CN112511538B

CN112511538B - 一种基于时间序列的网络安全检测方法及相关组件

Info

Publication number: CN112511538B
Application number: CN202011377805.XA
Authority: CN
Inventors: 郭鹏; 范渊; 刘博�
Original assignee: DBAPPSecurity Co Ltd
Current assignee: DBAPPSecurity Co Ltd
Priority date: 2020-11-30
Filing date: 2020-11-30
Publication date: 2022-10-18
Anticipated expiration: 2040-11-30
Also published as: CN112511538A

Abstract

本申请公开了一种基于时间序列的网络安全检测方法，包括：获取数据源，并对数据源进行特征提取，得到特征数据集合；将特征数据集合输入初始时间序列模型，得到目标检测时间序列模型；将待检测时间输入目标检测时间序列模型，得到安全检测结果。该方法根据特征数据集合建立目标检测时间序列模型，将待检测时间输入该模型，得到安全检测结果，即利用时间序列模型，能够实现检测未来某一时间点或时间段的主机安全性，提供风险信息给用户，减少安全风险。本申请同时还提供了一种基于时间序列的网络安全检测装置、电子设备和存储介质，具有上述有益效果。

Description

一种基于时间序列的网络安全检测方法及相关组件

技术领域

本申请涉及网络安全检测技术领域，特别涉及一种基于时间序列的网络安全检测方法、装置、电子设备和存储介质。

背景技术

伴随着计算机技术和网络技术的拓展及普及，计算机网络在人们学习、教育、工作和生活等多方面起到了不容忽视的作用，逐渐成为人们生活的必需品，人们对于计算机网络的依赖性与日俱增。而计算机技术的发展，使计算机网络安全技术问题也日益凸显。黑客恶意攻击、病毒肆意传播扩散、网络违法事件的频繁上演，给人们的生活频添困扰和麻烦。

相关技术中，安全检测机制是基于静态特征规则匹配的方式来进行检测，这种方式是对历史的、已经发生攻击行为进行分析来确认失陷主机，却不能够获取到未来某一时刻或时间段内的安全性，即不能获取到发生攻击行为的可能性，也就不能帮助用户提前采取防攻击措施，给用户带来很多潜在安全风险。

发明内容

本申请的目的是提供一种基于时间序列的网络安全检测方法，能够实现检测未来某一时间点或时间段的主机安全性，提供风险信息给用户，减少安全风险。其具体方案如下：

第一方面，本申请公开了一种基于时间序列的网络安全检测方法，包括：

获取数据源，并对所述数据源进行特征提取，得到所述特征数据集合；

将所述特征数据集合输入初始时间序列模型，得到目标检测时间序列模型；

将待检测时间输入所述目标检测时间序列模型，得到安全检测结果。

可选的，将所述特征数据集合输入初始时间序列模型，得到目标检测时间序列模型之后，还包括：

获取所述特征数据集合对应时间段内的时间序列曲线；

以预设周期为单位，判断所述时间序列曲线是否存在奇异点；

若是，则获取所述奇异点对应的时间点，以根据所述时间点确定特征数据信息；

根据所述特征数据信息确定失陷主机。

可选的，所述特征数据集合包括访问时间子集合、访问次数子集合、地域分布子集合和操作行为子集合。

可选的，将待检测时间输入所述目标检测时间序列模型，得到安全检测结果之后，还包括：

根据所述安全检测结果，确定攻击演进趋势曲线。

可选的，确定攻击演进趋势曲线之后，还包括：

根据所述攻击演进趋势确定潜在攻击信息，并根据所述潜在攻击信息确定潜在失陷主机；

将所述潜在攻击信息发送至所述潜在失陷主机。

第二方面，本申请公开了一种基于时间序列的网络安全检测装置，包括：

获取模块，用于获取数据源，并对所述数据源进行特征提取，得到所述特征数据集合；

第一输入模块，用于将所述特征数据集合输入初始时间序列模型，得到目标检测时间序列模型；

第二输入模块，用于将待检测时间输入所述目标检测时间序列模型，得到安全检测结果。

可选的，还包括：

时间序列曲线获取模块，用于获取所述特征数据集合对应时间段内的时间序列曲线；

判断模块，用于以预设周期为单位，判断所述时间序列曲线是否存在奇异点；

第一确定模块，用于若是，则获取所述奇异点对应的时间点，以根据所述时间点确定特征数据信息；

第二确定模块，用于根据所述特征数据信息确定失陷主机。

可选的，还包括：

确定模块，用于根据所述安全检测结果，确定攻击演进趋势曲线。

第三方面，本申请公开了一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述基于时间序列的网络安全检测方法的步骤。

第四方面，本申请公开了一种可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述基于时间序列的网络安全检测方法的步骤。

本申请提供一种基于时间序列的网络安全检测方法，包括：获取数据源，并对所述数据源进行特征提取，得到所述特征数据集合；将所述特征数据集合输入初始时间序列模型，得到目标检测时间序列模型；将待检测时间输入所述目标检测时间序列模型，得到安全检测结果。

可见，本申请根据特征数据集合建立目标检测时间序列模型，将待检测时间输入该模型，得到安全检测结果，即利用时间序列模型，能够实现检测未来某一时间点或时间段的主机安全性，避免了相关技术中使用静态特征匹配原则，只能对已经发生的攻击行为进行行为分析，而不能预估未来某段时间内的主机安全性，也就不能给用户提供风险信息的缺点，提高了主机安全性，能够提供风险信息给用户，减少安全风险，改善用户体验。本申请同时还提供了一种基于时间序列的网络安全检测装置、一种电子设备和计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例所提供的一种基于时间序列的网络安全检测方法的流程图；

图2为本申请实施例所提供的另一种基于时间序列的网络安全检测方法的流程图；

图3为本申请实施例所提供的一种基于时间序列的网络安全检测装置的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在常见的安全检测机制主要基于静态特征规则匹配，对于已知的攻击行为可以做到有效检测，但对于在单个时间节点无明显攻击特征和攻击迹象的潜在恶意行为无法触发规则，检出率低下，满足不了安全检测的预期要求。也不能对推测出未来的攻击演进趋势，不能为用户提供更多的安全风险信息，帮助用户采取相应的防攻击措施。基于上述技术问题，本实施例提供一种网络安全检测方法，通过能够实现检测未来某一时间点或时间段的主机安全性，提供风险信息给用户，减少安全风险。具体请参考图1，图1为本申请实施例所提供的一种基于时间序列的网络安全检测方法的流程图，具体包括：

S101、获取数据源，并对数据源进行特征提取，得到特征数据集合。

本实施例并不限定数据源所针对的对象，可以是操作系统的，可以是网络中间件的，可以是安全防护设备的，当然也可以是其他部分。可以理解的是，多个计算机用户访问服务器，该服务器能够根据历史审计日志，对用户行为进行特征提取(如，访问时间、源IP、目的IP、地域分布、访问路径、账号、权限、访问次数、访问频率和操作行为等)，本实施例并不限定对特征提取的具体方式，可以基于数据挖掘的方法，也可以选择其他方法，可根据实际情况进行选择。本实施例也不限定特征数据集合的具体种类，可以是一种，也可是多种特征数据集合。在一种具体的实施例中，特征数据集合可以包括访问时间子集合、访问次数子集合、地域分布子集合和操作行为子集合。

S102、将特征数据集合输入初始时间序列模型，得到目标检测时间序列模型。

本实施例中的初始时间序列模型也就是未经过训练的、未经过数据处理的时间序列模型。当特征数据集合只有一类特征时，将该特征数据集合输入到初始时间序列模型，得到目标检测时间序列模型；当特征数据集合包括多种特征时，将各个特征数据集合分别输入初始时间序列模型，得到各自对应的目标检测时间序列模型。建立目标检测时间序列模型的过程可以为数据平稳化处理，模型定阶，模型检验。本实施例不再详细介绍具体建立目标检测时间序列模型的过程，可以参考相关技术。

在一种具体的实施例中，为了帮助用户查找失陷主机，保护用户信息安全，本实施例中将特征数据集合输入初始时间序列模型，得到目标检测时间序列模型之后，还可以包括：

获取特征数据集合对应时间段内的时间序列曲线；

以预设周期为单位，判断时间序列曲线是否存在奇异点；

若是，则获取奇异点对应的时间点，以根据时间点确定特征数据信息；

根据特征数据信息确定失陷主机。

可以理解的是，特征数据集合是对应过去某一时间段内的特征数据，可以还是一周的，可以一个月，也可以是一年的，可根据实际情况进行选取数据时间长度。还可理解的是，在历史数据的基础上，采集的历史数据越多，也就是跨越时间段越长，模型越准确。根据特征数据集合时间点和特征值，确定该特征数据集合对应的时间序列曲线。本实施例并不限定预设周期的长短，可以是一天的，可以是一周的，也可以是其他周期。根据获取的到时间序列曲线，判断该曲线是否存在奇异点，也就是异常点，本实施例并不限定判断奇异点的具体方式，可以是当该点的特征值大于预设特征值，也可是该处的斜率大于预设斜率值，进一步的，本实施例并不限定预设特征值和预设斜率值的具体大小。当存在奇异点时，获取该奇异点对应的时间点，并根据时间点确定该时间点的各个特征值即特征数据信息，综合分析各个特征值，进而确定失陷主机。例如，公司员工使用公司内网的时间大都在上班时间(如，8:30-6:00)，但是通过访问时间对应的特征曲线(特征值)分析得到，对应时间点不处于正常使用时间段；还有，通过账号对应特征曲线可以看到某段时间不断更换账号，频繁登录系统；再例如，通过操作行为对应特征曲线，可以看到，存在非正常操作行为，或用户不经常进行的操作行为。根据各个特征曲线，综合分析奇异点处的行为，再根据IP地址信息，进而确定失陷主机。可以帮助用户查找失陷主机，针对攻击行为采取相应的防御措施，保护用户信息安全。

S103、将待检测时间输入目标检测时间序列模型，得到安全检测结果。

本实施例并不限定具体的待检测时间，可以是未来的某一时间点，也可以是未来的某一时间段。例如，可以是特征数据集合对应时间段的下一周，即，若对应时间段为2019年2月1号-2019年10月31号，那么待检测时间可以为2019年11月1号-2019年11月7号。可以理解的是，安全检测结果即为各个特征值，将待检测时间段输入目标检测时间序列模型中，得到各个特征值后，根据各个特征值综合分析，判断该时间段内即待检测时间是否存在安全风险。

基于上述技术方案，本实施例利用时间序列模型，能够实现检测未来某一时间点或时间段的主机安全性，避免了相关技术中使用静态特征匹配原则，只能对已经发生的攻击行为进行行为分析，而不能预估未来某段时间内的主机安全性，也就不能给用户提供风险信息的缺点，提高了主机安全性，能够提供风险信息给用户，减少安全风险。

基于上述实施例，为了能够帮助用户及时采取防御措施，保护信息安全，本实施例提供一种基于时间序列的网络安全检测方法，基于时间序列的未来数据趋势预测，建立在大量历史数据之上，形成未来数据的安全基线，并能够对偏离安全基线的行为快速告警和定位失陷资产。具体请参考图2，图2为本申请实施例所提供的另一种基于时间序列的网络安全检测方法的流程图，包括：

S201、获取数据源，并对数据源进行特征提取，得到特征数据集合。

S202、将特征数据集合输入初始时间序列模型，得到目标检测时间序列模型。

S203、将待检测时间输入目标检测时间序列模型，得到安全检测结果。

步骤S201以及步骤S203的具体内容可以参考上述实施例，本实施例不再进行赘述。

S204、根据安全检测结果，确定攻击演进趋势曲线。

即，根据待检测时间的各个特征值即安全检测结果，获取对应的特征曲线，也就是攻击演进趋势曲线。

S205、根据攻击演进趋势确定潜在攻击信息，并根据潜在攻击信息确定潜在失陷主机；将潜在攻击信息发送至潜在失陷主机。

根据该攻击演进趋势曲线，可以判断得出是否偏离安全基线，也就能确定是否存在潜在攻击信息，若偏离安全基线，再查找对应的时间点和各个特征值，进而确定潜在失陷主机。将潜在攻击信息发送到潜在失陷主机，可以帮助用户及时采取防御措施，保护信息安全。

基于上述技术方案，本实施例通过超长时间段内的历史数据未来趋势预测，建立安全基线，快速检测潜在攻击行为和定位失陷主机，提示用户及时采取防御措施，安全备份，改善客户体验。

下面对本申请实施例提供的一种基于时间序列的网络安全检测装置进行介绍，下文描述的基于时间序列的网络安全检测装置与上文描述的基于时间序列的网络安全检测方法可相互对应参照，相关模块均设置于中，参考图3，图3为本申请实施例所提供的一种基于时间序列的网络安全检测装置的结构示意图，包括：

在一些具体的实施例中，具体包括：

获取模块301，用于获取数据源，并对数据源进行特征提取，得到特征数据集合；

第一输入模块302，用于将特征数据集合输入初始时间序列模型，得到目标检测时间序列模型；

第二输入模块303，用于将待检测时间输入目标检测时间序列模型，得到安全检测结果。

在一些具体的实施例中，还包括：

时间序列曲线获取模块，用于获取特征数据集合对应时间段内的时间序列曲线；

判断模块，用于以预设周期为单位，判断时间序列曲线是否存在奇异点；

第一确定模块，用于若是，则获取奇异点对应的时间点，以根据时间点确定特征数据信息；

第二确定模块，用于根据特征数据信息确定失陷主机。

在一些具体的实施例中，特征数据集合包括访问时间子集合、访问次数子集合、地域分布子集合和操作行为子集合。

在一些具体的实施例中，还包括：

确定模块，用于根据安全检测结果，确定攻击演进趋势曲线。

在一些具体的实施例中，还包括：

第三确定模块，用于根据攻击演进趋势确定潜在攻击信息，并根据潜在攻击信息确定潜在失陷主机；

第四确定模块，用于将潜在攻击信息发送至潜在失陷主机。

由于基于时间序列的网络安全检测装置部分的实施例与基于时间序列的网络安全检测方法部分的实施例相互对应，因此基于时间序列的网络安全检测装置部分的实施例请参见基于时间序列的网络安全检测方法部分的实施例的描述，这里暂不赘述。

下面对本申请实施例提供的一种电子设备进行介绍，下文描述的电子设备与上文描述的方法可相互对应参照。

本申请提供一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行计算机程序时实现如上述基于时间序列的网络安全检测方法的步骤。

由于电子设备部分的实施例与基于时间序列的网络安全检测方法部分的实施例相互对应，因此电子设备部分的实施例请参见基于时间序列的网络安全检测方法部分的实施例的描述，这里暂不赘述。

下面对本申请实施例提供的一种计算机可读存储介质进行介绍，下文描述的计算机可读存储介质与上文描述的基于时间序列的网络安全检测方法可相互对应参照。

本申请提供一种存储介质，存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上述基于时间序列的网络安全检测方法的步骤。

由于计算机可读存储介质部分的实施例与基于时间序列的网络安全检测方法部分的实施例相互对应，因此计算机可读存储介质部分的实施例请参见基于时间序列的网络安全检测方法部分的实施例的描述，这里暂不赘述。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的一种基于时间序列的网络安全检测方法、装置、电子设备及计算机可读存储介质进行了详细介绍。本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

Claims

1.一种基于时间序列的网络安全检测方法，其特征在于，包括：

获取数据源，并对所述数据源进行特征提取，得到特征数据集合；

将待检测时间输入所述目标检测时间序列模型，得到安全检测结果；

将所述特征数据集合输入初始时间序列模型，得到目标检测时间序列模型之后，还包括：

获取所述特征数据集合对应时间段内的时间序列曲线；

根据所述特征数据信息确定失陷主机。

2.根据权利要求1所述的基于时间序列的网络安全检测方法，其特征在于，所述特征数据集合包括访问时间子集合、访问次数子集合、地域分布子集合和操作行为子集合。

3.根据权利要求1或2所述的基于时间序列的网络安全检测方法，其特征在于，将待检测时间输入所述目标检测时间序列模型，得到安全检测结果之后，还包括：

根据所述安全检测结果，确定攻击演进趋势曲线。

4.根据权利要求3所述的基于时间序列的网络安全检测方法，其特征在于，确定攻击演进趋势曲线之后，还包括：

将所述潜在攻击信息发送至所述潜在失陷主机。

5.一种基于时间序列的网络安全检测装置，其特征在于，包括：

获取模块，用于获取数据源，并对所述数据源进行特征提取，得到特征数据集合；

第二输入模块，用于将待检测时间输入所述目标检测时间序列模型，得到安全检测结果；

第二确定模块，用于根据所述特征数据信息确定失陷主机。

6.根据权利要求5所述的基于时间序列的网络安全检测装置，其特征在于，还包括：

7.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至4任一项所述基于时间序列的网络安全检测方法的步骤。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述基于时间序列的网络安全检测方法的步骤。