CN111538614B - 一种操作系统的时序异常操作行为检测方法 - Google Patents

Abstract

本发明涉及服务器运维、网络安全和信息压缩领域，具体提供了一种操作系统的时序异常操作行为检测方法。与现有技术相比，本发明的基于自编码器的神经网络结构,包含encoder部分和decoder部分,对于时序数据使用卷积的方式,encoder部分通过神经网络逐层设置收敛的卷积个数,将数据的维度降低,即可得到数据的低位且高效的表达；再经过decoder部分将数据还原，将还原的数据与输入的数据计算误差；然后，设置一个阈值T，对正常操作系统行为信息进行无监督的学习，并对新操作数据持续进行编解码，当解码误差大于阈值T时，即可判断为异常的操作行为。本发明能够减少工作量，建模也性对简单，能够良好的检测异常行为，具有良好的推广价值。

Description

一种操作系统的时序异常操作行为检测方法

技术领域

本发明涉及服务器运维、网络安全和信息压缩领域，具体提供一种操作系统的时序异常操作行为检测方法。

背景技术

随着计算机技术的高速发展，许多数据被部署在服务器中，其中不乏有一些私密的、敏感的数据，其安全问题日益严峻，需要面对层出不穷的入侵威胁。一味的加密数据、加固对数据的防御只能被动的抵抗，因此需要主动地对异常行为进行识别。不但防止本地操作出现问题，也会对抵御外网的异常攻击起到帮助作用。导致操作系统出现问题的一系列操作可被认为是一些异常的行为、流量、设备等，因此，可以将某些行为定义为异常标本。

传统的异常检测需要大量数据进行训练，但操作的信息收集和更新相对困难，维护特征库的工作量巨大，统计模型难以建立。对于新型的入侵方式识别困难，存在漏报误报的缺点。

发明内容

本发明是针对上述现有技术的不足，提供一种实用性强的操作系统的时序异常操作行为检测方法。

本发明解决其技术问题所采用的技术方案是：

一种操作系统的时序异常操作行为检测方法，基于自编码器的神经网络结构,包含encoder部分和decoder部分,对于时序数据使用卷积的方式,encoder部分通过神经网络逐层设置收敛的卷积个数,将数据的维度降低,即可得到数据的低位且高效的表达；

再经过decoder部分将数据还原，将还原的数据与输入的数据计算误差；

然后，设置一个阈值T，对正常操作系统行为信息进行无监督的学习，并对新操作数据持续进行编解码，当解码误差大于阈值T时，即可判断为异常的操作行为。

进一步的，分为以下步骤：

1)正常、异常行为数据的收集与处理；

2)搭建神经网络架构；

3)用正常数据训练，得到新数据后编码、解码；

4)计算误差，判断是否为异常操作行为。

进一步的，在步骤1)中，首先在操作系统建立日志记录机制，将固定时间间隔的操作记录下来，定义每种要记录的操作。

作为优选，要记录的操作为单击、双击、右击、鼠标移动、拖拽、访问目录、打开应用、访问网页、下载的内容、消耗的流量、后台调用的线程、CPU、GPU内存、硬盘的占用率和读写。

进一步的，将定义的操作进行Onehot encoding，即假设有m种操作，定义一个m维布尔向量，每种定义过的操作和行为都有固定位置的布尔值，出现的操作和行为布尔值为1，否则为0；

收集n个固定时间的操作或者阶段性的操作日志构建操作矩阵，所述矩阵列是m种操作，矩阵行是n条收集到的样本，收集多个时间段的操作数据构建操作矩阵集合。

进一步的，在步骤2)和3)中，搭建卷积自编码器的神经网络，encoder和decoder部分都包含相同数量的卷积层，encoder中每层的卷积核尺寸相同，个数递增；encoder通过设置strides或使用Pooling层使得特征图维度逐渐减小，最终进入bottleneck层；decoder部分的设置方式与encoder呈镜像对称；每层的激活函数使用GDN或者SELU+GDN。

作为优选，在bottleneck层增加一层全连接层使不同尺寸的feature map映射到一个固定大小的向量中，用于不同长度的时间段收集到的数据的提取和比较。

进一步的，构建的操作矩阵集合逐个训练卷积自编码器，使用PSNR二维数据常用的损失；

若矩阵集合能收集到负样本，使用Triplet loss最大化正负样本的距离。

进一步的，在步骤2)和3)中，优化器选择Adam或RMSProp，其中每个样本的标签为其自身，并通过最小化差距进行迭代优化。

进一步的，在步骤4)中，训练完卷积自编码器后，对新收集的数据进行整理和矩阵构建，输入模型，经过Encoder和Decoder部分会得到一个恢复出的原始尺寸的操作矩阵，计算MSE或PSNR的Metric，得到的值与得出的阈值T进行比较，当超过阈值T，即可认为是异常的操作，此时，发出预警或直接终止当前操作并锁定。

本发明的操作系统的时序异常操作行为检测方法和现有技术相比，具有以下突出的有益效果：

本发明不需要对数据进行标注，且可以只对正常操作数据进行学习与表示，更加方便快捷。当遇到未知的操作数据时，由于与已学习到的数据表示方式不同，因此编解码之后会存在误差，根据这种误差可以认为是判断异常行为的依据。因此，工作量适量减小，统计模型建立比较简单，可以较简单的判断出异常行为。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

附图1是一种操作系统的时序异常操作行为检测方法的流程示意图；

附图2是一种操作系统的时序异常操作行为检测方法中神经网络结构图。

具体实施方式

为了使本技术领域的人员更好的理解本发明的方案，下面结合具体的实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例都属于本发明保护的范围。

下面给出一个最佳实施例：

如图1-2所示，本实施例中的操作系统的时序异常操作行为检测方法，异常检测，通常是一种无监督学习方法，通过对现有正常数据进行建模与表示，在新数据出现时找到与现有数据不同的表达方式，即可检测到异常行为。

在本实施例中用到的卷积自编码器作为提取时序数据高效表示的模型，它将输入的数据经过编码，然后经过一个相反的解码过程，将数据进行还原。由于它的学习目标是它本身，因此不需要进行复杂的数据标注。

针对操作系统的异常操作行为我们首先对其进行编码，如离散的labelencoding、onehot encoding等，即每种行为有其对应的标签以及先后顺序，这些数据可以构成一个矩阵表示一段时间内的操作行为。收集到足够的数据后，用正常数据训练一个卷积自编码器模型，当有新数据时，使用自编码器的encoder部分对数据进行特征提取和表示，再将其使用解码器进行解码，恢复数据原始的维度。如果恢复出来的数据与原始数据差距超过某个阈值T，则认为是异常。这是因为使用正常数据训练的编码模型无法对异常数据进行降维表示，进而恢复出的数据与原始数据的差异会很大。

具体的分为以下步骤：

1)正常、异常行为数据的收集与处理；

2)搭建神经网络架构；

3)用正常数据训练，得到新数据后编码、解码；

4)计算误差，判断是否为异常操作行为。

在步骤1)中，首先要收集数据，在操作系统中建立日志记录机制，将固定时间间隔的操作记录下来，此处可以设置间隔为1秒。定义单击、双击、右击、鼠标移动、拖拽、访问的目录、打开的应用、访问的网页、下载的内容、消耗的流量、后台调用的线程、CPU、GPU、内存、硬盘的占用率和读写等操作。此处可根据实际需要进行设置，力求全面详尽的记录所有操作。

将定义的操作进行Onehot encoding，即假设有m种操作，就定义一个m维布尔向量，每种定义过的操作和行为都有其固定位置的布尔值，出现的操作和行为布尔值为1，否则为0。

收集n个固定时间的操作或者阶段性的操作日志构建操作矩阵，该矩阵列是m种操作，行是n条收集到的样本。收集多个时间段的操作数据构建操作矩阵集合。

在步骤2)和3)中，搭建卷积自编码器的神经网络，encoder和decoder部分都包含相同数量的卷积层，encoder中每层的卷积核尺寸相同，个数递增；encoder通过设置strides或使用Pooling层使得特征图维度逐渐减小，最终进入bottleneck层；decoder部分的设置方式与encoder呈镜像对称；每层的激活函数使用GDN或者SELU+GDN。

在bottleneck层增加一层全连接层使不同尺寸的feature map映射到一个固定大小的向量中，用于不同长度的时间段收集到的数据的提取和比较。

构建的操作矩阵集合逐个训练卷积自编码器，经典的loss函数可以设置为MSE，但由于这里我们将一段时间内的操作构建了矩阵，因此还可以使用PSNR等二维数据常用的损失。同时，在步骤4中如果能收集到负样本训练集时，我们可以进一步使用Triplet loss最大化正负样本的距离，增强神经网络的学习效果。

优化器选择Adam或RMSProp，其中每个样本的标签为其自身，并通过最小化差距进行迭代优化。

在步骤4)中，训练完卷积自编码器后，对新收集的数据进行整理和矩阵构建，输入模型，经过Encoder和Decoder部分会得到一个恢复出的原始尺寸的操作矩阵，计算MSE或PSNR的Metric，得到的值与得出的阈值T进行比较，当超过阈值T，即可认为是异常的操作，此时，发出预警或直接终止当前操作并锁定。

上述具体的实施方式仅是本发明具体的个案，本发明的专利保护范围包括但不限于上述具体的实施方式，任何符合本发明的操作系统的时序异常操作行为检测方法权利要求书的且任何所述技术领域普通技术人员对其做出的适当变化或者替换，皆应落入本发明的专利保护范围。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (1)

1.一种操作系统的时序异常操作行为检测方法，其特征在于，基于自编码器的神经网络结构,包含encoder部分和decoder部分,对于时序数据使用卷积的方式,encoder部分通过神经网络逐层设置收敛的卷积个数,将数据的维度降低,即可得到数据的低位且高效的表达；

再经过decoder部分将数据还原，将还原的数据与输入的数据计算误差；

然后，设置一个阈值T，对正常操作系统行为信息进行无监督的学习，并对新操作数据持续进行编解码，当解码误差大于阈值T时，即可判断为异常的操作行为；

分为以下步骤：

1)正常、异常行为数据的收集与处理；

2)搭建神经网络架构；

3)用正常数据训练，得到新数据后编码、解码；

4)计算误差，判断是否为异常操作行为；

其中，在步骤1)中，首先在操作系统建立日志记录机制，将固定时间间隔的操作记录下来，定义每种要记录的操作;

要记录的操作为单击、双击、右击、鼠标移动、拖拽、访问目录、打开应用、访问网页、下载的内容、消耗的流量、后台调用的线程、CPU、GPU内存、硬盘的占用率和读写；

将定义的操作进行Onehot encoding，即假设有m种操作，定义一个m维布尔向量，每种定义过的操作和行为都有固定位置的布尔值，出现的操作和行为布尔值为1，否则为0；

收集n个固定时间的操作或者阶段性的操作日志构建操作矩阵，所述矩阵列是m种操作，矩阵行是n条收集到的样本，收集多个时间段的操作数据构建操作矩阵集合；

在步骤2)和3)中，搭建卷积自编码器的神经网络，encoder和decoder部分都包含相同数量的卷积层，encoder中每层的卷积核尺寸相同，个数递增；encoder通过设置strides或使用Pooling层使得特征图维度逐渐减小，最终进入bottleneck层；decoder部分的设置方式与encoder呈镜像对称；每层的激活函数使用GDN或者SELU+GDN；

在bottleneck层增加一层全连接层使不同尺寸的feature map映射到一个固定大小的向量中，用于不同长度的时间段收集到的数据的提取和比较；

构建的操作矩阵集合逐个训练卷积自编码器，使用PSNR二维数据常用的损失；

若矩阵集合能收集到负样本，使用Triplet loss最大化正负样本的距离；

在步骤2)和3)中，优化器选择Adam或RMSProp，其中每个样本的标签为其自身，并通过最小化差距进行迭代优化；

在步骤4)中，训练完卷积自编码器后，对新收集的数据进行整理和矩阵构建，输入模型，经过Encoder和Decoder部分会得到一个恢复出的原始尺寸的操作矩阵，计算MSE或PSNR的Metric，得到的值与得出的阈值T进行比较，当超过阈值T，即可认为是异常的操作，此时，发出预警或直接终止当前操作并锁定。