CN111914569B - 基于融合图谱的预测方法、装置、电子设备及存储介质 - Google Patents
基于融合图谱的预测方法、装置、电子设备及存储介质 Download PDFInfo
- Publication number
- CN111914569B CN111914569B CN202010795669.XA CN202010795669A CN111914569B CN 111914569 B CN111914569 B CN 111914569B CN 202010795669 A CN202010795669 A CN 202010795669A CN 111914569 B CN111914569 B CN 111914569B
- Authority
- CN
- China
- Prior art keywords
- map
- behavior
- information data
- fusion
- fusion map
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 230000004927 fusion Effects 0.000 title claims abstract description 119
- 238000000034 method Methods 0.000 title claims abstract description 78
- 238000005516 engineering process Methods 0.000 claims abstract description 25
- 238000004458 analytical method Methods 0.000 claims abstract description 11
- 238000007781 pre-processing Methods 0.000 claims abstract description 9
- 230000006399 behavior Effects 0.000 claims description 171
- 239000013598 vector Substances 0.000 claims description 62
- 230000009471 action Effects 0.000 claims description 47
- 238000004364 calculation method Methods 0.000 claims description 20
- 238000012098 association analyses Methods 0.000 claims description 13
- 238000010276 construction Methods 0.000 claims description 13
- 238000005065 mining Methods 0.000 claims description 12
- 238000000605 extraction Methods 0.000 claims description 9
- 239000003999 initiator Substances 0.000 claims description 7
- 238000012545 processing Methods 0.000 claims description 5
- 238000004422 calculation algorithm Methods 0.000 claims description 4
- 238000007499 fusion processing Methods 0.000 claims description 3
- 230000003068 static effect Effects 0.000 abstract description 7
- 230000008569 process Effects 0.000 description 9
- 230000008859 change Effects 0.000 description 4
- 238000010219 correlation analysis Methods 0.000 description 3
- 230000000875 corresponding effect Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 3
- 230000006870 function Effects 0.000 description 3
- 238000001228 spectrum Methods 0.000 description 3
- 230000000007 visual effect Effects 0.000 description 3
- 230000002596 correlated effect Effects 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000010295 mobile communication Methods 0.000 description 2
- 238000011160 research Methods 0.000 description 2
- 241000282414 Homo sapiens Species 0.000 description 1
- 230000003542 behavioural effect Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000001364 causal effect Effects 0.000 description 1
- 230000001149 cognitive effect Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 230000009897 systematic effect Effects 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F40/00—Handling natural language data
- G06F40/30—Semantic analysis
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/30—Information retrieval; Database structures therefor; File system structures therefor of unstructured textual data
- G06F16/36—Creation of semantic tools, e.g. ontology or thesauri
- G06F16/367—Ontology
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F40/00—Handling natural language data
- G06F40/20—Natural language analysis
- G06F40/279—Recognition of textual entities
- G06F40/289—Phrasal analysis, e.g. finite state techniques or chunking
- G06F40/295—Named entity recognition
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
- Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Computational Linguistics (AREA)
- General Engineering & Computer Science (AREA)
- Artificial Intelligence (AREA)
- General Health & Medical Sciences (AREA)
- Health & Medical Sciences (AREA)
- Audiology, Speech & Language Pathology (AREA)
- Life Sciences & Earth Sciences (AREA)
- Animal Behavior & Ethology (AREA)
- Data Mining & Analysis (AREA)
- Databases & Information Systems (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明实施例提供了一种基于融合图谱的预测方法、装置、电子设备及存储介质，用以解决现有单一图谱表示网络空间情报信息的静态性和不充分性，以及目标行为分析预测结果不准确的问题。该方法包括：对网络安全空间情报数据进行预处理；抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；抽取网络安全空间情报数据中的安全事件，构建事理图谱；通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；基于所述融合图谱对新的情报数据进行最终行为预测。
Description
技术领域
本发明涉及网络安全技术领域，尤其涉及一种基于融合图谱的预测方法、装置、电子设备及存储介质。
背景技术
网络空间目标行为的准确预测无论对于军事方面还是民用方面都具有十分重要的作用，能够帮助网络管理人员及时准确掌握网络所处的安全现状，并对网络系统的资源及安全设施做出合理的配置。为了应对日益错综复杂的网络行为，预测技术也在不断演变。知识图谱作为一种成熟的技术被很多学者应用到网络空间行为预测领域，事理图谱作为一种新兴技术也不断被领域内的专家所应用。知识图谱主要有实体属性和关系以及实体上下位信息等知识形式，事理图谱是一种以事件为节点的新型图谱，描述了事件之间顺承、因果等事件关系，以及事件转移概率等信息，能够刻画事件之间演化规律的可能性，相比知识图谱，事理图谱更符合人类对事情发展和行为执行的认知规律。
目前，基于知识图谱和事理图谱的网络空间目标行为预测技术的研究取得了一定的成果和进展，但尚有很多需要研究和改进的地方。主要有三点：
1、知识图谱中本体所使用的概念模型缺乏对安全事件之间的演化规律和模式知识的挖掘，进而难以反映行为逻辑之间更高层次和更复杂的语义信息。现有基于知识图谱的目标行为推演技术大多缺乏行为动态描述，行为推演过程一般具有静态性和不充分性。
2、目前对融合图谱的挖掘深度不够，能够进行网络空间目标行为预测的图谱推理技术都不是很成熟，建立的模型和使用的算法尚不成体系。
3、事理图谱中事理逻辑都是事件与事件之间的关系，缺乏已知目标行为的多步动作，预测目标行为的事理逻辑表示方法，这限制了对目标行为推理过程的预测实现。
由于网络空间领域情报信息数量大且关系复杂，需要知识图谱和事理图谱对情报进行梳理和归纳，所以亟需将两种图谱融合后的相关知识应用于网络空间行为预测领域。
发明内容
本发明实施例提供了一种基于融合图谱的预测方法、装置、电子设备及存储介质，用以解决现有单一图谱表示网络空间情报信息的静态性和不充分性，以及目标行为分析预测结果不准确的问题。
基于上述问题，本发明实施例提供的一种基于融合图谱的预测方法，包括：
对网络安全空间情报数据进行预处理；抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；抽取网络安全空间情报数据中的安全事件，构建事理图谱；通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；基于所述融合图谱对新的情报数据进行最终行为预测。
进一步地，抽取情报数据中的安全事件，构建事理图谱，具体为：抽取的情报数据中的安全事件；对安全事件的时序信息、空间信息及事理逻辑进行关联分析；对关联事件进行消歧和/或融合处理；对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；所述属性信息包括安全事件发生时间、发生地点和发起人。
进一步地，基于所述融合图谱对新的情报数据进行最终行为预测，具体为：获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
进一步地，词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
本发明实施例提供的一种基于融合图谱的预测装置，包括：
预处理模块：用于对网络安全空间情报数据进行预处理；知识图谱构建模块：用于抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；事理图谱构建模块：用于抽取网络安全空间情报数据中的安全事件，构建事理图谱；融合图谱构建模块：用于通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；预测模块：用于基于所述融合图谱对新的情报数据进行最终行为预测。
进一步地，所述事理图谱构建模块还包括：抽取模块一：用于抽取的情报数据中的安全事件；分析模块：用于对安全事件的时序信息、空间信息及事理逻辑进行关联分析；处理模块：用于对关联事件进行消歧和/或融合处理；抽取模块二：用于对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；所述属性信息包括安全事件发生时间、发生地点和发起人。
进一步地，所述预测模块还包括：抽取模块三：用于获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；预测模块一：用于基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；相似度计算模块：用于遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；预测模块二：用于根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
进一步地，相似度计算模块中，词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
本发明实施例同时公开一种基于融合图谱的预测的电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行任一前述的基于融合图谱的预测方法。
本发明实施例提供了计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现任一前述的基于融合图谱的预测方法。
与现有技术相比，本发明实施例提供的一种基于融合图谱的预测方法、装置、电子设备及存储介质，至少实现了如下的有益效果：将知识图谱与事理图谱融合应用于网络空间目标行为预测领域，解决了单一图谱表示网络空间情报信息的静态性和不充分性；同时，基于融合图谱的深层次推理使目标行为分析结果更准确。
附图说明
图1为本发明实施例提供的一种基于融合图谱的预测方法的流程图；
图2为本发明实施例提供的一种融合图谱样例；
图3为本发明实施例提供的又一种基于融合图谱的预测方法的流程图；
图4为本发明实施例提供的融合图谱深度挖掘方法的流程图；
图5为本发明实施例提供的一种基于融合图谱的预测装置的结构图；
图6为本发明实施例提供的电子设备的结构示意图。
具体实施方式
下面结合说明书附图，对本发明实施例提供的一种基于融合图谱的预测方法、装置、电子设备及存储介质的具体实施方式进行说明。
本发明实施例提供的一种基于融合图谱的预测方法，如图1所示，具体包括以下步骤：
S101、对网络安全空间情报数据进行预处理；
从安全设备终端日志或新闻报道等各种渠道获取的情报数据。
S102、抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；
2012年，谷歌提出知识图谱的概念，知识图谱旨在描述客观时间的概念、实体、事件及其之间的关系，知识图谱本质上是一种叫做语义网络的知识库，即具有有向图结构的知识库；在知识图谱中，如果两个节点之间存在关系，它们就会被一条边连接在一起，那么这个节点，就被称为实体(Entity)，它们之间的这条边，就被称为关系(Relationship)；
抽取预处理后的情报数据中的实体、关系及属性，对实体进行实体消歧和/或补全，然后将实体，关系及属性转换成三元组的形式，并进行知识融合，构建知识图谱。
S103、抽取网络安全空间情报数据中的安全事件，构建事理图谱；
事理图谱(Event Logic Graph，缩写ELG)是一个事理逻辑知识库，描述了事件之间的演化规律和模式。结构上，事理图谱是一个有向有环图，其中节点代表事件，有向边代表事件之间的顺承、因果、条件和上下位等事理逻辑关系；
抽取网络安全空间情报数据中的安全事件，构建事理图谱，具体为：抽取的情报数据中的安全事件；对安全事件的时序信息、空间信息及事理逻辑进行关联分析；对关联事件进行消歧和/或融合处理；对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；所述属性信息包括安全事件发生时间、发生地点和发起人。
S104、通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；
知识图谱中的实体节点是事理图谱中的事件节点的重要组成部分，通过实体识别和实体链接技术可以将事件中的行为节点链接到知识图谱相应的实体中，构建基于知识图谱和事理图谱的融合图谱；融合图谱的样例如图2所示。
而融合图谱的构建技术包括采用可视化技术，构建融合图谱动态可视化演示，实现目标行为推演过程及预测结果的可视化动态展示。
S105、基于所述融合图谱对新的情报数据进行最终行为预测；
具体为：获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
本发明实施例将知识图谱与事理图谱融合应用于网络空间目标行为预测领域，解决了单一图谱表示网络空间情报信息的静态性和不充分性；同时，基于融合图谱的深层次推理使目标行为分析结果更准确。
本发明实施例提供的又一种基于融合图谱的预测方法，如图3所示，具体包括以下步骤：
S201、对网络安全空间情报数据进行预处理；
S202、抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；
S203、抽取的情报数据中的安全事件，对安全事件的时序信息、空间信息及事理逻辑进行关联分析；
其中对时序信息进行关联分析是指分析出一个安全事件的发生在另一个安全事件之后，对空间信息进行关联分析是指分析出在网络拓扑结构中一个安全事件与另一个安全事件相关联，对事理逻辑进行关联分析是指分析出相同事理逻辑事件相互关联。
S204、对关联事件进行消歧和/或融合处理，然后抽取处理后的安全事件的关键动作行为，事件及事件发生的属性信息，构建事理图谱；
属性信息包括安全事件发生时间，发生地点，发起人；为方便后续计算，本发明实施例将时间和地点要素作为事件节点的属性信息标注出来，标记行为动作发生的属性信息。
S205、通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；
S206、获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；
S207、基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；
对于已抽取的新的情报数据的基本信息，如关键目标的所属组织、惯用手段、目标背景等信息，依据已构建的融合图谱做属性推理预测。根据融合图谱中各个事件节点属性，与所述融合图谱中相同属性的不同事件进行关联，分析融合图谱中事件行为属性的时序关系，结合关键目标的行为辅助信息(如流量，日志)的分析，预测关键目标行为的可能情况，获得关键目标的行为规律。
例如，基于属性的推理过程如下。根据属性，更改密码次数是否大于3次的值，判定目标行为是否是频繁发生的。若已知某个目标频繁更改密码，且是否工作时段属性值为否，那么目标在非工作时间段频繁更改密码，找到与目标关联行为的属性信息，挖掘关联行为的属性信息，发现目标相同时间段，在时间上有先后顺序的行为即为属性推理预测结果。例如，已知与更改密码关联的行为是“隐藏用户”和“删除文件”，“删除文件”行为的属性信息也是在非工作时间频繁发生，且删除文件行为紧随更改密码行为之后，表明目标在更改密码之后删除修改密码记录，那么根据属性推理结果是“频繁更密码后会执行删除文件行为”，这一行为规律是根据该目标属性推理出的行为习惯，可作为后续行为预测的辅助判断依据。
S208、遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；
词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
S209、相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；
例如，遍历融合图谱中行为节点，依据相似度计算方法得出与目标当前行为最相似的5种行为，在这5种行为中，目标当前行为与融合图谱中“登录内网服务器”相似度为100％，则目标进一步行为B2可能为Bresult1：安装Powershell Empire、Bresult2：查询并收集活动目录、Bresult3：远程执行、Bresult4：下载有效载荷和Bresult5：复制文件到主机，作为目标预测候选行为。
S210、根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果；
利用行为预测结果B2(Bresult1，Bresult2，Bresult3，Bresult4，Bresult5)，结合实体属性推理的结果行为规律B1，分析每种行为发生的可能性，进一步判断目标的行为，得到最终行为预测结果。
本发明实施例将知识图谱与事理图谱融合应用于网络空间目标行为预测领域，解决了单一图谱表示网络空间情报信息的静态性和不充分性；同时，基于分析多个事件之间的逻辑关系，构建能进行多步推理的图谱，实现目标行为预测的动态推演；进一步地，基于融合图谱的深层次推理使目标行为分析结果更准确。
对融合图谱进行深度挖掘，可以为目标行为预测提供更完备的信息基础，基于此，本发明实施例还提供一种融合图谱深度挖掘的方法，如图4所示，具体包括以下步骤：
S301、对初步建立的融合图谱中的关键目标行为数据每层按关键目标所关联行为进行聚类，得到待挖掘的事务项集类簇；
S302、基于Apriori算法，对事务项集类簇挖掘频繁项集，得到频繁项集；
所得的频繁项集即为挖掘得到的潜在信息。
S303、将频繁项集的数据转为融合图谱标准数据，添加到融合图谱中，形成信息完备的图谱。
本发明实施例从融合图谱的属性信息挖掘，也即纵向挖掘，从融合图谱的节点信息挖掘，也即横向挖掘，这种挖掘过程能实现对情报信息的深度挖掘，完善图谱的潜在信息，为行为预测提供完备的信息基础。
本发明实施例还提供的一种基于融合图谱的预测装置，如图5所示，包括：
预处理模块401：用于对网络安全空间情报数据进行预处理；
知识图谱构建模块402：用于抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；
事理图谱构建模块403：用于抽取网络安全空间情报数据中的安全事件，构建事理图谱；
融合图谱构建模块404：用于通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；
预测模块405：用于基于所述融合图谱对新的情报数据进行最终行为预测。
进一步地，所述事理图谱构建模块还包括：抽取模块一：用于抽取的情报数据中的安全事件；分析模块：用于对安全事件的时序信息、空间信息及事理逻辑进行关联分析；处理模块：用于对关联事件进行消歧和/或融合处理；抽取模块二：用于对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；所述属性信息包括安全事件发生时间、发生地点和发起人。
进一步地，所述预测模块还包括：抽取模块三：用于获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；预测模块一：用于基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；相似度计算模块：用于遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；预测模块二：用于根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
进一步地，相似度计算模块中，词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
本发明实施例将知识图谱与事理图谱融合应用于网络空间目标行为预测领域，解决了单一图谱表示网络空间情报信息的静态性和不充分性；同时，基于融合图谱的深层次推理使目标行为分析结果更准确。
本发明实施例还提供一种电子设备，图6为本发明电子设备一个实施例的结构示意图，可以实现本发明图1-4所示实施例的流程，如图6所示，上述电子设备可以包括：壳体51、处理器52、存储器53、电路板54和电源电路55，其中，电路板54安置在壳体51围成的空间内部，处理器52和存储器53设置在电路板54上；电源电路55，用于为上述电子设备的各个电路或器件供电；存储器53用于存储可执行程序代码；处理器52通过读取存储器53中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的方法。
处理器52对上述步骤的具体执行过程以及处理器52通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1-4所示实施例的描述，在此不再赘述。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
本发明的实施例还提供一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述的方法。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。
尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。
Claims (10)
1.一种基于融合图谱的预测方法，其特征在于，包括：
对网络安全空间情报数据进行预处理；
抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；
抽取网络安全空间情报数据中的安全事件，构建事理图谱；
通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；
基于所述融合图谱对新的情报数据进行最终行为预测；
所述方法还包括：对初步建立的融合图谱中的关键目标行为数据每层按关键目标所关联行为进行聚类，得到待挖掘的事务项集类簇；
基于Apriori算法，对事务项集类簇挖掘频繁项集，得到频繁项集；
将频繁项集的数据转为融合图谱标准数据，添加到融合图谱中，形成信息完备的融合图谱。
2.如权利要求1所述的方法，其特征在于，抽取情报数据中的安全事件，构建事理图谱，具体为：
抽取的情报数据中的安全事件；
对安全事件的时序信息、空间信息及事理逻辑进行关联分析；
对关联事件进行消歧和/或融合处理；
对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；
所述属性信息包括安全事件发生时间、发生地点和发起人。
3.如权利要求2所述的方法，其特征在于，基于所述融合图谱对新的情报数据进行最终行为预测，具体为：
获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；
基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；
遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；
相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；
根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
4.如权利要求3所述的方法，其特征在于，词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
5.一种基于融合图谱的预测装置，其特征在于，包括：
预处理模块：用于对网络安全空间情报数据进行预处理；
知识图谱构建模块：用于抽取预处理后的情报数据中的实体、关系及属性，构建知识图谱；
事理图谱构建模块：用于抽取网络安全空间情报数据中的安全事件，构建事理图谱；
融合图谱构建模块：用于通过实体链接技术与图谱推理技术，构建知识图谱与事理图谱的融合图谱；对初步建立的融合图谱中的关键目标行为数据每层按关键目标所关联行为进行聚类，得到待挖掘的事务项集类簇；基于Apriori算法，对事务项集类簇挖掘频繁项集，得到频繁项集；将频繁项集的数据转为融合图谱标准数据，添加到融合图谱中，形成信息完备的融合图谱；
预测模块：用于基于所述融合图谱对新的情报数据进行最终行为预测。
6.如权利要求5所述的装置，其特征在于，所述事理图谱构建模块还包括：
抽取模块一：用于抽取的情报数据中的安全事件；
分析模块：用于对安全事件的时序信息、空间信息及事理逻辑进行关联分析；
处理模块：用于对关联事件进行消歧和/或融合处理；
抽取模块二：用于对经过关联分析、消歧和/或融合处理后的安全事件，抽取关键动作行为，事件及事件发生的属性信息，构建事理图谱；
所述属性信息包括安全事件发生时间、发生地点和发起人。
7.如权利要求6所述的装置，其特征在于，所述预测模块还包括：
抽取模块三：用于获取新的情报数据，并抽取情报数据的关键目标及关键动作行为；
预测模块一：用于基于所述融合图谱，对新的情报数据的关键目标做属性预测，根据预测的关键目标的属性，与所述融合图谱中相同属性的不同事件进行关联，预测的情报数据的关键目标行为的行为规律B1；
相似度计算模块：用于遍历所述融合图谱中关键动作行为，计算融合图谱中关键动作行为关键词的词向量与抽取的新的情报数据的关键动作行为关键词的词向量的相似度；相似度高的融合图谱中的关键动作行为的后续行为，即为新的情报数据的关键目标行为可能的后续行为B2；
预测模块二：用于根据行为规律B1和可能的后续行为B2，分析行为发生的可能性，得到新的情报数据最终行为的预测结果。
8.如权利要求7所述的装置，其特征在于，相似度计算模块中，词向量间的相似度计算采用公式(1)：
其中，sim(Di，Sj)表示向量s1中第i个词语与向量s2中第j个词语之间的相似度，表示最相似的m个词对的相似度之和，m表示向量s1中词语个数，n表示向量s2中词语个数；
而向量中词语元素的相似度计算采用公式(2)：
其中，sim(w1,w2)表示词语w1和w2的相似度，vecl1是词语w1特定语义的词向量表示，vecl2是词语w2特定语义的词向量表示。
9.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1至4任一项所述的基于融合图谱的预测方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1至4中任一项所述的基于融合图谱的预测方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010795669.XA CN111914569B (zh) | 2020-08-10 | 2020-08-10 | 基于融合图谱的预测方法、装置、电子设备及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010795669.XA CN111914569B (zh) | 2020-08-10 | 2020-08-10 | 基于融合图谱的预测方法、装置、电子设备及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN111914569A CN111914569A (zh) | 2020-11-10 |
| CN111914569B true CN111914569B (zh) | 2023-07-21 |
Family
ID=73283577
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010795669.XA Active CN111914569B (zh) | 2020-08-10 | 2020-08-10 | 基于融合图谱的预测方法、装置、电子设备及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111914569B (zh) |
Families Citing this family (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112434169B (zh) * | 2020-11-13 | 2024-03-15 | 海创汇科技创业发展股份有限公司 | 一种知识图谱的构建方法及其系统和计算机设备 |
| CN114595334A (zh) * | 2020-12-07 | 2022-06-07 | 山东新松工业软件研究院股份有限公司 | 一种基于双图谱融合的语言解析方法、系统及终端设备 |
| CN113849575B (zh) * | 2020-12-10 | 2022-08-09 | 阿里巴巴集团控股有限公司 | 数据处理方法、装置和系统 |
| CN112784064B (zh) * | 2021-01-28 | 2023-05-12 | 电子科技大学 | 一种面向社交网络的层次化超维知识图谱构建方法 |
| CN112968870A (zh) * | 2021-01-29 | 2021-06-15 | 国家计算机网络与信息安全管理中心 | 一种基于频繁项集的网络团伙发现方法 |
| CN113067812B (zh) * | 2021-03-17 | 2023-02-28 | 安天科技集团股份有限公司 | Apt攻击事件溯源分析方法、装置和计算机可读介质 |
| CN113159451B (zh) * | 2021-05-13 | 2022-12-02 | 长江水利委员会水文局 | 一种基于事件知识图谱构建的流域旱涝事件长期预测方法 |
| CN113449116B (zh) * | 2021-06-22 | 2022-12-20 | 青岛海信网络科技股份有限公司 | 一种图谱构建、预警方法、设备及介质 |
| CN113449121A (zh) * | 2021-07-07 | 2021-09-28 | 北京华宇信息技术有限公司 | 情报分析方法及装置 |
| CN113515568A (zh) * | 2021-07-13 | 2021-10-19 | 北京百度网讯科技有限公司 | 图关系网络构建方法、图神经网络模型训练方法及装置 |
| CN114064937A (zh) * | 2022-01-14 | 2022-02-18 | 云孚科技(北京)有限公司 | 一种事理图谱自动构建方法和系统 |
| CN114357197B (zh) * | 2022-03-08 | 2022-07-26 | 支付宝(杭州)信息技术有限公司 | 事件推理方法和装置 |
| CN114722974B (zh) * | 2022-06-07 | 2022-09-02 | 国网浙江省电力有限公司信息通信分公司 | 基于事理逻辑和实体知识的多维度图谱融合方法 |
| CN115203440B (zh) * | 2022-09-16 | 2023-02-03 | 北京大数据先进技术研究院 | 面向时空动向数据的事件图谱构建方法、装置及电子设备 |
| CN117875522A (zh) * | 2024-03-12 | 2024-04-12 | 之江实验室 | 一种事件数量预测的方法、装置、存储介质、设备 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106168965A (zh) * | 2016-07-01 | 2016-11-30 | 竹间智能科技（上海）有限公司 | 知识图谱构建系统 |
| CN106815293A (zh) * | 2016-12-08 | 2017-06-09 | 中国电子科技集团公司第三十二研究所 | 一种面向情报分析的构建知识图谱的系统及方法 |
| CN107895008A (zh) * | 2017-11-10 | 2018-04-10 | 中国电子科技集团公司第三十二研究所 | 基于大数据平台的情报信息热点发现方法 |
| CN109446343A (zh) * | 2018-11-05 | 2019-03-08 | 上海德拓信息技术股份有限公司 | 一种公共安全知识图谱构建的方法 |
| CN111159428A (zh) * | 2019-12-30 | 2020-05-15 | 智慧神州(北京)科技有限公司 | 经济领域知识图谱事件关系自动抽取的方法和装置 |
| CN111191040A (zh) * | 2019-11-13 | 2020-05-22 | 腾讯科技（深圳）有限公司 | 城市运行知识图谱构建方法、装置和计算机设备 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107967267A (zh) * | 2016-10-18 | 2018-04-27 | 中兴通讯股份有限公司 | 一种知识图谱构建方法、装置及系统 |
| CN109033307B (zh) * | 2018-07-17 | 2021-08-31 | 华北水利水电大学 | 基于crp聚类的词语多原型向量表示及词义消歧方法 |
| CN110968700B (zh) * | 2019-11-01 | 2023-04-07 | 数地工场(南京)科技有限公司 | 融合多类事理与实体知识的领域事件图谱构建方法和装置 |
| CN111177417B (zh) * | 2020-04-13 | 2020-06-30 | 中国人民解放军国防科技大学 | 基于网络安全知识图谱的安全事件关联方法、系统、介质 |
| CN115392704A (zh) * | 2022-08-24 | 2022-11-25 | 国网山西省电力公司物资分公司 | 一种物资检测关键参数关联分析方法 |
-
2020
- 2020-08-10 CN CN202010795669.XA patent/CN111914569B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106168965A (zh) * | 2016-07-01 | 2016-11-30 | 竹间智能科技（上海）有限公司 | 知识图谱构建系统 |
| CN106815293A (zh) * | 2016-12-08 | 2017-06-09 | 中国电子科技集团公司第三十二研究所 | 一种面向情报分析的构建知识图谱的系统及方法 |
| CN107895008A (zh) * | 2017-11-10 | 2018-04-10 | 中国电子科技集团公司第三十二研究所 | 基于大数据平台的情报信息热点发现方法 |
| CN109446343A (zh) * | 2018-11-05 | 2019-03-08 | 上海德拓信息技术股份有限公司 | 一种公共安全知识图谱构建的方法 |
| CN111191040A (zh) * | 2019-11-13 | 2020-05-22 | 腾讯科技（深圳）有限公司 | 城市运行知识图谱构建方法、装置和计算机设备 |
| CN111159428A (zh) * | 2019-12-30 | 2020-05-15 | 智慧神州(北京)科技有限公司 | 经济领域知识图谱事件关系自动抽取的方法和装置 |
Non-Patent Citations (5)
| Title |
|---|
| Frequent pattern mining: current status and furure directions;Dongxin 等;《Data Mining and Knowledge Discovery》;55-86 * |
| Subject-specific abnormal region detection in traumatic brain injury using sparse model selection on high dimensional diffusion data;Matineh Shaker 等;《Medical Image Analysis》;1-25 * |
| Web usage mining: discovery and applications of usage patterns from web data;Jaideep Srivastava 等;《ACM SIGKDD Explorations Newsletter》;12-23 * |
| 基于科普平台的知识图谱;王艳玲 等;《电脑知识与技术》;87-90 * |
| 情报分析中的方法应用研究;王静宜 等;《情报理论与实践》;33-41 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN111914569A (zh) | 2020-11-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN111914569B (zh) | 基于融合图谱的预测方法、装置、电子设备及存储介质 | |
| CN110837550B (zh) | 基于知识图谱的问答方法、装置、电子设备及存储介质 | |
| CN111782965A (zh) | 意图推荐方法、装置、设备及存储介质 | |
| US9262438B2 (en) | Geotagging unstructured text | |
| US20200097601A1 (en) | Identification of an entity representation in unstructured data | |
| CN111915090A (zh) | 基于知识图谱的预测方法、装置、电子设备及存储介质 | |
| CN112035549B (zh) | 数据挖掘方法、装置、计算机设备及存储介质 | |
| Chen et al. | Bert-log: Anomaly detection for system logs based on pre-trained language model | |
| CN104574192A (zh) | 在多个社交网络中识别同一用户的方法及装置 | |
| CN111353303B (zh) | 词向量构建方法、装置、电子设备及存储介质 | |
| KR20190094068A (ko) | 온라인 게임에서 게이머 행동 유형을 분류하는 분류기의 학습 방법 및 상기 분류기를 포함하는 장치 | |
| CN112559747A (zh) | 事件分类处理方法、装置、电子设备和存储介质 | |
| KR101931624B1 (ko) | 패션 분야의 트렌드 분석방법 및 이를 포함하는 저장매체 | |
| CN113919360A (zh) | 语义理解方法、语音交互方法、装置、设备及存储介质 | |
| Arora et al. | Cross-domain based event recommendation using tensor factorization | |
| CN115248855B (zh) | 文本处理方法及装置、电子设备、计算机可读存储介质 | |
| CN110069686A (zh) | 用户行为分析方法、装置、计算机装置及存储介质 | |
| CN111950261B (zh) | 提取文本关键词的方法、设备和计算机可读存储介质 | |
| US20230066149A1 (en) | Method and system for data mining | |
| CN115935358A (zh) | 一种恶意软件识别方法、装置、电子设备及存储介质 | |
| CN113868508B (zh) | 写作素材查询方法、装置、电子设备和存储介质 | |
| CN113010642B (zh) | 语义关系的识别方法、装置、电子设备及可读存储介质 | |
| CN116484085A (zh) | 一种信息投放方法、装置、设备及存储介质、程序产品 | |
| CN111310016B (zh) | 标签挖掘方法、装置、服务器和存储介质 | |
| JP2022111020A (ja) | 文書類似度学習に基づくディープラーニングモデルの転移学習方法およびコンピュータ装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| CB02 | Change of applicant information | ||
| CB02 | Change of applicant information |
Address after: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Heilongjiang Province (No. 838, Shikun Road) Applicant after: Antan Technology Group Co.,Ltd. Address before: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road) Applicant before: Harbin Antian Science and Technology Group Co.,Ltd. |
|
| GR01 | Patent grant | ||
| GR01 | Patent grant |