CN111865696A - 网络安全的可视化方法、装置、设备及介质 - Google Patents

Abstract

本发明公开了一种网络安全的可视化方法、装置、设备及介质，涉及金融科技领域，所述网络安全的可视化方法包括以下步骤：获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图，而后基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端，接下来根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。本发明提高了网络访问过程中传输数据的分析效率，从而提升了风险识别能力，避免客户端在网络访问过程中存在安全隐患。

Description

网络安全的可视化方法、装置、设备及介质

技术领域

本发明涉及金融科技(Fintech)的数据可视化技术领域，尤其涉及一种网络安全的可视化方法、装置、设备及介质。

背景技术

随着计算机技术的发展，越来越多的技术应用在金融领域，传统金融业正在逐步向金融科技(Fintech)转变，人工智能技术也不例外，但由于金融行业的安全性、实时性要求，也对人工智能技术提出的更高的要求。

在企业的高速发展过程中，信息化建设起着非常重要的支撑作用，网络是任何信息化建设的基础，必须要保证企业网络的安全与稳定。然而随着互联网的飞速发展，企业的网络系统正面临着越来越多的威胁。企业的重要文件、数据库中的重要数据等信息都存在着安全隐患，一旦丢失、损坏或泄露，都会给企业造成很大的损失。如果是商业机密信息，给企业造成的损失会更大，甚至会影响到企业的生存和发展。对企业网络流量分析是极其重要的。

网络访问资产中tcpflow流量是最为常见的，现有的方法通常是使用一些统计方法，比如统计不同的协议的流量访问情况，统计不同的IP的流量访问情况，这些基于统计的方法，只能对异常流量从一个整体上进行分析，对于公司来说，通常tcpflow数据数量巨大，无法有效的发掘出具体是某个IP发生了异常的行为，无法有效的检测出一些安全事件，也无法直观的看到一些异常行为的前因后果。

发明内容

本发明的主要目的在于提供一种网络安全的可视化方法、装置、设备及介质，旨在解决现有的网络访问数据的分析效率低，风险识别能力不高的技术问题。

为实现上述目的，本发明提供一种网络安全的可视化方法，所述网络安全的可视化方法包括步骤：

获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

可选地，所述获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图的步骤包括：

获取所述各个客户端在网络访问过程中传输数据对应的传输协议，对所述传输协议进行向量化处理，得到所述各个客户端对应的协议表示向量；

对所述各个协议表示向量进行降维处理，并将降维后的协议表示向量表示在二维空间，生成所述客户端的行为投影视图。

可选地，所述根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图的步骤包括：

根据所述待分析客户端的传输数据获取所述待分析客户端对应的各个传输协议的运行时间、上行流量、下行流量、访问地址的数量以及所述待分析客户端的统计信息；

将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述待分析客户端的统计信息对应保存为所述多维考量指标；

将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图。

可选地，所述待分析客户端的可视化分析视图包括时间线视图、流量视图和平行轴视图，所述将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图的步骤包括：

根据所述待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图；

基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图；

基于所述目标客户端的多维考量指标间的对应关系，分别将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述目标客户端的统计信息显示在多维坐标中，生成所述平行轴视图。

可选地，所述根据待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图的步骤包括：

利用条形图将所述待分析客户端的所述传输协议对应的运行时间显示在以时间为横坐标的统计图中；

将所述待分析客户端的地址表示在对应的条形图上，获得所述时间线视图。

可选地，所述基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图的步骤包括：

将所述运行时间设为流量统计坐标的横坐标，将流量设为所述流量统计坐标的纵坐标；

根据所述各个传输协议与所述运行时间、所述上行流量、所述下行流量的对应关系，将所述上行流量、所述下行流量按照协议类型分别表示在所述流量统计坐标中，获得所述流量视图。

可选地，所述网络安全的可视化方法包括；

对所述各个客户端的传输协议按照时间顺序进行合并及排序，得到传输协议的模式序列；

对所述各个模式序列进行模式匹配，基于模式匹配结果生成模式参数配置视图；

基于所述模式参数配置视图确定模式长度和模式频次，基于所述模式长度、所述模式频次，将所述各个模式序列进行表示，生成模式列表视图。

此外，为实现上述目的，本发明还提供一种网络安全的可视化装置，所述网络安全的可视化装置包括：

第一生成模块，用于获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

筛选模块，用于基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

第二生成模块，用于根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

此外，为实现上述目的，本发明还提供一种网络安全的可视化设备，所述网络安全的可视化设备包括存储器、处理器和存储在所述存储器上并可在所述处理器上运行的网络安全的可视化程序，所述网络安全的可视化程序被所述处理器执行时实现网络安全的可视化方法的步骤。

此外，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有网络安全的可视化程序，所述网络安全的可视化程序被处理器执行时实现如上所述的网络安全的可视化方法的步骤。

本发明获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图，而后基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端，接下来根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。通过行为投影视图中确定网络访问行为异常的客户端，进一步通过可视视图显示的内容来确定各个客户端的网络访问轨迹，从而提高了网络访问数据的分析效率，提升了风险识别能力，避免客户端在网络访问过程中存在安全隐患。

附图说明

图1是本发明网络安全的可视化方法第一实施例的流程示意图；

图2是本发明网络安全的可视化方法一实施例中行为投影视图的示意图；

图3是本发明网络安全的可视化方法一实施例中时间线视图的示意图；

图4是本发明网络安全的可视化方法一实施例中流量视图的示意图；

图5是本发明网络安全的可视化方法一实施例中平行轴视图的示意图；

图6是本发明网络安全的可视化方法一实施例中模式参数配置视图的示意图；

图7是本发明网络安全的可视化方法一实施例中操作流程的示意图；

图8是本发明网络安全的可视化装置较佳实施例的功能模块示意图；

图9是本发明网络安全的可视化方法实施例方案涉及的硬件运行环境的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提供一种网络安全的可视化方法，参照图1，图1为本发明网络安全的可视化方法第一实施例的流程示意图。

本发明实施例提供了网络安全的可视化方法的实施例，需要说明的是，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

网络安全的可视化方法应用于网络管理服务器中，为了便于描述，省略执行主体进行阐述各个实施例。网络安全的可视化方法包括：

步骤S100，获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

在本实施例中，每一客户端在网络访问过程中都存在对应的传输数据，传输数据至少包括：客户端地址、访问地址、访问地址对应的协议类型、运行时间、客户端对应的上行流量和客户端对应的下行流量。传输数据为TCP协议层的数据传输记录，保存在tcpflow日志中。具体地，客户端地址用于唯一表示某个客户端的IP地址；客户端会进行不同类型的网络访问，如浏览网页、发送邮件等，访问地址就是客户端在网络访问过程中所访问的目的IP地址，如网页服务器的IP地址，邮件服务器的地址等；客户端执行不同类型的网络访问，所采用的网络协议不同，例如使用QQ软件进行通信，采用qq协议，浏览网页时，则会采用http网络传输协议、dns域名解析等，根据协议的功能对协议进行划分，可分为8类协议，分别为:数据库操作、浏览网页、邮件处理、社交娱乐、远程服务、P2p文件传输协议、文件处理、Unknown。根据协议类型可以判断出客户端进行了哪些类型的网络访问。客户端在网络访问过程中，发送数据会相应的产生上行流量，下载数据时会产生对应的下行流量。

通常tcpflow日志中数据数量巨大，现有技术无法有效的发掘出具体是某个客户端发生了异常的行为，无法有效的检测出一些安全事件，也无法直观的看到一些异常行为的前因后果，故本申请采用可视化的视图对传输数据进行比对和分析，从而提高网络访问过程中传输数据的分析效率以及风险识别能力。其中，可视化的视图包括：行为投影视图、时间线视图、流量视图、平行轴视图、模式参数配置视图和模式列表视图。其中，模式参数配置视图用于进行模式频次及模式长度选择，都支持粗粒度和更细粒度的选择操作；模式列表视图用于显示不同共同模式对应的客户端的数量，在该模式列表视图中，每一行表示一个模式，长度表示拥有该模式的客户端的数量；时间线视图用于显示某个客户端在一天内访问某一类协议的时间，在该时间线视图中，每一行表示一个客户端，用其IP地址在视图中表示客户端；行为投影视图用于表示客户端的模式序列之间接近程度，在该行为投影视图中，每一个圆点表示一个客户端；流量视图用于表示一天内的不同协议上传及下载流量的变化，在该流量视图中可以进行协议切换，显示具体某一类或几类协议的流量随时间变化的情况；平行轴视图用于显示客户端的网络访问数据在不同维度的分布情况。

进一步地，确定各个客户端在网络访问过程中传输数据对应的传输协议，然后根据传输协议生成客户端的行为投影视图。

具体地，步骤S100包括：

步骤S110，获取所述各个客户端在网络访问过程中传输数据对应的传输协议，对所述传输协议进行向量化处理，得到所述各个客户端对应的协议表示向量；

步骤S120，对所述各个协议表示向量进行降维处理，并将降维后的协议表示向量表示在二维空间，生成所述客户端的行为投影视图。

在本实施例中，首先确定对哪些传输数据进行分析，在模式参数配置视图中提供了数据范围，通过选择传输数据对应的日期，从而确定对该日期的传输数据进行可视化分析。例如在模式参数配置视图中确定选择日期为2019-04-12，从预设的传输数据对应的历史数据库中，将2019-04-12这一天对应的传输数据读取出来，传输数据为多个客户端的传输数据，然后提取各个客户端的传输数据对应的传输协议序列，利用doc2vec(doc tovector，文本向量转化)将传输协议序列进行向量化，得到协议表示向量，利用t-SNE(t-distributed stochastic neighbor embedding，t分布随机邻居嵌入)投影，即对各个协议表示向量进行降维处理，并将降维后的协议表示向量表示在二维空间，从而得到客户端的行为投影视图，其中，每一个圆点表示一个客户端。

进一步地，doc2vec是一种非监督式算法，可以获得协议序列的向量表达，学出来的向量可以通过计算距离来找协议序列之间的相似性。当得到协议序列的向量表达后，根据协议序列的向量表达，基于用t-SNE(投影构建客户端协议向量对应的投影视图，需要说明的是，该投影视图是一个2D(二维)视图，t-SNE时一种降维技术，用于创建低维表示，并保留局部相似性来传达邻域结构。可以理解的是，本实施例也可以采用PCA(PrincipalComponent Analysis，主成分分析)和MDS(multidimensional scaling，多维尺度分析)等降维技术构建投影视图。

步骤S200，基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

在本实施例中，在行为投影视图中每一个圆点表示一个客户端，参照图2，图2是本发明实施例中行为投影视图的示意图，通过行为投影视图，可以查看在网络访问过程中潜在的聚类和异常值，从而确定在网络访问过程中，存在异常的客户端。若某个小圆圈偏离其他小圆圈较远，则说明该小圆圈对应客户端有可能是存在异常的客户端，即可将该小圆圈对应的客户端确定为待分析的异常客户端。

步骤S300，根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

具体地，步骤S300包括：

步骤S310，根据所述待分析客户端的传输数据获取所述待分析客户端对应的各个传输协议的运行时间、上行流量、下行流量、访问地址的数量以及所述待分析客户端的统计信息；

步骤S320，将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述待分析客户端的统计信息对应保存为所述多维考量指标；

在本实施例中，传输数据至少包括：客户端地址、访问地址、访问地址对应的协议类型、运行时间、客户端对应的上行流量和客户端对应的下行流量，其中，待分析客户端的统计信息是基于传输数据中的数据进行统计得到的，包括但不限于访问目的IP的总数量，总上传流量，总下载流量，将从传输数据获取的待分析客户端对应的各个传输协议的运行时间、上行流量、下行流量、访问地址的数量以及计算得到的统计信息对应保存为多维考量指标。

步骤S330，将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图。

具体地，步骤S330包括：

步骤S331，根据所述待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图；

具体地，步骤S331包括：

步骤a，利用条形图将所述待分析客户端的所述传输协议对应的运行时间显示在以时间为横坐标的统计图中；

步骤b，将所述待分析客户端的地址表示在对应的条形图上，获得所述时间线视图。

在本实施例中，在时间线视图中每一行表示一个客户端，用其IP地址在视图中标识客户端，展示客户端在一天内访问某一类协议的时间，不同协议用不同的颜色表示，可以查看到各个客户端之间访问某一类协议的时间差异，如图3所示。在一个企业内从事相同岗位的工作人员对应所使用得客户端，通常在网络访问过程中，这些客户端对应的传输数据中协议的类型及运行时间应该是相似的，如果某个客户端与其他客户端的协议访问时间差异过大，则说明该客户端是可能存在异常的客户端。

需要说明的是，根据传输数据确定客户端对应的时间统计数据，其中，时间统计数据表示协议类型与运行时间的映射关系，并且点击时间线视图中一条时间线，可以与流量视图及平行轴视图进行交互。

步骤S332，基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图；

具体地，步骤S332包括：

步骤c，将所述运行时间设为流量统计坐标的横坐标，将流量设为所述流量统计坐标的纵坐标；

步骤d，根据所述各个传输协议与所述运行时间、所述上行流量、所述下行流量的对应关系，将所述上行流量、所述下行流量按照协议类型分别表示在所述流量统计坐标中，获得所述流量视图。

在本实施例中，在时间线视图中选定的客户端，即选择一条时间线，在传输数据中获取该选定的客户端对应的流量统计数据，其中，流量统计数据表示协议类型与上行流量、下行流量的映射关系，在流量视图中，通过勾选协议可以查看不同协议对应的上行流量、下行流量。

如图4所示，在流量视图中，横坐标代表时间，纵坐标代表流量，包括上传流量和下载流量。通过观察流量视图可以查看到客户端每个时刻进行了哪些具体的访问操作，还可分析客户端的流量使用情况，如果超出流量范围阈值，则该客户端可能存在异常。

步骤S333，基于所述目标客户端的多维考量指标间的对应关系，分别将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述目标客户端的统计信息显示在多维坐标中，生成所述平行轴视图。

在本实施例中，在时间线视图中选定的客户端，即选择一条时间线，在传输数据中获取该选定的客户端对应的多维考量指标，根据目标客户端的多维考量指标间的对应关系，分别将运行时间、上行流量、下行流量、访问地址的数量以及目标客户端的统计信息显示在多维坐标中，生成平行轴视图。

进一步地，平行轴视图包括三种展示形式：IP，Original和Protocol，其中，IP表示对同一名称的目标IP地址进行合并，当选择IP时，视图中可以查看到客户端的网络访问记录数，目的IP的总数量，总上传流量，总下载流量，每种协议的上传流量，每种协议的下载流量，每条记录的目的IP地址；Original表示展示原本的目标IP地址，当选择Origina时，视图中可以查看到客户端的网络访问记录数，目的IP的总数量，总上传流量，总下载流量，总上传流量，总下载流量，每条记录的上传流量，每条记录的下载流量，每条记录的访问时间，每条记录的目的IP地址；Protocol表示通过协议类型合并目标IP地址，当选择Protocol时，视图中可以查看到客户端的网络访问记录数，目的IP的总数量，总上传流量，总下载流量，每种协议的上传流量，每种协议的下载流量，协议类型。

举例说明，如图5所示，当前选择的是Original展示形式，在图中可以分别查看到记录数，目的IP的总数量，总上传流量，总下载流量，每条记录的上传流量，每条记录的下载流量等，从图中可以看出IP地址为10.66.92.218的客户端，流量消耗最多的是浏览网页，其次是数据库操作。

本实施例通过获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图，而后基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端，接下来根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。通过行为投影视图中确定网络访问行为异常的客户端，进一步通过可视视图显示的内容来确定各个客户端的网络访问轨迹，从而提高了网络访问数据的分析效率，提升了风险识别能力，避免客户端在网络访问过程中存在安全隐患。与现有技术相比，可以更有效地发掘出客户端的异常访问情况，能够对企业内部的网络安全事件进行发掘和预警，保障企业的正常运转。

进一步地，提出本发明网络安全的可视化方法第二实施例。所述网络安全的可视化方法第二实施例与所述网络安全的可视化方法第一实施例的区别在于，所述网络安全的可视化方法还包括：

步骤S400，对所述各个客户端的传输协议按照时间顺序进行合并及排序，得到传输协议的模式序列；

步骤S500，对所述各个模式序列进行模式匹配，基于模式匹配结果生成模式参数配置视图；

在本实施例中，传输数据为TCP协议层的数据传输记录，保存在tcpflow日志中，每条记录有访问时间，如果按天为单位，可以得到tcpflow日志中传输数据对应的时间区间；将每天中每个客户端访问的协议类型按照时间顺序组合成一个序列，该序列即为客户端的模式序列。模式序列的长度代表所访问的协议类型的数量，不同的客户端的模式长度不会都相同，模式频次是指共同的模式序列重复出现的次数，通过模式参数配置视图可以进行设置。

具体地，根据模式匹配结果生成模式参数配置视图，如图6所示的模式参数配置视图，对于模式长度和模式频次通过双层柱状图选择，下面的为粗粒度的选择，上面的为细粒度的选择操作。通过对该视图的选择，选出用户想要的模式的长度和频次。

举例说明模式匹配，设根据协议的功能对协议进行划分，可分为8类协议，这8类协议分别用字母进行标记，数据库操作用字母a表示、浏览网页用字母b表示、邮件处理用字母c表示、社交娱乐用字母d表示、远程服务用字母e表示、P2p文件传输协议用字母f表示、文件处理用字母g表示、Unknown用字母h表示。为了描述方便和理解，假设客户端只进行了少量的访问协议操作。当一个客户端在某一天内，先进行了邮件处理c，然后浏览网页b，接下来进行了数据库操a，最后又进行了社交娱乐d，则该客户端这一天的模式序列为cbad，其模式长度为4。可以理解的是，客户端在一天内进行的网络操作会很多，有的模式长度可能会达到千次，只要在网络访问过程中发生协议类型，模式序列长度就增加一个长度。模式序列与访问协议的顺序是一一对应的，所以访问协议的顺序不同，得到的模式序列完全不同。例如，先进行了邮件处理c，然后浏览网页b，接下来进行了数据库操a，又进行了社交娱乐d，接下来进行了数据库操a，又进行了社交娱乐d，得到模式序列为cbadad；先进行了浏览网页b，然后邮件处理c，接下来进行了数据库操a，又进行了社交娱乐d，接下来进行了数据库操a，又进行了社交娱乐d，得到模式序列为bcadad，与模式序列cbadad完全是不同的序列。这两个模式序列进行模式匹配可以得到共同的模式序列为ad，模式频次为2。

步骤S600，基于所述模式参数配置视图确定模式长度和模式频次，基于所述模式长度、所述模式频次，将所述各个模式序列进行表示，生成模式列表视图。

在本实施例中，首先根据传输数据确定公共模式序列，然后再根据公共模式序列构建模式列表视图。具体地，确定传输数据的时间，也就是选择导入哪一天的数据，再通过模式参数配置视图设置模式频次及模式长度筛选传输数据，筛选后的传输数据经过模式匹配得到共同的模式序列。在进行模式匹配时，将筛选后的传输数据中每两条数据进行模式匹配，得到它们公共模式序列，统计各个公共模式序列包括的客户端数量，在模式列表视图中显示公共模式序列以及公共模式序列包括的客户端数量。

具体地，在模式列表视图中，每一行表示一个公共模式序列，每一行的长度表示拥有该公共模式序列的客户端的数量。需要说明的是，模式列表视图中包括的公共模式序列不同，其包括的客户端的数量也不同，公共模式序列的长度不能太短，如果太短表示访问的协议数量太少，且包括的客户端的数量会很多，这样无法通过公共模式序列对客户端进行聚类，从而在具有相似访问轨迹的客户端中发现网络访问行为异常的客户端。例如，公共模式序中包括了数据库操作和文件处理的协议，则可以大致认为该公共模式序对应的这些客户端的使用者是程序员。

进一步地，在模式列表视图中选中一个公共模式序列，则该公共模式序列对应的各个客户端的多维考量指标，会在时间线视图、流量视图及平行轴视图中进行显示，从而可以对这些客户端的传输数据进行分析。不同视图之间存在一定的关联关系，并且以客户端为单位，模式序列不同时在各视图显示的数据不同。如图7所示，模式参数配置视图通过设置模式频次及模式长度筛选其他视图所需的传输数据，筛选后的传输数据经过模式匹配得到共同的模式序列，将其显示在模式列表视图中，在模式列表视图中选择一条或多条模式序列，可以分别在投影视图、时间线视图、流量视图和平行轴视图中查看到被选中的模式序列在以上视图中的情况。

本实施例对所述各个客户端的传输协议按照时间顺序进行合并及排序，得到传输协议的模式序列，而后对所述各个模式序列进行模式匹配，基于模式匹配结果生成模式参数配置视图，接下来基于所述模式参数配置视图确定模式长度和模式频次，基于所述模式长度、所述模式频次，将所述各个模式序列进行表示，生成模式列表视图。通过模式参数配置视图对传输数据进行筛选，并通过模式列表视图采用可视化的方式对传输数据进行分类，同时支持与投影视图、时间线视图、流量视图和平行轴视图进行交互，从而分析各个客户端的网络访问轨迹，提高了网络访问数据的分析效率，提升了风险识别能力，避免客户端在网络访问过程中存在安全隐患。

此外，本发明还提供一种网络安全的可视化装置，参照图8，所述网络安全的可视化装置包括：

第一生成模块10，用于获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

筛选模块20，用于基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

第二生成模块30，用于根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

进一步地，所述第一生成模块10还用于：

获取所述各个客户端在网络访问过程中传输数据对应的传输协议，对所述传输协议进行向量化处理，得到所述各个客户端对应的协议表示向量；

对所述各个协议表示向量进行降维处理，并将降维后的协议表示向量表示在二维空间，生成所述客户端的行为投影视图。

进一步地，所述第二生成模块30还用于：

根据所述待分析客户端的传输数据获取所述待分析客户端对应的各个传输协议的运行时间、上行流量、下行流量、访问地址的数量以及所述待分析客户端的统计信息；

将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述待分析客户端的统计信息对应保存为所述多维考量指标；

将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图。

进一步地，所述第二生成模块30还用于：

根据所述待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图；

基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图；

基于所述目标客户端的多维考量指标间的对应关系，分别将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述目标客户端的统计信息显示在多维坐标中，生成所述平行轴视图。

进一步地，所述第二生成模块30还用于：

利用条形图将所述待分析客户端的所述传输协议对应的运行时间显示在以时间为横坐标的统计图中；

将所述待分析客户端的地址表示在对应的条形图上，获得所述时间线视图。

进一步地，所述第二生成模块30还用于：

将所述运行时间设为流量统计坐标的横坐标，将流量设为所述流量统计坐标的纵坐标；

根据所述各个传输协议与所述运行时间、所述上行流量、所述下行流量的对应关系，将所述上行流量、所述下行流量按照协议类型分别表示在所述流量统计坐标中，获得所述流量视图。

进一步地，所述网络安全的可视化装置还包括：

预处理模块，用于对所述各个客户端的传输协议按照时间顺序进行合并及排序，得到传输协议的模式序列；

第三生成模块，用于对所述各个模式序列进行模式匹配，基于模式匹配结果生成模式参数配置视图；

第四生成模块，用于基于所述模式参数配置视图确定模式长度和模式频次，基于所述模式长度、所述模式频次，将所述各个模式序列进行表示，生成模式列表视图。

本发明网络安全的可视化装置具体实施方式与上述网络安全的可视化方法各实施例基本相同，在此不再赘述。

此外，本发明还提供一种网络安全的可视化设备。如图9所示，图9是本发明实施例方案涉及的硬件运行环境的结构示意图。

需要说明的是，图9即可为网络安全的可视化设备的硬件运行环境的结构示意图。本发明实施例网络安全的可视化设备可以是PC，便携计算机等终端设备。

如图9所示，该网络安全的可视化设备可以包括：处理器1001，例如CPU，存储器1005，用户接口1003，网络接口1004，通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图9中示出的网络安全的可视化设备结构并不构成对网络安全的可视化设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图9所示，作为一种计算机存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及网络安全的可视化程序。其中，操作系统是管理和控制网络安全的可视化设备硬件和软件资源的程序，支持网络安全的可视化程序以及其它软件或程序的运行。

在图9所示的网络安全的可视化设备中，用户接口1003主要用于连接终端设备，与终端设备进行数据通信，如接收终端设备发送的待识别图像或者待训练图像；网络接口1004主要用于后台服务器，与后台服务器进行数据通信；处理器1001可以用于调用存储器1005中存储的网络安全的可视化程序，并执行如上所述的网络安全的可视化方法的步骤。

本发明网络安全的可视化设备具体实施方式与上述网络安全的可视化方法各实施例基本相同，在此不再赘述。

此外，本发明实施例还提出一种计算机可读存储介质，所述计算机可读存储介质上存储有网络安全的可视化程序，所述基于网络安全的可视化程序被处理器执行时实现如上所述的网络安全的可视化方法的步骤。

本发明计算机可读存储介质具体实施方式与上述基网络安全的可视化方法各实施例基本相同，在此不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种网络安全的可视化方法，其特征在于，所述网络安全的可视化方法包括：

获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

2.根据权利要求1所述的方法，其特征在于，所述获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图的步骤包括：

获取所述各个客户端在网络访问过程中传输数据对应的传输协议，对所述传输协议进行向量化处理，得到所述各个客户端对应的协议表示向量；

对所述各个协议表示向量进行降维处理，并将降维后的协议表示向量表示在二维空间，生成所述客户端的行为投影视图。

3.根据权利要求1所述的方法，其特征在于，所述根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图的步骤包括：

根据所述待分析客户端的传输数据获取所述待分析客户端对应的各个传输协议的运行时间、上行流量、下行流量、访问地址的数量以及所述待分析客户端的统计信息；

将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述待分析客户端的统计信息对应保存为所述多维考量指标；

将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图。

4.根据权利要求3所述的方法，其特征在于，所述待分析客户端的可视化分析视图包括时间线视图、流量视图和平行轴视图，所述将所述多维考量指标中的一种或多种进行展示，生成所述待分析客户端的可视化分析视图的步骤包括：

根据所述待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图；

基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图；

基于所述目标客户端的多维考量指标间的对应关系，分别将所述运行时间、所述上行流量、所述下行流量、所述访问地址的数量以及所述目标客户端的统计信息显示在多维坐标中，生成所述平行轴视图。

5.根据权利要求4所述的方法，其特征在于，所述根据待分析客户端对应的各个传输协议以及所述传输协议对应的运行时间构建所述时间线视图的步骤包括：

利用条形图将所述待分析客户端的所述传输协议对应的运行时间显示在以时间为横坐标的统计图中；

将所述待分析客户端的地址表示在对应的条形图上，获得所述时间线视图。

6.根据权利要求4所述的方法，其特征在于，所述基于所述时间线视图确定目标客户端，根据所述目标客户端对应的各个传输协议以及所述传输协议对应的运行时间、所述上行流量、所述下行流量，生成所述流量视图的步骤包括：

将所述运行时间设为流量统计坐标的横坐标，将流量设为所述流量统计坐标的纵坐标；

根据所述各个传输协议与所述运行时间、所述上行流量、所述下行流量的对应关系，将所述上行流量、所述下行流量按照协议类型分别表示在所述流量统计坐标中，获得所述流量视图。

7.根据权利要求1至6任一项中所述的方法，其特征在于，所述网络安全的可视化方法包括；

对所述各个客户端的传输协议按照时间顺序进行合并及排序，得到传输协议的模式序列；

对所述各个模式序列进行模式匹配，基于模式匹配结果生成模式参数配置视图；

基于所述模式参数配置视图确定模式长度和模式频次，基于所述模式长度、所述模式频次，将所述各个模式序列进行表示，生成模式列表视图。

8.一种网络安全的可视化装置，其特征在于，所述网络安全的可视化装置包括：

第一生成模块，用于获取各个客户端在网络访问过程中传输数据对应的传输协议，基于所述传输协议生成客户端的行为投影视图；

筛选模块，用于基于所述行为投影视图输出客户端的行为比较结果，并基于所述行为比较结果和筛选条件确定待分析客户端；

第二生成模块，用于根据所述待分析客户端的传输数据确定所述待分析客户端对应的多维考量指标，基于所述多维考量指标生成所述待分析客户端的可视化分析视图。

9.一种网络安全的可视化设备，其特征在于，所述网络安全的可视化设备包括存储器、处理器和存储在所述存储器上并可在所述处理器上运行的网络安全的可视化程序，所述网络安全的可视化程序被所述处理器执行时实现如权利要求1至7任一项中所述的网络安全的可视化方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有网络安全的可视化程序，所述网络安全的可视化程序被处理器执行时实现如权利要求1至7任一项所述的网络安全的可视化方法的步骤。

Images