CN112926048A - 一种异常信息检测方法和装置 - Google Patents

Abstract

本发明公开了一种异常信息检测方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：获取设定时间段内待检测目标的日志信息；从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。该实施方式有效地提高异常信息检测准确性。

Description

一种异常信息检测方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种异常信息检测方法和装置。

背景技术

为了保证企业信息的安全性，一般会为企业用户分配对应的登录账号、密码以及访问权限等，以使企业用户利用该登录账号和密码访问其具有访问权限的信息。但是一旦账号被窃取，则将威胁信息的安全性。因此，及时检测并拦截异常的账号则显得十分重要。

目前，异常的检测方式主要是检测账号短时间内登录失败的次数，如果登录失败的次数过多，则判定该账号存在访问风险。但是，如果非法用户同时获取到账号和密码，或者非法用户用比较低的频率尝试账号或密码，现有的异常的检测方式则很难检测到，导致异常信息检测准确性较低。

发明内容

有鉴于此，本发明实施例提供一种异常信息检测方法和装置，能够有效地提高异常信息检测准确性。

为实现上述目的，根据本发明实施例的一个方面，提供了一种异常信息检测方法，包括：

获取设定时间段内待检测目标的日志信息；

从所述日志信息中解析出预设指标对应的指标信息，其中，所述预设指标指示与账号相关的指标；

对所述指标信息进行处理；

利用处理后的结果和异常检测模型，检测所述待检测目标中存在的异常账号。

可选地，所述与账号相关的指标，包括：

用于指示进程信息中的一个或多个进程特征的进程指标、用于指示登录信息中的一个或多个登录特征的登录指标以及用于指示账号所登录的终端设备的一个或多个设备特征的设备指标中的任意一种或多种指标。

可选地，所述对所述指标信息进行处理，包括：

针对所述指标信息包括所述待检测目标所运行的目标进程的多个进程特征的情况，

对比多个所述进程特征；

当对比的结果指示所述目标进程的所属账号与所述目标进程的登录账号一致，则为所述目标进程分配第一进程特征值；

当对比的结果指示所述目标进程的所属账号与所述目标进程的登录账号不一致，则为所述目标进程分配第二进程特征值；

其中，处理后的结果包括：所述目标进程的第一进程特征值或所述第二进程特征值。

可选地，所述对所述指标信息进行处理，进一步包括：

针对所述指标信息包括所述待检测目标中登录信息的多个登录特征的情况，

判断多个所述登录特征对应的登录时间是否在预设的时间范围内，如果是，则为所述登录信息包括的登录账号分配第一登录特征值；否则，为所述登录信息包括的登录账号分配第二登录特征值；

其中，处理后的结果包括：所述登录账号的所述第一登录特征值或者所述第二登录特征值。

可选地，所述对所述指标信息进行处理，进一步包括：

对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，其中，处理后的结果进一步包括：所述附加特征的特征值。

可选地，对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，包括：

聚合所述指标信息包括的进程特征；

根据聚合的结果，统计属于所述待检测目标的目标进程数量；

确定所述目标进程数量为一个所述附加特征的特征值。

可选地，对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，包括：

聚合所述指标信息包括的登录特征和设备特征；

根据聚合的结果，统计属于所述待检测目标的终端设备登录过的账号数量和/或属于所述待检测目标的账号登录过的终端设备数量；

确定所述终端设备登录过的账号数量或者所述账号登录过的终端设备数量为一个所述附加特征的特征值。

可选地，上述方法进一步包括：

确定检测出的所述异常账号所登录的终端设备。

可选地，上述方法进一步包括：

生成并发送告警信息给所述待检测目标的管理设备和/或与检测出的所述异常账号相关的终端设备。

可选地，上述方法进一步包括：

获取所述待检测目标正常运行情况下的第一日志信息以及所述待检测目标异常运行情况下的第二日志信息；

分别从所述第一日志信息和所述第二日志信息中解析出多个样本，并确定每一个所述样本对应的账号情况；

利用多个所述样本以及每一个所述样本对应的账号情况，训练贝叶斯网络模型，生成所述异常检测模型。

第二方面，本发明实施例提供一种异常信息检测装置，包括：获取模块、解析模块以及异常检测模块，其中，

所述获取模块，用于获取设定时间段内待检测目标的日志信息；

所述解析模块，用于从所述日志信息中解析出预设指标对应的指标信息，其中，所述预设指标指示与账号相关的指标；

所述异常检测模块，用于对所述指标信息进行处理；利用处理后的结果和异常检测模型，检测所述待检测目标中存在的异常账号。

上述发明中的一个实施例具有如下优点或有益效果：由于本发明实施例通过对日志信息中预设指标的指标信息进行处理，并引入异常检测模型，即获取设定时间段内待检测目标的日志信息；从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。相比于账号登录次数等信息，日志数据中的与账号相关的指标更能真实的反应账号的情况，因此，本发明实施例提供的方案能够有效地提高异常信息检测准确性。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是根据本发明实施例的异常信息检测方法的主要流程的示意图；

图2是根据本发明实施例的对指标信息进行处理的主要流程的示意图；

图 3是根据本发明一个实施例的生成特征值的主要流程的示意图；

图4是根据本发明另一个实施例的生成特征值的主要流程的示意图；

图5是根据本发明实施例的生成异常检测模型的主要流程的示意图；

图6是根据本发明实施例的异常信息检测装置的主要模块的示意图；

图 7 是本发明实施例可以应用于其中的示例性系统架构图；

图8是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

当今企业对自身办公用的系统或软件关注较多的是外部威胁，比如病毒、木马、黑客、DDOS攻击等，往往忽略对企业伤害更大的内部威胁。事实上，来自企业的办公系统或软件对于内部的威胁比如攻击者掌握企业系统或软件的登录账号和密码等所造成的危害也不可忽视。又比如，攻击者控制了企业系统或软件的一个终端后，为进一步扩大攻击成果，往往会利用各类工具和技术，搜集企业内部的各种账号信息，并尝试在其他终端上登录以期获取更多终端的控制权限及情报。

针对这种情况，现有技术采用的解决方案是在被攻击端安装终端监控程序，通过监控终端上的windows事件日志，判断短时间内登录失败事件的发生次数，或者在网络上安装流量监控，分析流量中的登录事件，从而发现密码爆破或漏洞利用等异常数据。然而对于以较低频率逐步尝试掌握账号口令以及能够访问的资源或可执行的操作时，则很难捕获到；另外，对于攻击者采用掌握的企业系统或软件的一个账号和密码四处尝试，以掌握企业更多的信息。这些成功的登录行为，都极难被现有的监测技术所监测到。

本发明实施例提供的方案主要用于在攻击者已经掌握了一些正确的登录渠道时，提供一种内网失陷账号的检测方法及装置。且旨在解决以下几个问题：

失陷账号为实际存在的账号，且拥有可访问资源的足够权限时，如何辨别该账号是否被违规使用；

攻击者通过降低攻击频率的方式，在较长的一段时间内，以较低频率逐步尝试获取的账号及口令能够访问的资源或可执行的操作时，如何发现异常的账号使用；

如何提高失陷终端或失陷账户识别的准确度等。

图1是根据本发明实施例的一种异常信息检测方法，如图1所示，该异常信息检测方法可包括如下步骤：

步骤S101：获取设定时间段内待检测目标的日志信息；

该设定时间段可以为每分钟、每秒等，根据实际需求进行设定。

该待检测目标可以为终端、账号、服务端等。比如，安装有企业软件的终端、企业系统所依托的服务器、企业为员工所分配的账号等。

在该步骤所针对的待检测目标可以为多个，比如，多个企业为员工分配的账号、多个安装有企业软件的终端等。其中，待检测目标为账号时，可通过获取多个终端的日志信息，并整理多个终端中属于同一账号的日志信息等实现获取账号的日志信息。

步骤S102：从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；

其中，与账号相关的指标可包括：用于指示进程信息中的一个或多个进程特征的进程指标、用于指示登录信息中的一个或多个登录特征的登录指标以及用于指示账号所登录的终端设备的一个或多个设备特征的设备指标中的任意一种或多种指标。

在该步骤中解析出的、与账号相关的指标对应的指标信息能够比较真实地反映账号的运行情况。

其中，进程特征可以为进程ID、进程名称、进程所属账号、进程当前登录账号中的任意一个，相应地，进程指标用于指示进程信息中的进程ID、进程名称、进程所属账号、进程当前登录账号中的任意一个或多个。比如，一个实施例中，进程指标用于指示进程ID、进程名称、进程所属账号、进程当前登录账号。

比如一个预设指标为进程指标，则该进程指标的指标信息可以为（A，B，C，…）其中，A，B，C，…分别对应一个进程特征的特征值。

其中，登录特征可以为登录账号、登录方式、登录动作中的任意一个。其中，该登录特征可以是指登录到软件或者系统的特征，也可以是指登录到进程中的特征。比如，登录动作可包括：分为登录“login”、注销“logout”、增加“add”、移除“remove”等；登录方式可以包括：交互式登录“Interactive”、网络登录“Network”、批量登录“Batch”、服务方式登录“Service”、未锁定登录方式“Unlock”、明文登录方式 “NetworkCleartext”、虚拟机方式登录“NewCredentials”、人机对话方式登录“RemoteInteractive”、缓存交互方式登录“CachedInteractive”等。相应地，登录指标用于指示登录信息中的登录账号、登录方式、登录动作中的任意一个或多个。比如，一个实施例中，登录指标用于指示登录账号、登录方式、登录动作。

其中，设备特征可以为设备的唯一编码、设备的硬件信息等。相应地，设备指标用于指示设备信息中的唯一编码、设备的硬件信息中的任意一个。比如，一个实施例中，设备指标用于指示设备信息中的唯一编码。

步骤S103：对指标信息进行处理；

该步骤主要是对指标信息进行归一化处理以及对指标信息中所包括的一些指标进行统计、聚合等。

步骤S104：利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。

该异常检测模型是基于企业系统或企业软件在安全环境下实际运行的日志数据以及企业系统或企业软件在添加了攻击者（比如该攻击者掌握了一个或多个登录账号及对应登录密码）后的日志数据训练得到的。其中，从企业系统或企业软件在安全环境下实际运行的日志数据以及企业系统或企业软件在添加了攻击者（比如该攻击者掌握了一个或多个登录账号及对应登录密码）后的日志数据中获取指标信息以及对指标信息进行处理的过程与上述步骤S102和步骤S103相同。

在图1所示的实施例中，通过对日志信息中预设指标的指标信息进行处理，并引入异常检测模型，即获取设定时间段内待检测目标的日志信息；从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。相比于账号登录次数等信息，日志数据中的与账号相关的指标更能真实地反应账号的情况，因此，本发明实施例提供的方案能够有效地提高异常信息检测准确性。

另外，由于本发明实施例从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标，能够更准确、真实地反映账号、终端等待检测目标的真实情况，并通过结合异常检测模型，能够分辨出账号是否被违规使用，并能够在攻击者通过降低攻击频率的方式，在较长的一段时间内，以较低频率逐步尝试获取的账号及口令能够访问的资源或可执行的操作时，发现异常的账号使用。

在本发明实施例中，上述步骤S103的具体实施方式可包括：针对指标信息包括待检测目标所运行的目标进程的多个进程特征的情况，对比多个进程特征；当对比的结果指示目标进程的所属账号与目标进程的登录账号一致，则为目标进程分配第一进程特征值；当对比的结果指示目标进程的所属账号与目标进程的登录账号不一致，则为目标进程分配第二进程特征值；其中，处理后的结果包括：目标进程的第一进程特征值或第二进程特征值。

其中，目标进程可根据待检测目标的实际情况进行相应地选择和设定。一个实施例中，目标进程为关键进程winlogon.exe。

其中，目标进程的多个进程特征比如进程ID、进程名、进程所属账号以及进程的当前登录账号等。

对比多个进程特征具体实施方式可包括：对比进程所属账号和进程的当前登录账号。

其中，第一进程特征值是指用来指示目标进程的所属账号与目标进程的登录账号一致的标识、数值等，比如数据值1。

其中，第二进程特征值是指用来指示目标进程的所属账号与目标进程的登录账号不一致的标识、数值等，比如数据值0。

如图2所示，在本发明实施例中，针对指标信息包括待检测目标中登录信息的多个登录特征的情况，对指标信息进行处理，进一步包括可包括如下步骤：

步骤S201：判断多个登录特征对应的登录时间是否在预设的时间范围内，如果是，则执行步骤S202；否则，执行步骤S203；

多个登录特征可包括：登录账号、登录方式、登录动作以及登录时间等。值得说明的是，在该步骤所针对的多个登录特征对应的登录时间中可以是针对特定的登录动作比如“login”和/或特定的登录方式比如“Interactive”所对应的登录账号的登陆时间。

该预设的时间范围可以为根据实际需求设定的范围，比如企业的工作时间范围等。

步骤S202：为登录信息包括的登录账号分配第一登录特征值，并结束当前流程；

步骤S203：为登录信息包括的登录账号分配第二登录特征值。

其中，处理后的结果包括：登录账号的第一登录特征值或者所述第二登录特征值。

其中，第一登录特征值是指用来指示登录账号的特定登录动作和/或特定登录方式在设定时间范围内的标识、数值等，比如第一登录特征值为数据值1。

其中，第二进程特征值是指用来指示登录账号的特定登录动作和/或特定登录方式不在设定时间范围内的标识、数值等，比如第二登录特征值为数据值0。

在本发明实施例中，对指标信息进行处理可进一步包括：对指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，其中，处理后的结果进一步包括：附加特征的特征值。

该预设的附加特征是通过对日志数据所涉及的各种特征进行筛选后得到的，能够有效地提高检测的准确性。

其中，预设的附加特征可以包括：进程的数量、单个终端上登录过的账号数量以及单个账号登录过的终端数量中的任意一个或多个。

其中，针对预设的附加特征包括进程的数量，在本发明实施例中，如图3所示，对指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值可包括如下步骤：

步骤S301：聚合指标信息包括的进程特征；

该步骤中的聚合实际为：基于进程特征，统计日志中出现目标进程的实例，从而统计目标进程的数量。

步骤S302：根据聚合的结果，统计属于待检测目标的目标进程数量。

在该步骤中聚合的结果一般是指一个设定时间段内，根据进程ID或者进程名聚合，即相同进程ID或进程名的进程特征聚合。比如，待检测目标为终端时，可以预设的时间间隔扫描终端上的进程信息，因此每隔一段时间，都会生成所有进程的日志信息，并从日志信息中获得指标信息。如果在日志中进程存在多个实例，例如svchost.exe就有多个，则会有多条记录。又比如，关键进程winlogon.exe存在多个实例，则关键进程winlogon.exe则有多个。该关键进程winlogon.exe的实例数量，即为关键进程winlogon.exe的数量。

步骤S303：确定目标进程数量为一个附加特征的特征值。

针对预设的附加特征包括：单个终端上登录过的账号数量和/或单个账号登录过的终端数量，在本发明实施例中，如图4所示，对指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值可包括如下步骤：

步骤S401：聚合指标信息包括的登录特征和设备特征；

步骤S402：根据聚合的结果，统计属于待检测目标的终端设备登录过的账号数量和/或属于待检测目标的账号登录过的终端设备数量；

针对待检测目标为终端或者登录于终端的账号，通过聚合指定的一段时间内的登录日志，可以获取一段时间内，登录到单个终端上的所有账号，从而得到终端设备登录过的账号数量。

通过聚合指定的一段时间内的各个终端的登录日志，可以获取一段时间内，单个账号都登录过哪些终端，从而获的附加特征的特征值：账号登录过的终端设备数量。

步骤S403：确定终端设备登录过的账号数量或者账号登录过的终端设备数量为一个附加特征的特征值。

综上可知，在进行异常信息检测过程中，所需要的特征可包括：可以直接从日志信息中得到的特征比如进程ID、进程名、进程所属账号、进程的当前登录账号、进程登录时间、账号登录次数、账号登录方式、登录动作等，还可以通过对日志信息进行处理得到的进程特征值、登录特征值以及通过对指标信息进行聚合，为附加特征生成对应的特征值比如目标进程数量、终端设备登录过的账号数量以及账号登录过的终端设备数量等。

通过将上述特征引入异常检测模型，可以有效地提高检测异常账号的准确性。比如，通过对获取到的终端的软件应用的各类日志数据进行聚合后，进而可以根据聚合后的与账号相关的指标或特征确定与失陷账户相关的威胁事件或者特征值。由于该判断是基于所有终端在指定时间段内的日志的聚合信息确定的，因此结合训练得到的异常检测模型能够确定各账号一相对完整的威胁事件，进而能够基于确定的使用事件判断该账户是否失陷，从而提升了判断的准确度。

在本发明实施例中，上述方法可进一步包括：确定检测出的异常账号所登录的终端设备。该过程可以通过维护的终端设备信息，查找与检测出的异常账号所登录的终端设备的终端信息相匹配的终端标识，从而定位出终端设备，以在后续对该终端设备进行处理，比如将该终端设备加入黑名单等。

在本发明实施例中，上述方法可进一步包括：生成并发送告警信息给待检测目标的管理设备和/或与检测出的异常账号相关的终端设备。该待检测目标的管理设备可以为企业系统的服务器，也可以为管理员或者管理者对应的终端设备。该异常账号相关的终端设备是指与该异常账号绑定的终端设备以及登录该异常账号的终端设备等。以能够及时给出系统或者软件异常告警，并及时处理该异常告警。另外，在检测出异常账号之后，还可通过其他处理方式处理异常账号，比如禁止异常账号访问、控制异常账号访问权限、将登录异常账号的终端设备加入黑名单、自动修改异常账号的登录密码等方式。该其他处理方式可单独执行，也可与异常告警共同执行。从而保证系统或软件的安全性。

在本发明实施例中，如图5所示，上述方法可进一步包括如下步骤：

步骤S501：获取待检测目标正常运行情况下的第一日志信息以及待检测目标异常运行情况下的第二日志信息；

该待检测目标异常运行情况可以通过人为控制得到，比如加入攻击待检测目标的程序，通过在攻击程序中引入部分账号和密码，以尽可能模拟真实的低攻击频率的场景，使第二日志信息更接近于真实情况。

步骤S502：分别从第一日志信息和第二日志信息中解析出多个样本，并确定每一个样本对应的账号情况；

在该步骤中，一个样本可以为一个设定时间段内一个待检测目标（终端或者账号）的多种特征值的组合；该账号情况是指待检测目标对应的账号的使用情况，比如正常或者异常。针对待检测目标为终端，则账号情况是指该终端所绑定的账号的使用情况或者该终端使用账号的情况（终端使用账号的情况具体可以为：当终端使用其所绑定的账号，则确定账号情况为正常；当终端使用其未绑定或者未得到授权的账号或者终端使用其绑定的账号强行访问未授权功能等，则确定账号情况为异常）。

步骤S503：利用多个样本以及每一个样本对应的账号情况，训练贝叶斯网络模型，生成异常检测模型。

在本发明实现方案中，通过对比多种训练模型的训练结果，选择出贝叶斯网络模型，这是由于本发明实施例选择的一部分指标信息与待检测目标的异常存在直接关系，而另一部分指标信息与待检测目标的异常存在间接关系，而通过贝叶斯网络模型能更好地融合这些指标信息，有效地提高检测结果准确性。

如图6所示，本发明实施例提供一种异常信息检测装置600，该异常信息检测装置600可包括：获取模块601、解析模块602以及异常检测模块603，其中，

获取模块601，用于获取设定时间段内待检测目标的日志信息；

解析模块602，用于从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；

异常检测模块603，用于对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。

在本发明实施例中，解析模块602所解析出的与账号相关的指标可包括：用于指示进程信息中的一个或多个进程特征的进程指标、用于指示登录信息中的一个或多个登录特征的登录指标以及用于指示账号所登录的终端设备的一个或多个设备特征的设备指标中的任意一种或多种指标。

在本发明实施例中，异常检测模块603，进一步用于针对标信息包括待检测目标所运行的目标进程的多个进程特征的情况，对比多个进程特征；当对比的结果指示进程的所属账号与目标进程的登录账号一致，则为目标进程分配第一进程特征值；当对比的结果指示目标进程的所属账号与目标进程的登录账号不一致，则为目标进程分配第二进程特征值；其中，处理后的结果包括：目标进程的第一进程特征值或进程特征值。

在本发明实施例中，异常检测模块603，进一步用于针对指标信息包括待检测目标中登录信息的多个登录特征的情况，判断多个登录特征对应的登录时间是否在预设的时间范围内，如果是，则为登录信息包括的登录账号分配第一登录特征值；否则，为登录信息包括的登录账号分配第二登录特征值；其中，处理后的结果包括：登录账号的第一登录特征值或者第二登录特征值。

在本发明实施例中，异常检测模块603，进一步用于对指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，其中，处理后的结果进一步包括：附加特征的特征值。

在本发明实施例中，异常检测模块603，进一步用于聚合指标信息包括的进程特征；根据聚合的结果，统计属于待检测目标的目标进程数量；确定目标进程数量为一个附加特征的特征值。

在本发明实施例中，异常检测模块603，进一步用于聚合指标信息包括的登录特征和设备特征；根据聚合的结果，统计属于待检测目标的终端设备登录过的账号数量和/或属于待检测目标的账号登录过的终端设备数量；确定终端设备登录过的账号数量或者账号登录过的终端设备数量为一个所述附加特征的特征值。

在本发明实施例中，异常检测模块603，进一步用于确定检测出的异常账号所登录的终端设备。

在本发明实施例中，异常检测模块603，进一步用于生成并发送告警信息给待检测目标的管理设备和/或与检测出的异常账号相关的终端设备。

在本发明实施例中，异常信息检测装置600可进一步包括：模型训练模块604，其中，

模型训练模块604，用于获取待检测目标正常运行情况下的第一日志信息以及待检测目标异常运行情况下的第二日志信息；分别从第一日志信息和第二日志信息中解析出多个样本，并确定每一个样本对应的账号情况；利用多个样本以及每一个样本对应的账号情况，训练贝叶斯网络模型，生成异常检测模型。

图7示出了可以应用本发明实施例的异常信息检测方法或异常信息检测装置的示例性系统架构700。

如图7所示，系统架构700可以包括终端设备701、702、703，网络704和服务器705。网络704用以在终端设备701、702、703和服务器705之间提供通信链路的介质。网络704可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备701、702、703通过网络704与服务器705交互，以接收或发送消息等，比如，服务器705接收终端设备701、702、703发送的日志信息或者日志数据等，服务器705将异常信息发送给终端设备。终端设备701、702、703上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等（仅为示例），服务器705可获取终端设备安装的通讯客户端应用的日志信息，并将异常信息反馈给对应的通讯客户端应用。

终端设备701、702、703可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器705可以是提供各种服务的服务器，例如对用户利用终端设备701、702、703所产生的日志信息或日志数据提供支持的后台管理服务器（仅为示例）。后台管理服务器可以对获取到的日志信息等数据进行分析等处理，并将处理结果（例如异常信息--仅为示例）反馈给终端设备。

需要说明的是，本发明实施例所提供的异常信息检测方法一般由服务器705执行，相应地，异常信息检测装置一般设置于服务器705中。

应该理解，图7中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面参考图8，其示出了适于用来实现本发明实施例的终端设备的计算机系统800的结构示意图。图8示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图8所示，计算机系统800包括中央处理单元（CPU）801，其可以根据存储在只读存储器（ROM）802中的程序或者从存储部分808加载到随机访问存储器（RAM）803中的程序而执行各种适当的动作和处理。在RAM 803中，还存储有系统800操作所需的各种程序和数据。CPU 801、ROM 802以及RAM 803通过总线804彼此相连。输入/输出（I/O）接口805也连接至总线804。

以下部件连接至I/O接口805：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。在该计算机程序被中央处理单元（CPU）801执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括获取模块、解析模块以及异常检测模块。其中，这些模块的名称在某种情况下并不构成对该单元本身的限定，例如，获取模块还可以被描述为“获取设定时间段内待检测目标的日志信息的模块”。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：获取设定时间段内待检测目标的日志信息；从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。

根据本发明实施例的技术方案，通过对日志信息中预设指标的指标信息进行处理，并引入异常检测模型，即获取设定时间段内待检测目标的日志信息；从日志信息中解析出预设指标对应的指标信息，其中，预设指标指示与账号相关的指标；对指标信息进行处理；利用处理后的结果和异常检测模型，检测待检测目标中存在的异常账号。相比于账号登录次数等信息，日志数据中的与账号相关的指标更能真实的反应账号的情况，因此，本发明实施例提供的方案能够有效地提高异常信息检测准确性。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (13)

1.一种异常信息检测方法，其特征在于，包括：

获取设定时间段内待检测目标的日志信息；

从所述日志信息中解析出预设指标对应的指标信息，其中，所述预设指标指示与账号相关的指标；

对所述指标信息进行处理；

利用处理后的结果和异常检测模型，检测所述待检测目标中存在的异常账号。

2.根据权利要求1所述的方法，其特征在于，所述与账号相关的指标，包括：

用于指示进程信息中的一个或多个进程特征的进程指标、用于指示登录信息中的一个或多个登录特征的登录指标以及用于指示账号所登录的终端设备的一个或多个设备特征的设备指标中的任意一种或多种指标。

3.根据权利要求1所述的方法，其特征在于，所述对所述指标信息进行处理，包括：

针对所述指标信息包括所述待检测目标所运行的目标进程的多个进程特征的情况，

对比多个所述进程特征；

当对比的结果指示所述目标进程的所属账号与所述目标进程的登录账号一致，则为所述目标进程分配第一进程特征值；

当对比的结果指示所述目标进程的所属账号与所述目标进程的登录账号不一致，则为所述目标进程分配第二进程特征值；

其中，处理后的结果包括：所述目标进程的第一进程特征值或所述第二进程特征值。

4.根据权利要求1所述的方法，其特征在于，所述对所述指标信息进行处理，进一步包括：

针对所述指标信息包括所述待检测目标中登录信息的多个登录特征的情况，

判断多个所述登录特征对应的登录时间是否在预设的时间范围内，如果是，则为所述登录信息包括的登录账号分配第一登录特征值；否则，为所述登录信息包括的登录账号分配第二登录特征值；

其中，处理后的结果包括：所述登录账号的所述第一登录特征值或者所述第二登录特征值。

5.根据权利要求1、3以及4中任一项所述的方法，其特征在于，所述对所述指标信息进行处理，进一步包括：

对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，其中，处理后的结果进一步包括：所述附加特征的特征值。

6.根据权利要求5所述的方法，其特征在于，对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，包括：

聚合所述指标信息包括的进程特征；

根据聚合的结果，统计属于所述待检测目标的目标进程数量；

确定所述目标进程数量为一个所述附加特征的特征值。

7.根据权利要求5所述的方法，其特征在于，对所述指标信息进行聚合，为一个或多个预设的附加特征生成对应的特征值，包括：

聚合所述指标信息包括的登录特征和设备特征；

根据聚合的结果，统计属于所述待检测目标的终端设备登录过的账号数量和/或属于所述待检测目标的账号登录过的终端设备数量；

确定所述终端设备登录过的账号数量或者所述账号登录过的终端设备数量为一个所述附加特征的特征值。

8.根据权利要求5所述的方法，其特征在于，进一步包括：

确定检测出的所述异常账号所登录的终端设备。

9.根据权利要求5所述的方法，其特征在于，进一步包括：

生成并发送告警信息给所述待检测目标的管理设备和/或与检测出的所述异常账号相关的终端设备。

10.根据权利要求5所述的方法，其特征在于，进一步包括：

获取所述待检测目标正常运行情况下的第一日志信息以及所述待检测目标异常运行情况下的第二日志信息；

分别从所述第一日志信息和所述第二日志信息中解析出多个样本，并确定每一个所述样本对应的账号情况；

利用多个所述样本以及每一个所述样本对应的账号情况，训练贝叶斯网络模型，生成所述异常检测模型。

11.一种异常信息检测装置，其特征在于，包括：获取模块、解析模块以及异常检测模块，其中，

所述获取模块，用于获取设定时间段内待检测目标的日志信息；

所述解析模块，用于从所述日志信息中解析出预设指标对应的指标信息，其中，所述预设指标指示与账号相关的指标；

所述异常检测模块，用于对所述指标信息进行处理；利用处理后的结果和异常检测模型，检测所述待检测目标中存在的异常账号。

12.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-10中任一所述的方法。

13.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-10中任一所述的方法。

Images