据包括行为对端、行为属性和行为时间，行为属性为目标主体与行为对端之间产生的网络行为的属性，将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像步骤包括：针对每条行为数据，将行为对端映射为预设模板图像中点的位置坐标，将行为属性映射为点的形态属性，在位置坐标处显示形态属性的点，得到行为数据对应的图像点；在关联点之间设置连接线，其中，行为时间满足预设关联关系的两条行为数据对应的图像点互为关联点。
进一步地，关联点为行为时间相邻的两条行为数据对应的图像点；连接线为向量，向量的方向表征关联点对应的行为时间的先后。
进一步地，将行为数据组按照预设的映射规则映射为图像的步骤还包括：统计行为数据组对应的相同关联点的数量；将数量映射为线的形态属性，在关联点之间设置连接线的步骤包括：在关联点之间按照线的形态属性设置连接线。
进一步地，将行为对端映射为预设模板图像中点的位置坐标的步骤包括：在预设模板图像中预设多个点的位置坐标；通过按序分配、随机分配或最远距离分配，将预设多个点的位置坐标分配一个端标识，建立位置坐标与端标识之间的一一对应的第一映射关系；根据行为对端的端标识和第一映射关系，确定行为对端对应的位置坐标。
进一步地，预设模板图像为具有n*n个像素的图片，其中，n＝(2k-1)*m，点为包括m个像素，相邻的点之间间隔m个像素，同一个点的各像素的RGB值相同，点的形态属性为点的像素的RGB值，将行为属性映射为点的形态属性的步骤包括：确定行为属性的编号i；确定像素的RGB值范围，其中，像素的R值的范围为0～r，像素的G值的范围为0～g，像素的B值的范围为0～b；采用以下公式计算编号i对应的十六进制数
Figure BDA0002353134080000031
其中，
Figure BDA0002353134080000032
表示向下取整，c表示行为属性的种类数量，HEX()表示将二进制数转为十六进制数；以及将十六进制数x的每两位数转换为十进制数得到点的像素的RGB值。
进一步地，线的形态属性为线的像素的RGB值，将数量映射为线的形态属性的步骤包括：将数量由十进制数转换为十六进制数；将十六进制数的每两位转为十进制数，得到线的像素的RGB值。
另一方面，为实现上述目的，本发明提供了一种网络行为的检测装置。
该网络行为的检测装置包括：获取模块，用于获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；映射模块，用于将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及检测模块，用于根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为。
为实现上述目的，本发明还提供一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，该处理器执行计算机程序时实现上述方法的步骤。
为实现上述目的，本发明还提供计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述方法的步骤。
本发明提供的网络行为的检测方法、装置、计算机设备和存储介质，预设将行为数据映射为行为图像的映射规则和用于检测网络行为的行为检测模型，基于此，对待检测单位时间窗内目标主体的网络行为进行检测时，获取该待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组，然后将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像，最后根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为，通过本发明，在检测网络行为时，将表征网络行为的行为数据图像化，通过处理图像的方式进行检测，无需依靠专家经验即可对未知异常行为进行检测，提升了对未知异常行为检测的准确性。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1为本发明实施例一提供的网络行为的检测方法的流程图；
图2为本发明实施例二提供的异常行为检测系统的工作流程图；
图3为本发明实施例二提供的预设模板图像的示意图；
图4至图5为本发明实施例二提供的网络数据处理为图像的效果图；
图6为本发明实施例四提供的网络行为的检测装置的框图；
图7为本发明实施例五提供的计算机设备的硬件结构图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
为了提升对未知异常行为检测的准确度，本发明提供了一种网络行为的检测方法、装置、计算机设备和存储介质，在该检测方法中，在对一个目标时间段内目标主体的网络行为进行检测时，将该时间段作为一个待检测单位时间窗，获取该待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组，然后将该待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像，最后根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为，从中可以看出，本发明实现了一种自动化的网络行为的检测方法，在该方法中先将行为数据组映射为图像，能够基于对图像的识别处理方法，通过预设的行为检测来实现异常行为的检测，该过程无需依靠专家经验，可对未知的异常行为进行检测，相对现有技术中基于经验的检测能够提升对未知异常行为检测的准确度。
关于本发明提供的网络行为的检测方法、装置、计算机设备和存储介质的具体实施例，将在下文中详细描述。
实施例一
本发明实施例提供了一种网络行为的检测方法，通过该方法，将网络数据中表征网络行为的行为数据图像化，基于对图像进行识别和处理，确定待检测网络行为是否为异常行为，无需依靠专家经验，可对未知的异常行为进行检测，提升了对未知异常行为检测的准确度，具体地，图1为本发明实施例一提供的网络行为的检测方法的流程图，如图1所示，该实施例提供的网络行为的检测方法包括如下的步骤S101至步骤S103。
步骤S101：获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组。
当需要检测某一个目标主体在一段时间内的网络行为是否异常时，将该段时间作为待检测单位时间窗，获取该待检测单位时间窗内目标主体网络行为的行为数据，将获得的行为数据作为一个待检测行为数据组，可选地，每一次网络行为对应一条行为数据，若该待检测单位时间窗内目标主体具有多次网络行为时，待检测行为数据组包括多条行为数据。例如，检测某个IP地址在某一天内的网络行为是否正常时，获取该天内该IP地址网络行为的行为数据。
网络行为是指在通信网络中，由目标主体向其他主体发起的网络行为，可选地，行为数据可包括网路行为的接收端(也即行为对端)和网络行为的行为属性，行为对端具体可以为接收端的标识、编号、地址等可以唯一标识接收端的信息，行为属性为网络行为的属性。网络行为包含但不限于连接、登录、查询、写入、发邮件等涉及数据交互的动作。
可选地，在获取待检测单位时间窗内目标主体网络行为的行为数据时，可通过获取待检测单位时间窗内网络流量数据以及网络日志数据等网络数据，对网络数据中表征网络行为的数据进行提取来获取行为数据。具体地，可通过抓包、读取日志等方式获取网络数据。
步骤S102：将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像。
在该步骤S102中，将待检测行为数据组按照映射规则映射为行为图像，也即将行为数据图像化，通过图像上的特征来体现行为数据，从而能够通过识别图像的方式实现对网络行为的识别。在本申请中，将待检测行为数据组映射得到的行为图像定义为待检测图像。
步骤S103：根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为。
设置行为检测模型，将待检测图像的图像数据本身或者提取出的特征向量数据输入该行为检测模型，以确定出待检测网络行为是否为异常行为。
在该实施例提供的网络行为的检测方法中，预设将行为数据映射为行为图像的映射规则和用于检测网络行为的行为检测模型，基于此，对待检测单位时间窗内目标主体的网络行为进行检测时，获取该待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组，然后将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像，最后根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为，采用该实施例提供的网络行为的检测方法，在检测网络行为时，将表征网络行为的行为数据图像化，通过处理图像的方式进行检测，无需依靠专家经验即可对未知异常行为进行检测，提升了对未知异常行为检测的准确性。
可选地，在一种实施例中，根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为的步骤包括：将待检测图像输入至行为检测模型，以确定待检测网络行为是否为异常行为。
具体地，预先训练行为检测模型，使得将图像输入该行为检测模型，即可确定该图像对应的网络行为是否为异常行为，具体可将图像的像素数据输入行为检测模型。在进行检测时，将待检测图像输入至行为检测模型，即可确定待检测网络行为是否为异常行为。其中，训练行为检测模型的过程描述如下：获取目标主体的网络数据，该网络数据为目标主体的历史网络数据；提取网络数据中的行为数据组，其中，行为数据组包括单位时间窗内目标主体的网络行为的行为数据，该单位时间窗的时长与待检测单位时间窗的时长相等；将行为数据组按照映射规则映射为行为图像，得到训练行为图像；标记训练行为图像的类别，其中，当单位时间窗内的网络行为不存在异常行为时，标记训练行为图像的类别为第一类别，当单位时间窗内的网络行为存在异常行为时，标记训练行为图像的类别为第二类别；建立初始行为检测模型，其中，初始行为检测模型包括输入层、中间层和输出层，将训练行为图像作为初始行为检测模型的输入层的输入，将训练行为图像的类别作为初始行为检测模型的输出层的输出，对初始行为检测模型进行训练，即可得到行为检测模型。
可选地，在一种实施例中，根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为的步骤包括：提取待检测图像的特征向量，得到待检测特征向量；以及根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为。
具体地，预先训练行为检测模型，使得将由图像提取到的特征向量输入该行为检测模型，即可确定图像对应的网络行为是否为异常行为，其中，提取图像的特征向量可以采用现有技术中的图像特征提取方法。在进行检测时，对待检测图像进行特征向量的提取，将提取到的特征向量输入至行为检测模型，即可确定待检测网络行为是否为异常行为。
例如，行为检测模型为一种概率分布模型，在根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为时，构建正常网络行为的概率分布模型，然后计算待检测特征向量符合概率分布模型的概率，当概率小于预设概率阈值时，确定待检测网络行为属于异常行为。
又如，行为检测模型为一种聚类模型，在根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为时，通过聚类模型对多个待检测特征向量进行聚类，得到若干簇，当簇的向量数量小于预设向量阈值时，确定簇对应的待检测网络行为属于异常行为。
又如，行为检测模型为一种自编码模型，在根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为时，将待检测特征向量输入至预设的正常行为模型(也即能够对正常网络行为进行自编码的模型)，得到验证特征向量，其中，正常网络行为对应的真实特征向量输入至正常行为模型得到理论特征向量，真实特征向量与理论特征向量的误差小于或等于预设误差阈值；判断待检测特征向量与验证特征向量的误差是否大于预设误差阈值；当待检测特征向量与验证特征向量的误差大于预设误差阈值时，确定待检测网络行为属于异常行为。
又如，行为检测模型为一种基于特征向量的分类模型，在根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为时，将待检测特征向量输入至预设的行为分类模型；根据行为分类模型输出的结果判断待检测网络行为是否属于异常行为。
可选地，在一种实施例中，提取待检测图像的特征向量的步骤包括：建立初始自编码器，其中，初始自编码器包括输入层、编码层、反编码层和输出层；获取训练行为图像，并将训练行为图像分别作为初始自编码器的输入层的输入和输出层的输出，对初始自编码器进行训练，得到目标自编码器；获取验证行为图像，将验证行为图像作为目标自编码器的输入层的输入，得到目标自编码器的输出层的输出；通过验证行为图像与目标自编码器的输出层的输出进行比对，判断目标自编码器是否满足要求；当目标自编码器满足要求时，将待检测图像作为目标自编码器的输入层的输入，获取目标自编码器的编码层的输出，以得到特征向量。
具体地，自编码器是一种无监督的数据维度压缩和数据特征表达方法。它是一种神经网络，经过训练能将数据压缩并近似复原，可选地，该实施例中的自编码器可以为卷积自编码器，卷积自编码器利用了传统自编码器的无监督的学习方式，通过引入卷积和池化等操作实现特征提取的一种深层神经网络。
在该实施例中，自编码器的输入层接收输入的图像，编码层对输入图像进行编码压缩，反编码层再对编码层输出的数据进行反编码，并在反编码后通过输出层输出。训练行为图像为表征一个主体(可以为目标主体，也可以为其他主体)在一段时间(可以等于单位时间窗的时长，也可以不等于单位时间窗的时长)内网络行为对应的行为数据组所映射得到的行为图像，将训练行为图像作为训练样本，对初始自编码器进行训练，使得自编码器学习到对图像进行压缩并近似复原的能力。针对训练后得到的目标自编码器，获取验证行为图像对目标自编码器进行验证，如果目标自编码器能够将验证行为图像进行压缩并近似复原，也即向目标自编码器输入的验证行为图像与目标自编码器的输出层的输出进行比对时偏差较小，表明目标自编码器满足要求，能够将网络行为对应的行为数据组所映射得到的图像压缩并近似复原。
在进行待检测图像的特征提取时，将待检测图像作为目标自编码器的输入层的输入，获取目标自编码器的编码层的输出，编码层用于对检测证图像进行编码和压缩，编码层的输出能够表征待检测图像的特征，因而可以作为待检测图像的特征向量，分别得到待检测图像的特征向量。
可选地，在一种实施例中，该网络行为的检测方法还包括：在连续s个待检测单位时间窗内，具有r个待检测单位时间窗内目标主体网络行为存在异常时，产生报警，其中，r≤s。
具体地，在该实施例中，r和s均可以为预设值，r是可容忍的异常观测单位时间窗数。如果业务要求单个单位时间窗检测出异常就需要告警，那么r＝1；如果虽然单个单位时间窗检测出异常，但是基于正常的数据波动以及业务需要等，可并不立即告警，而是继续考察多个单位时间窗，那么r>1。通过该实施例，根据实际需要设置r和s的值，避免在网络数据波动较大的场景误报警，又能够在连续多个待检测单位时间内多次出现异常行为时，也即目标主体出现异常行为的概率较大时产生报警。
可选地，在一种实施例中，行为数据包括行为对端、行为属性和行为时间，行为属性为目标主体与行为对端之间产生的网络行为的属性，将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像步骤包括：针对每条行为数据，将行为对端映射为预设模板图像中点的位置坐标，将行为属性映射为点的形态属性，在位置坐标处显示形态属性的点，得到行为数据对应的图像点；在关联点之间设置连接线，其中，行为时间满足预设关联关系的两条行为数据对应的图像点互为关联点。
具体地，行为对端是指目标主体发出的网络行为的接收端，行为数据中包括的行为对端具体可包括接收端的标识、编号、地址等可以唯一标识接收端的信息；行为属性是指该网络行为的属性，包括连接方式、数据传输协议等；行为时间是指网络行为的产生时间。对行为数据组按照预设的映射规则映射为图像，也即将网络行为图像化。映射规则包括在行为对端(本申请中是指标识行为对端的信息)与预设模板图像的点的位置坐标之间建立的映射关系，通过该映射关系，针对每条行为数据，将行为对端映射为预设模板图像中点的位置坐标，需要说明是，该处的位置坐标可以为在一种坐标系中标识点位置的数据，例如直角坐标系中通过横纵坐标标识点位置的数据，又如极坐标系中通过极角和极径标识点位置的数据；也可以为通过序号等标识点位置的数据，例如通过图像中像素的序号标识点位置的数据等，本申请对此并不进行限定，所有能够在图像中标识出点位置的数据均属于本申请中的位置坐标，以实现通过在预设模板图像中不同位置的点来表征不同行为对端的目的。
映射规则还包括在行为属性与预设模板图像的点的形态属性之间建立的映射关系，通过该映射关系，针对每条行为数据，将行为属性映射为预设模板图像中点的形态属性，需要说明是，该处的行为属性可以为网络行为的单个属性，例如网络连接的连接方式，也可以为网络行为的多个属性的组合，例如网络连接的连接方式和数据传输协议的组合，该处的点的形态属性可以为点的大小、形状和/或颜色，也可以为点的其他参数，所有能够在图像中体现出点的差异的特性均属于本申请的点的形态属性，以实现通过在预设模板图像中点的不同形态属性来表征不同行为属性的目的。
行为数据组包括多条行为数据，每条行为数据对应一个网络行为，行为数据组表征目标主体在一段时间内发起的多个网络行为的数据。可根据实际需要预设基于行为时间的关联关系，在该行为数据组中，定义行为时间满足预设关联关系的两条行为数据对应的图像点互为关联点，例如，将间隔时间满足预设时长的两条行为数据对应的图像点互为关联点，通过在关联点之间显示连接线，实现上述关联关系的图像化，也即，通过图像信息体现哪些网络行为之间满足关联关系。针对行为数据组，将每条行为数据映射到预设模板图像上的同时，在关联点之间设置连接线，能够通过图像体现网络行为的关联关系。
在该实施例提供的网络行为的检测方法中，行为数据包括网络行为的行为对端以及网络行为的行为属性，将行为对端映射为预设模板图像中的点的位置坐标，将行为属性映射为点的形态属性，通过在位置坐标出显示该形态属性的点，得到行为数据对应的图像点，行为数据还包括行为时间，行为时间的关联关系通过关联点之间设置的连接线体现，实现了网络行为的图像化。
可选地，在一种实施例中，关联点为行为时间相邻的两条行为数据对应的图像点。
采用该实施例提供的网络行为的检测方法，将关联点定义为行为时间相邻的两条行为数据对应的图像点，关联点之间的连接线能够表征出哪些网络行为是相邻的网络行为，一方面，增加了图像表示网络行为信息的量，另一方面，对于一些安全威胁，相邻的网络行为之间具有特定的特征，因此，基于具有相邻网络行为表征的图像进行网络行为的检测，能够实现对这类型安全威胁的准确检测。
可选地，在一种实施例中，连接线为向量，向量的方向表征关联点对应的行为时间的先后。
采用该实施例提供的网络行为的检测方法，对于行为时间相邻的两条行为数据对应的图像点，不仅在两个图像点(也即关联点)之间显示连接线，而且将连接线设置为具有方向的线，也即将连接线设置为向量，通过向量的方向来表征行为时间的先后，从而当图像为体现多个网络行为的图像时，能够通过图像表征出网络行为发起端发起的网络行为的路径，也即图像表征出网络行为链，表征出系列行为的先后关系，从而能够基于行为上下关系进行网络行为的判断。
可选地，在一种实施例中，将行为数据组按照预设的映射规则映射为图像的步骤还包括：统计行为数据组对应的相同关联点的数量；将数量映射为线的形态属性，在关联点之间设置连接线的步骤包括：在关联点之间按照线的形态属性设置连接线。
具体地，将关联点表征的两条行为数据作为一个行为数据单元，当行为数据组对应有相同关联点时，也即行为数据组中包括相同的行为数据单元，在该实施例提供的网络行为的检测方法中，针对某一关联点，对行为数据组中该关联点表征的行为数据单元的数量进行统计，如果行为数据组中包括N个此行为数据单元，则该关联点的数量为N。预先设置数量与线的形态属性之间的映射关系，在确定一个关联点的数量后，基于该映射关系可将确定的数量映射为线的形态属性，然后在关联点之间显示连接线时，按照映射到的线的形态属性来设置。该处的线的形态属性可以为线的形状、粗细和/或颜色，也可以为线的其他参数，所有能够在图像中体现出线的差异的特性均属于本申请的线的形态属性，以实现通过在预设模板图像中线的不同形态属性来表征关联点数量的目的。
采用该实施例提供的网络行为的检测方法，将关联点的数量映射为关联点之间连接线的形态属性，从而关联点之间的连接线在表征出哪些网络行为之间满足关联关系的同时，还能够表征出这些网络行为的多少，增加了图像表示网络行为信息的量。
可选地，在一种实施例中，将行为对端映射为预设模板图像中点的位置坐标的步骤包括：在预设模板图像中预设多个点的位置坐标；通过按序分配、随机分配或最远距离分配，将预设多个点的位置坐标分配一个端标识，建立位置坐标与端标识之间的一一对应的第一映射关系；根据行为对端的端标识和第一映射关系，确定行为对端对应的位置坐标。
具体地，在预设模板图像中预设多个点的位置坐标时，可以随机设置多个点，也可以按照一定规律设置多个点；在将预设模板图像中的点与行为对端之间建立映射关系时，可以按序将点的位置坐标分配给一个行为对端，针对多个行为对端，将各个行为对端进行排序，然后按照在某一方向上的顺序将每个点分配给一个行为对端，或者将每个点随机分配给一个行为对端，或者也可以将一个点分配给一个行为对端后，再计算确定一个与该点距离最远的点，将该距离最远的点分配给下一个行为对端，以此类推，直到所有的行为对端都对应有一个点，形成位置坐标与行为对端之间的一一对应的第一映射关系，在将一个确定的行为对端映射为预设模板图像中点的位置坐标时，在第一映射关系中查找该行为对端所对应的位置坐标。
可选地，在一种实施例中，预设模板图像为具有多个像素的图片，一个点包括若干个像素，位置坐标根据像素的位置确定，点的形态属性根据像素的RGB值确定。
具体地，点的位置坐标可以为该点所包括的一个像素的位置坐标，或者也可以为一个像素的序号等。点的形态属性为点的颜色，具体根据像素的RGB值确定，采用该实施例提供的网络行为的检测方法，点的位置坐标和形态属性均可以根据图片中的像素确定。
可选地，在一种实施例中，同一个点的各像素的RGB值相同，使得一个点整体的颜色均匀，有利于图像识别和图像处理，进而有利于网络行为的识别和处理，且在设置行为属性与点的形态属性的映射关系时，点的形态属性简化为一个RGB值，映射关系简单。
可选地，在一种实施例中，不同点包括的像素的数量相同，也即不同点的大小相同，有利于图像识别和图像处理，进而有利于网络行为的识别和处理。
可选地，在一种实施例中，各点在图片上均匀设置，也即各相邻的点之间的距离相等。
可选地，在一种实施例中，预设模板图像为具有n*n个像素的图片，其中，n＝(2k-1)*m，点为包括m个像素，相邻的点之间间隔m个像素，同一个点的各像素的RGB值相同，点的形态属性为点的像素的RGB值，将行为属性映射为点的形态属性的步骤包括：确定行为属性的编号i；确定像素的RGB值范围，其中，像素的R值的范围为0～r，像素的G值的范围为0～g，像素的B值的范围为0～b；采用以下公式计算编号i对应的十六进制数
Figure BDA0002353134080000141
其中，
Figure BDA0002353134080000142
表示向下取整，c表示行为属性的种类数量，HEX()表示将二进制数转为十六进制数；以及将十六进制数x的每两位数转换为十进制数得到点的像素的RGB值。
具体地，对于所有行为数据中不同种类的行为属性进行编号，并且确定像素的RGB值范围，该RGB值范围为预设图像模板上可显示的RGB值的范围，则r*g*b为预设图像模板上可显示的颜色种类数量，去除预设图像模板的一种背景颜色，r*g*b-1为预设图像模板上可显示的点的颜色种类数量，也即预设图像模板上可表征的行为属性的种类数量，c为实际行为属性的种类数量，通过公式
Figure BDA0002353134080000151
的计算，得到编号为i的行为属性对应的十六进制数，将该十六进制数中每两位数转换为十进制数，即可得到像素的RGB值，实现了行为属性向点的形态属性的映射。
可选地，在一种实施例中，线的形态属性为线的像素的RGB值，将数量映射为线的形态属性的步骤包括：将数量由十进制数转换为十六进制数；将十六进制数的每两位转为十进制数，得到线的像素的RGB值。
具体地，将一种关联点的数量(前述行为数据单元的数量)映射为线的形态属性时，将数量映射为线对应的RGB值，也即线的颜色，使点的形态属性和线的形态属性均为像素的RGB值。
实施例二
本发明实施例二提供了一种优选地网络行为的检测方法，与上述实施例一中的相同的技术特征和技术效果可相互参考。在该实施例中，网络行为的检测方法通过一种异常行为检测系统实现，具体地，图2为本发明实施例二提供的异常行为检测系统的工作流程图，如图2所示，该实施例提供的异常行为检测系统包括数据处理模块、行为表示模块、异常行为训练模块和异常行为预测模块。
数据处理模块的输入为原始网络数据，该原始网络数据可以为原始网络流量或日志数据，凡是包含由来源方(发起端)到目的方(接收端)的网络行为的数据都在本发明涉及的技术范围内。来源方是网络行为的发起方，例如：源IP、服务器账号、员工编号、邮箱等。目的方是行为的接收方，例如：目的IP、主机名、数据库、业务系统、邮箱等。网络行为包含但不限于连接、登录、查询、写入、发邮件等涉及数据交互的动作。
数据处理模块在对原始网络数据进行处理时，执行的是网络行为的检测方法中行为数据的获取步骤，主要步骤包括抽取数据、统计并做规范化处理。首先从原始网络数据中抽取每一个来源方的行为序列，该行为序列也即行为数据组，行为数据组中的行为数据可包括：日期、时间、来源方、目的方，还可包括登录方式、协议、端口等附加的行为属性。行为属性可以是一种，也可以是多种。在该实施例中，以TCP连接的网络行为举例，来源方位来源IP，目的方为目的IP，行为属性为连接协议，实际场景中也可以根据需求定义不同的目的方和行为属性。以某一来源方(如客户端IP10.70.1.11)为例，抽取的数据和生成的序列如表1所示：
表1 数据抽取样例
Figure BDA0002353134080000161
关于上表1，是指IP为10.70.1.11的客户端在2019-01-01 00:08:00通过HTTP方式访问了目的IP10.11.11.5，在2019-01-01 00:09:30通过SSH方式访问了目的IP10.11.11.6……以此类推。
随后，对表1中的数据进行统计和归并。对于每两次相邻的网络行为，按时间先后，将时间早者的目的方记为前一目的方，将时间晚者的目的方记为后一目的方，并记下各自的行为属性。还应记下观测时间范围内(如1天)的四元组(前一目的方，后一目的方，前一属性，后一属性)出现的次数。注意，为便于表述和实际的效果，下文观测时间范围的最小单位为1天，但在实际使用时，该取值可大于或小于1天。
数据处理模块的输出为处理后的数据，格式如表2所示：
表2 数据统计并处理后数据样例
Figure BDA0002353134080000162
行为表示模块的输入为数据处理模块的输出结果，如上表2所示样例。行为表示模块在进行行为表示时，具体包括如下的步骤：
定义一张n*n(n＝(2k-1)*8，k为正整数)的图片(也即预设模板图像)，颜色范围为RGB＝(255，255，255)。用直径为8像素的圆点表示目的方，此方法可表示k*k个目的方，如图3所示。每个圆点与目的方的对应关系可以有不同设定方式，如：按序分配、随机分配或最远距离分配或其他通过数学计算得到的分配方式，其中，按序分配包括按照从左至右或从上至下的顺序分配，或者按照蛇形顺序分配，或者按照回形顺序分配等。如图3所示，用圆点的颜色表示行为属性，因为除去图片背景色RGB＝(255，255，255)外，可用的R、G、B值最多可表示256*256*256-1＝16777215种不同属性。先为行为属性编号，再将点的颜色映射到各个行为属性，方法是取
Figure BDA0002353134080000171
Figure BDA0002353134080000172
表示向下取整，c表示行为属性的种类个数，i表示当前行为属性的编号，HEX()表示将二进制数转为十六进制数。再取x的每两位数十六进制数转为十进制，对应为R、G、B值。对行为属性的编号并赋予颜色的样例如表3所示(假设属性的种类个数为50，即样例中共有50种不同的协议)。
表3 对属性编号并赋予颜色样例
Figure BDA0002353134080000173
前后两个目的方的跳转关系(也即上文中的关联关系)用两个圆点(也即关联点)之间的连接线表示，线的RGB值表示出现次数(也即关联点的数量)。将十进制的出现次数转为十六进制数，取该十六进制数的每两位转为十进制分别为R、G、B的值。次数与颜色的映射关系如表4所示。若次数大于16777214，均用RGB＝(255，255，254)表示。
表4 出现次数与线颜色的映射关系
Figure BDA0002353134080000174
Figure BDA0002353134080000181
依上述方法步骤，每个来源方(如IP或人)在每个观测时间范围(如1天)的行为可以用一张图片来表示。依然以表1和表2的行为数据为例，其转化后的效果图如图4所示，需要说明的是，图4中的10.11.11.5等IP信息和网格线只是为了便于说明，实际图片中并不包括IP信息和网格线本身。
每个来源方(如IP或人)在多个观测时间范围(如多天)的行为可以表示为多张图片的集合，具体效果图如图5所示。
通过上述方法得到行为图像数据后，如图2所示，根据实际需求，目标主体的历史行为图像以训练异常行为模型。行为图像是大小为n*n*3(n＝(2k-1)*8，k为正整数)，3为RGB通道数量，同时对每一张训练所用的该行为图像进行标注，根据图像所表征的网络行为是否正常或异常，将行为图像判别为“正常”或“异常”两类中的某一类，以通过图像分类方法实现对网络行为的分类，在进行图像分类时，可使用卷积神经网络CNN，或者其他的分类方法，例如VGG、Inception、ResNet或DenseNet等网络均可使用。无论使用哪种方法，将行为图像数据作为模型的输入，将对应的类别作为模型的输出，对模型进行训练。
在训练完成后，得到异常行为模型(也即行为检测模型)，将待预测行为图像输入至异常行为模型，即可实现针对待预测行为图像的预测，得到结果为“正常”或“异常”两类中的某一类，并输出属于“正常”类的置信度pi(0≤pi≤1)。
第i天的行为异常度为：
Si＝1-pi
设m是可容忍的异常观测天数。当m＝1时，若Si大于预设阈值，则告警。当m>1时，若m天内有r天Si大于预设阈值(r≤m)，则告警。
实施例三
本发明实施例三提供了一种优选地网络行为的检测方法，与上述实施例一和实施例二中的相同的技术特征和技术效果可相互参考。在该实施例中，网络行为的检测方法通过一种异常行为检测系统实现，具体地，该实施例提供的异常行为检测系统包括数据处理模块、行为表示模块、特征抽取训练模块、特征抽取模块、异常行为训练模块和异常行为预测模块。
其中，关于数据处理模块和行为表示模块，具体可参考上述实施例二的相关内容，该处不再赘述。
通过数据处理模块和行为表示模块得到行为图像数据后，特征抽取训练模块获取该行为图像数据作为训练行为图像，对初始自编码器通过特征抽取器训练模块进行训练，可选地，初始自编码器为一个CNN自编码器。CNN自编码器的输入图像和预测目标是同一张图片，中间的卷积层作为编码层，相当于在做自动化的压缩编码，压缩结果再经过反卷积或上采样处理(相当于反编码层)，输出层最终恢复到与输入层的输入图片相同大小的维度，训练完CNN自编码器之后，得到目标自编码器，获取上述行为图像数据作为验证行为图像进行测试，如果输出层结果与输入层图像极为相似，那么可认为该目标自编码器效果显著，中间的压缩编码层可用于输入图像的压缩编码表示，通过特征抽取训练模块得到能够进行特征向量提取的特征抽取器。
如上所述，使用大量行为图像数据训练好目标自编码器后，特征抽取模块向目标自编码器输入某一行为图像，经过输入层和编码层的计算后，取出编码层输出的压缩编码结果即为提取出的特征向量。
对目标主体的网络行为进行检测之前，获取目标主体的网络数据，通过上述数据处理模块和行为表示模块得到行为图像数据后，再通过上述目标自编码器得到对应每张行为图像的特征向量，利用异常行为训练模块对异常行为模型进行训练，具体地，特征向量为L*1维列向量，同时对每一张训练所用的该行为图像抽取的特征向量进行标注，根据图像所表征的网络行为是否正常或异常，将特征向量判别为“正常”或“异常”两类中的某一类，以通过基于特征向量的分类方法实现对网络行为的分类，在进行分类时，可使用卷积神经网络CNN，或者其他的分类方法，例如VGG、Inception、ResNet或DenseNet等网络均可使用。无论使用哪种方法，将由行为图像抽取的特征向量作为模型的输入，将对应的类别作为模型的输出，对模型进行训练。
在训练完成后，得到异常行为模型(也即行为检测模型)，对待预测行为图像进行特征向量的抽取后，将抽取到的特征向量输入至异常行为模型，即可实现针对待预测行为图像的预测，得到结果为“正常”或“异常”两类中的某一类，并输出属于“正常”类的置信度pi(0≤pi≤1)。第i天的行为异常度为：
Si＝1-pi
设m是可容忍的异常观测天数。当m＝1时，若Si大于预设阈值，则告警。当m>1时，若m天内有r天Si大于预设阈值(r≤m)，则告警。
实施例四
对应于上述实施例一，本发明实施例四提供了一种网络行为的检测装置，相关技术特征和技术效果可参考上述，此处不再赘述。图6为本发明实施例四提供的网络行为的检测装置的框图，如图6所示，该装置包括：获取模块301、映射模块302和检测模块303。
其中，获取模块301用于获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；映射模块302用于将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及检测模块303用于根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为。
可选地，在一种实施例中，检测模块303在根据待检测图像和预设的行为检测模型确定待检测网络行为是否为异常行为时，具体执行的步骤包括：将待检测图像输入至行为检测模型，以确定待检测网络行为是否为异常行为。
可选地，在一种实施例中，检测模块303包括提取单元和确定单元，其中，提取单元用于提取待检测图像的特征向量，得到待检测特征向量；以及确定单元用于根据待检测特征向量和行为检测模型确定待检测网络行为是否属于异常行为。
可选地，在一种实施例中，提取单元在提取待检测图像的特征向量时，具体执行的步骤包括：建立初始自编码器，其中，初始自编码器包括输入层、编码层、反编码层和输出层；获取训练行为图像，并将训练行为图像分别作为初始自编码器的输入层的输入和输出层的输出，对初始自编码器进行训练，得到目标自编码器；获取验证行为图像，将验证行为图像作为目标自编码器的输入层的输入，得到目标自编码器的输出层的输出；通过验证行为图像与目标自编码器的输出层的输出进行比对，判断目标自编码器是否满足要求；当目标自编码器满足要求时，将待检测图像作为目标自编码器的输入层的输入，获取目标自编码器的编码层的输出，以得到特征向量。
可选地，在一种实施例中，网络行为的检测装置还包括：报警模块，用于在连续s个待检测单位时间窗内，具有r个待检测单位时间窗内目标主体网络行为为异常行为时，产生报警，其中，r≤s。
可选地，在一种实施例中，行为数据包括行为对端、行为属性和行为时间，行为属性为目标主体与行为对端之间产生的网络行为的属性，映射模块302在将待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像时，具体执行的步骤包括：针对每条行为数据，将行为对端映射为预设模板图像中点的位置坐标，将行为属性映射为点的形态属性，在位置坐标处显示形态属性的点，得到行为数据对应的图像点；在关联点之间设置连接线，其中，行为时间满足预设关联关系的两条行为数据对应的图像点互为关联点。
可选地，在一种实施例中，关联点为行为时间相邻的两条行为数据对应的图像点；连接线为向量，向量的方向表征关联点对应的行为时间的先后。
可选地，在一种实施例中，映射模块302将行为数据组按照预设的映射规则映射为图像时，具体执行的步骤还包括：统计行为数据组对应的相同关联点的数量；将数量映射为线的形态属性，在关联点之间设置连接线时，在关联点之间按照线的形态属性设置连接线。
可选地，在一种实施例中，映射模块302将行为对端映射为预设模板图像中点的位置坐标时，具体执行的步骤包括：在预设模板图像中预设多个点的位置坐标；通过按序分配、随机分配或最远距离分配，将预设多个点的位置坐标分配一个端标识，建立位置坐标与端标识之间的一一对应的第一映射关系；根据行为对端的端标识和第一映射关系，确定行为对端对应的位置坐标。
可选地，在一种实施例中，预设模板图像为具有n*n个像素的图片，其中，n＝(2k-1)*m，点为包括m个像素，相邻的点之间间隔m个像素，同一个点的各像素的RGB值相同，点的形态属性为点的像素的RGB值，映射模块302将行为属性映射为点的形态属性时，具体执行的步骤包括：确定行为属性的编号i；确定像素的RGB值范围，其中，像素的R值的范围为0～r，像素的G值的范围为0～g，像素的B值的范围为0～b；采用以下公式计算编号i对应的十六进制数
Figure BDA0002353134080000221
其中，
Figure BDA0002353134080000222
表示向下取整，c表示行为属性的种类数量，HEX()表示将二进制数转为十六进制数；以及将十六进制数x的每两位数转换为十进制数得到点的像素的RGB值。
可选地，在一种实施例中，线的形态属性为线的像素的RGB值，映射模块302将数量映射为线的形态属性时，具体执行的步骤包括：将数量由十进制数转换为十六进制数；将十六进制数的每两位转为十进制数，得到线的像素的RGB值。
实施例五
本实施例五还提供一种计算机设备，如可以执行程序的智能手机、平板电脑、笔记本电脑、台式计算机、机架式服务器、刀片式服务器、塔式服务器或机柜式服务器(包括独立的服务器，或者多个服务器所组成的服务器集群)等。如图7所示，本实施例的计算机设备01至少包括但不限于：可通过系统总线相互通信连接的存储器011、处理器012，如图7所示。需要指出的是，图7仅示出了具有组件存储器011和处理器012的计算机设备01，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。
本实施例中，存储器011(即可读存储介质)包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，存储器011可以是计算机设备01的内部存储单元，例如该计算机设备01的硬盘或内存。在另一些实施例中，存储器011也可以是计算机设备01的外部存储设备，例如该计算机设备01上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。当然，存储器011还可以既包括计算机设备01的内部存储单元也包括其外部存储设备。本实施例中，存储器011通常用于存储安装于计算机设备01的操作系统和各类应用软件，例如实施例二的网络行为的检测装置的程序代码等。此外，存储器011还可以用于暂时地存储已经输出或者将要输出的各类数据。
处理器012在一些实施例中可以是中央处理器(Central Processing Unit，CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器012通常用于控制计算机设备01的总体操作。本实施例中，处理器012用于运行存储器011中存储的程序代码或者处理数据，例如网络行为的检测方法等。
实施例六
本实施例六还提供一种计算机可读存储介质，如闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘、服务器、App应用商城等等，其上存储有计算机程序，程序被处理器执行时实现相应功能。本实施例的计算机可读存储介质用于存储网络行为的检测置，被处理器执行时实现实施例一的网络行为的检测方法。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。
以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种网络行为的检测方法，其特征在于，包括：
获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；
将所述待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及
根据所述待检测图像和预设的行为检测模型确定所述待检测网络行为是否为异常行为。
2.根据权利要求1所述的网络行为的检测方法，其特征在于，根据所述待检测图像和预设的行为检测模型确定所述待检测网络行为是否为异常行为的步骤包括：
将所述待检测图像输入至所述行为检测模型，以确定所述待检测网络行为是否为异常行为。
3.根据权利要求1所述的网络行为的检测方法，其特征在于，根据所述待检测图像和预设的行为检测模型确定所述待检测网络行为是否为异常行为的步骤包括：
提取所述待检测图像的特征向量，得到待检测特征向量；以及
根据所述待检测特征向量和所述行为检测模型确定所述待检测网络行为是否属于异常行为。
4.根据权利要求3所述的网络行为的检测方法，其特征在于，提取所述待检测图像的特征向量的步骤包括：
建立初始自编码器，其中，所述初始自编码器包括输入层、编码层、反编码层和输出层；
获取训练行为图像，并将所述训练行为图像分别作为所述初始自编码器的输入层的输入和输出层的输出，对所述初始自编码器进行训练，得到目标自编码器；
获取验证行为图像，将所述验证行为图像作为所述目标自编码器的输入层的输入，得到所述目标自编码器的输出层的输出；
通过所述验证行为图像与所述目标自编码器的输出层的输出进行比对，判断所述目标自编码器是否满足要求；
当所述目标自编码器满足要求时，将所述待检测图像作为所述目标自编码器的输入层的输入，获取所述目标自编码器的编码层的输出，以得到所述特征向量，
在连续s个所述待检测单位时间窗内，具有r个所述待检测单位时间窗内所述目标主体网络行为为异常行为时，产生报警，其中，r≤s。
5.根据权利要求1所述的网络行为的检测方法，其特征在于，所述行为数据包括行为对端、行为属性和行为时间，所述行为属性为所述目标主体与所述行为对端之间产生的网络行为的属性，将所述待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像步骤包括：
针对每条所述行为数据，将所述行为对端映射为预设模板图像中点的位置坐标，将所述行为属性映射为点的形态属性，在所述位置坐标处显示所述形态属性的点，得到所述行为数据对应的图像点；
在所述关联点之间设置连接线，其中，所述行为时间满足预设关联关系的两条所述行为数据对应的所述图像点互为所述关联点。
6.根据权利要求5所述的网络行为的检测方法，其特征在于，
所述关联点为所述行为时间相邻的两条所述行为数据对应的所述图像点；所述连接线为向量，所述向量的方向表征所述关联点对应的所述行为时间的先后；
将所述行为数据组按照预设的映射规则映射为图像的步骤还包括：统计所述行为数据组对应的相同所述关联点的数量；将所述数量映射为线的形态属性，在所述关联点之间设置连接线的步骤包括：在所述关联点之间按照所述线的形态属性设置所述连接线
所述线的形态属性为所述线的像素的RGB值，将所述数量映射为线的形态属性的步骤包括：将所述数量由十进制数转换为十六进制数；将所述十六进制数的每两位转为十进制数，得到所述线的像素的RGB值。
7.根据权利要求5所述的网络行为的检测方法，其特征在于，
将所述行为对端映射为预设模板图像中点的位置坐标的步骤包括：在所述预设模板图像中预设多个点的位置坐标；通过按序分配、随机分配或最远距离分配，将所述预设多个点的位置坐标分配一个端标识，建立所述位置坐标与所述端标识之间的一一对应的第一映射关系；根据所述行为对端的所述端标识和所述第一映射关系，确定所述行为对端对应的所述位置坐标；
所述预设模板图像为具有n*n个像素的图片，其中，n＝(2k-1)*m，所述点为包括m个所述像素，相邻的所述点之间间隔m个所述像素，同一个点的各所述像素的RGB值相同，所述点的形态属性为所述点的像素的RGB值，将所述行为属性映射为点的形态属性的步骤包括：
确定所述行为属性的编号i；
确定所述像素的RGB值范围，其中，所述像素的R值的范围为0～r，所述像素的G值的范围为0～g，所述像素的B值的范围为0～b；
采用以下公式计算所述编号i对应的十六进制数
Figure FDA0002353134070000031
其中，
Figure FDA0002353134070000032
表示向下取整，c表示所述行为属性的种类数量，HEX()表示将二进制数转为十六进制数；以及
将所述十六进制数x的每两位数转换为十进制数得到所述点的像素的RGB值。
8.一种网络行为的检测装置，其特征在于，包括：
获取模块，用于获取待检测单位时间窗内目标主体网络行为的行为数据，得到待检测行为数据组；
映射模块，用于将所述待检测行为数据组按照预设的映射规则映射为行为图像，得到待检测图像；以及
检测模块，用于根据所述待检测图像和预设的行为检测模型确定所述待检测网络行为是否为异常行为。
9.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7任一项所述方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现权利要求1至7任一项所述方法的步骤。
CN201911424188.1A 2019-12-31 2019-12-31 网络行为的检测方法、装置、计算机设备和存储介质 Active CN111131322B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911424188.1A CN111131322B (zh) 2019-12-31 2019-12-31 网络行为的检测方法、装置、计算机设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911424188.1A CN111131322B (zh) 2019-12-31 2019-12-31 网络行为的检测方法、装置、计算机设备和存储介质

Publications (2)

Publication Number Publication Date
CN111131322A true CN111131322A (zh) 2020-05-08
CN111131322B CN111131322B (zh) 2022-04-15

Family

ID=70507118

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911424188.1A Active CN111131322B (zh) 2019-12-31 2019-12-31 网络行为的检测方法、装置、计算机设备和存储介质

Country Status (1)

Country Link
CN (1) CN111131322B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112822099A (zh) * 2020-12-29 2021-05-18 北京浪潮数据技术有限公司 一种网卡工作模式的切换方法、装置和介质

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103914871A (zh) * 2014-03-06 2014-07-09 河南农业大学 基于点云数据的交互式选取物体表面坐标点的方法
WO2015001544A2 (en) * 2013-07-01 2015-01-08 Agent Video Intelligence Ltd. System and method for abnormality detection
US20170034195A1 (en) * 2015-07-27 2017-02-02 Electronics And Telecommunications Research Institute Apparatus and method for detecting abnormal connection behavior based on analysis of network data
CN107657259A (zh) * 2017-09-30 2018-02-02 平安科技（深圳）有限公司 图像篡改检测方法、电子装置及可读存储介质
US20180077175A1 (en) * 2016-09-13 2018-03-15 Accenture Global Solutions Limited Malicious threat detection through time series graph analysis
CN108632097A (zh) * 2018-05-14 2018-10-09 平安科技（深圳）有限公司 异常行为对象的识别方法、终端设备及介质
CN110070129A (zh) * 2019-04-23 2019-07-30 上海联影智能医疗科技有限公司 一种图像检测方法、装置及存储介质
CN110336838A (zh) * 2019-08-07 2019-10-15 腾讯科技（武汉）有限公司 账号异常检测方法、装置、终端及存储介质

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015001544A2 (en) * 2013-07-01 2015-01-08 Agent Video Intelligence Ltd. System and method for abnormality detection
CN103914871A (zh) * 2014-03-06 2014-07-09 河南农业大学 基于点云数据的交互式选取物体表面坐标点的方法
US20170034195A1 (en) * 2015-07-27 2017-02-02 Electronics And Telecommunications Research Institute Apparatus and method for detecting abnormal connection behavior based on analysis of network data
US20180077175A1 (en) * 2016-09-13 2018-03-15 Accenture Global Solutions Limited Malicious threat detection through time series graph analysis
CN107657259A (zh) * 2017-09-30 2018-02-02 平安科技（深圳）有限公司 图像篡改检测方法、电子装置及可读存储介质
CN108632097A (zh) * 2018-05-14 2018-10-09 平安科技（深圳）有限公司 异常行为对象的识别方法、终端设备及介质
CN110070129A (zh) * 2019-04-23 2019-07-30 上海联影智能医疗科技有限公司 一种图像检测方法、装置及存储介质
CN110336838A (zh) * 2019-08-07 2019-10-15 腾讯科技（武汉）有限公司 账号异常检测方法、装置、终端及存储介质

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112822099A (zh) * 2020-12-29 2021-05-18 北京浪潮数据技术有限公司 一种网卡工作模式的切换方法、装置和介质

Also Published As

Publication number Publication date
CN111131322B (zh) 2022-04-15

Similar Documents

Publication Publication Date Title
CN111131314B (zh) 网络行为的检测方法、装置、计算机设备和存储介质
CN111107107B (zh) 网络行为的检测方法、装置、计算机设备和存储介质
EP3396625A1 (en) Image tampering detection method and system, electronic apparatus and storage medium
JP6994588B2 (ja) 顔特徴抽出モデル訓練方法、顔特徴抽出方法、装置、機器および記憶媒体
CN111475797A (zh) 一种对抗图像生成方法、装置、设备以及可读存储介质
CN110598019B (zh) 重复图像识别方法及装置
CN110704649B (zh) 一种用于构建流量图像数据集的方法及系统
CN112580108B (zh) 签名和印章完整性验证方法及计算机设备
CN111680480A (zh) 基于模板的作业批改方法、装置、计算机设备及存储介质
CN111131322B (zh) 网络行为的检测方法、装置、计算机设备和存储介质
CN114491187B (zh) 一种自然资源智能监测集成系统
CN114840286B (zh) 基于大数据的业务处理方法及服务器
CN107809343B (zh) 一种网络协议识别方法及装置
CN108597172B (zh) 一种森林火灾识别方法、装置、电子设备及存储介质
CN110955891A (zh) 文件检测的方法、装置、系统和数据处理法的方法
CN112036323B (zh) 签名笔迹鉴别方法、客户端及服务器
CN116094971A (zh) 一种工控协议识别方法、装置、电子设备及存储介质
CN113920497B (zh) 一种铭牌识别模型的训练、铭牌的识别方法及相关装置
CN113127863A (zh) 恶意代码的检测方法、装置、计算机设备和存储介质
CN113298102B (zh) 一种目标分类模型的训练方法及装置
CN111159486B (zh) 网络数据的处理方法、装置、计算机设备和存储介质
CN112580505A (zh) 网点开关门状态识别方法、装置、电子设备及存储介质
CN113628089A (zh) 图像处理方法、装置、存储介质及计算机设备
CN105095886A (zh) 一种人脸识别的方法及装置
CN113127866A (zh) 恶意代码的特征码提取方法、装置和计算机设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP01 Change in the name or title of a patent holder

Address after: Room 332, 3 / F, Building 102, 28 xinjiekouwei street, Xicheng District, Beijing 100088

Patentee after: Qianxin Technology Group Co.,Ltd.

Patentee after: Qianxin Wangshen information technology (Beijing) Co., Ltd

Address before: Room 332, 3 / F, Building 102, 28 xinjiekouwei street, Xicheng District, Beijing 100088

Patentee before: Qianxin Technology Group Co.,Ltd.

Patentee before: Wangshen information technology (Beijing) Co., Ltd

CP01 Change in the name or title of a patent holder