CN113157048B

CN113157048B - 一种基于多终端时间轴的行为数据分析方法及相关组件

Info

Publication number: CN113157048B
Application number: CN202110463167.1A
Authority: CN
Inventors: 郑云超; 范渊; 黄进
Original assignee: DBAPPSecurity Co Ltd
Current assignee: DBAPPSecurity Co Ltd
Priority date: 2021-04-23
Filing date: 2021-04-23
Publication date: 2022-08-26
Anticipated expiration: 2041-04-23
Also published as: CN113157048A

Abstract

本申请公开了一种基于多终端时间轴的行为数据分析方法、装置、设备及存储介质。该方法包括：获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。利用时间差值修正时间信息后构建多终端时间轴，保证多终端行为数据的发生时间为统一标准时间下的时间，进而构建得到准确的横向多终端的行为时间轴，提高了多终端行为数据分析的准确性。

Description

一种基于多终端时间轴的行为数据分析方法及相关组件

技术领域

本发明涉及计算机领域，特别涉及一种基于多终端时间轴的行为数据分析方法、装置、设备及存储介质。

背景技术

目前，很多场景下的终端环境存在本地时间不准确，且无法任意调整的情况，进而由于时间的不准确和不统一无法准确的进行多终端行为事件的分析比较。现有技术中，通过终端主动请求获取标准时间，然后终端根据标准时间修改本地时间以保证时间正确，但需要每次产生终端行为的时候都去中心获取标准时间，造成大量的请求资源浪费。因此，如何在终端时间不准确的情况下构建统一的多终端行为时间轴进行数据分析是目前亟需解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种基于多终端时间轴的行为数据分析方法、装置、设备及介质，能够提高多终端行为数据分析的准确性。其具体方案如下：

第一方面，本申请公开了一种基于多终端时间轴的行为数据分析方法，包括：

获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；

获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；

基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。

可选的，所述获取多个目标终端发送的终端时间，包括：

获取多个所述目标终端在监测到终端时间被修改后发送的终端时间。

可选的，所述获取目标终端发送的终端时间，包括：

获取多个所述目标终端在启动数据分析服务后发送的终端时间。

可选的，所述基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴，包括：

按照所述预设时间轴构建规则中的预设时间范围，从所述修正后终端行为数据中筛选出目标终端行为数据；

基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建所述多终端时间轴。

按照所述预设时间轴构建规则中的预设维度，从所述修正后终端行为数据中筛选出目标终端行为数据；

第二方面，本申请公开了一种基于多终端时间轴的行为数据分析装置，包括：

时间差值计算模块，用于获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；

修正模块，用于获取所述目标终端发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；

行为数据分析模块，用于基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。

可选的，所述行为数据分析模块，包括：

第一筛选单元，用于按照所述预设时间轴构建规则中的预设时间范围，从所述修正后终端行为数据中筛选出目标终端行为数据；

第一时间轴构建单元，用于基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建所述多终端时间轴。

可选的，所述行为数据分析模块，包括：

第二筛选单元，用于按照所述预设时间轴构建规则中的预设维度，从所述修正后终端行为数据中筛选出目标终端行为数据；

第二时间轴构建单元，用于基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建所述多终端时间轴。

第三方面，本申请公开了一种电子设备，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序，以实现前述的基于多终端时间轴的行为数据分析方法。

第四方面，本申请公开了一种计算机可读存储介质，用于存储计算机程序；其中计算机程序被处理器执行时实现前述的基于多终端时间轴的行为数据分析方法。

本申请中，获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。可见，利用标准时间与终端的环境事件进行比对，确定各个终端与标准时间的差值，从而在接收到终端行为数据后修正终端行为数据的准确发生时间，由此可以保证多终端行为数据的发生时间为统一标准时间下的时间，在此基础上可以构建准确的横向多终端的行为时间轴，从而提高多终端行为数据分析的准确性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请提供的一种基于多终端时间轴的行为数据分析方法流程图；

图2为本申请提供的一种具体的目标终端装置结构示意图；

图3为本申请提供的一种具体的基于多终端时间轴的行为数据分析方法流程图；

图4为本申请提供的一种基于多终端时间轴的行为数据分析装置结构示意图；

图5为本申请提供的一种电子设备结构图。

具体实施方式

现有技术中，通过终端主动请求获取标准时间，然后终端根据标准时间修改本地时间以保证时间正确，但需要每次产生终端行为的时候都去中心获取标准时间，造成大量的请求资源浪费。为克服上述技术问题，本申请提出一种基于多终端时间轴的行为数据分析方法，能够提高多终端行为数据分析的准确性。

本申请实施例公开了一种基于多终端时间轴的行为数据分析方法，参见图1所示，该方法可以包括以下步骤：

步骤S11：获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值。

本实施例中，首先获取多个目标终端发送的终端时间，然后利用本地的标准时间计算标准时间与上述终端时间的差值，得到每个目标终端对应的时间差值并存储至本地。可以理解的是，本实施例可以应用于数据分析中心，数据分析中心接收多个目标终端发送的终端的环境时间后，计算每个目标终端的终端时间与标准时间的差值。

本实施例中，所述获取多个目标终端发送的终端时间，可以包括：获取多个所述目标终端在监测到终端时间被修改后发送的终端时间。可以理解的是，目标终端在监测到本地终端时间被修改后向数据分析中心发送当前的终端时间，其中，上述终端时间被修改是指终端时间被人为进行修改。本实施例中，所述获取目标终端发送的终端时间，可以包括：获取多个所述目标终端在启动数据分析服务后发送的终端时间。可以理解的是，目标终端在启动数据分析服务后会提取得到本地终端时间，然后向上述数据分析中心发送当前的终端时间，其中上述中间轴服务可以在目标终端启动的同时启动，也可以在目标终端启动后再启动。另外，目标终端也可以根据预设时间间隔每隔一定时间向上述数据分析中心发送终端时间。可见，本实施例中目标终端通过监控本地时间的变化，并在数据分析服务启动，终端时间变更等情况下提取当前本地时间，并将终端本地时间上报给数据分析中心，以保证数据分析中心实时了解终端时间变化，确保终端本地时间与标准时间差值的准确性。

步骤S12：获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据。

本实施例中，获取上述目标终端采集并发送的终端行为数据，然后利用本地存储的与上述目标终端对应的时间差值修正上述终端数据行为数据中的时间信息，得到包含修正后的正确时间的修正后终端行为数据。具体的，上述时间差值可以为标准时间减去终端时间得到的差值，然后得到终端行为数据后，将终端行为数据中的时间与对应的时间差值进行求和，求和结果替换终端行为数据中的行为发生时间。可见，利用时间差值修正时间信息，保证了终端行为数据中时间信息的准确性，同时在一些时间变化的重要时刻单独接收终端时间进行比对得到时间差值，保证终端时间接收的实时性和时间差值计算的准确性。

可以理解的是，例如图2所示，目标终端中包含终端行为模块和本地时间模块，其中终端行为模块用于对终端上的行为数据进行收集，并上传给数据分析中心；本地时间模块用于监控本地时间的变化，在数据分析服务启动，本地时间修改等情况下提取当前本地时间，并将终端时间上报给数据分析中心，以保证防护中心实时了解终端时间变化，确保终端时间与标准时间的差值准确性。

步骤S13：基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。

本实施例中，修正之后将修正后终端行为数据按预先配置的规则组装到多终端行为时间轴中，以实现行为数据分析。其中，上述预设时间轴构建规则可以包括但不限于维度和时间范围。具体的，可以按照所述预设时间轴构建规则中的预设时间范围，从所述修正后终端行为数据中筛选出目标终端行为数据；基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建所述多终端时间轴，即按照预设时间范围筛选出预设时间内的修正后终端行为数据构建得到多终端时间轴进行数据分析。

由上可见，本实施例中通过获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。可见，利用标准时间与终端的环境事件进行比对，确定各个终端与标准时间的差值，进一步在接收到终端行为数据后修正终端行为数据的准确发生时间，由此可以保证多终端行为数据的发生时间为统一标准时间下的时间，在此基础上可以构建准确的横向多终端的行为时间轴，从而提高多终端行为数据分析的准确性。

本申请实施例公开了一种具体的基于多终端时间轴的行为数据分析方法，参见图3所示，该方法可以包括以下步骤：

步骤S21：获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值。

步骤S22：获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据。

步骤S23：按照预设时间轴构建规则中的预设维度，从所述修正后终端行为数据中筛选出目标终端行为数据。

本实施例中，得到上述终端行为数据后按照预设时间轴构建规则中的预设维度，从上述修正后终端行为数据中筛选出目标终端行为数据，可以理解的是，上述预设维度即为以行为数据中的某个属性作为标准，例如以行为数据中的源IP作为标准，则提取得到行为数据中含有相同源IP的目标终端行为数据。本实施例中可以根据配置的维度去组建不同的时间轴，如相同的访问IP维度、相同的域控账号维度，由此可以知道同个访问IP在不同终端的行为时间轴，相同域控账号在多终端的行为时间轴。

步骤S24：基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建多终端时间轴以进行行为数据分析。

本实施例中，基于上述目标终端行为数据，按照上述目标终端行为数据的修正后时间构建上述多终端时间轴。例如，若预设维度是终端行为数据中的源IP，那么多个终端的行为数据中源IP相同的数据将以链表的形式按时间顺序组装为多终端行为时间轴。可以理解的是，在某个维度下多个终端的行为数据按时间序列有序组合而成，可以更清晰的看出终端行为事件趋势，比如根据攻击者IP的维度，可以看出该攻击者对多个终端执行了哪些攻击手段，以及攻击的时间顺序；再比如根据病毒文件创建的维度，可以直观分析出哪些终端感染了病毒文件，以及感染的时间先后顺序。

其中，关于上述步骤S21、步骤22的具体过程可以参考前述实施例公开的相应内容，在此不再进行赘述。

由上可见，通过按照预设时间轴构建规则中的预设维度，从所述修正后终端行为数据中筛选出目标终端行为数据，然后基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建多终端时间轴以进行行为数据分析。按照预设时间轴构建规则中的预设维度，可以将接收到的多终端行为数据构建成多个维度下的多个多终端时间轴，以便于针对某个维度进行多终端行为数据的分析，提高了多终端行为数据分析的能力。

相应的，本申请实施例还公开了一种基于多终端时间轴的行为数据分析装置，参见图4所示，该装置包括：

时间差值计算模块11，用于获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；

修正模块12，用于获取所述目标终端发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；

行为数据分析模块13，用于基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。

由上可见，本实施例中通过获取多个目标终端发送的终端时间，并计算标准时间与所述终端时间的时间差值；获取所述目标终端采集并发送的终端行为数据，并利用所述目标终端对应的所述时间差值修正所述终端行为数据中的时间信息，得到包含修正后时间信息的修正后终端行为数据；基于所述修正后终端行为数据，按照预设时间轴构建规则和所述修正后时间构建多终端时间轴以进行行为数据分析。可见，利用标准时间与终端的环境事件进行比对，确定各个终端与标准时间的差值，从而在接收到终端行为数据后修正终端行为数据的准确发生时间，由此可以保证多终端行为数据的发生时间为统一标准时间下的时间，在此基础上可以构建准确的横向多终端的行为时间轴，从而提高多终端行为数据分析的准确性。

在一些具体实施例中，所述时间差值计算模块11具体可以包括：

第一时间获取单元，用于获取多个所述目标终端在监测到终端时间被修改后发送的终端时间；

第二时间获取单元，用于获取多个所述目标终端在启动数据分析服务后发送的终端时间。

在一些具体实施例中，所述行为数据分析模块13具体可以包括：

第一时间轴构建单元，用于基于所述目标终端行为数据，按照所述目标终端行为数据的修正后时间构建所述多终端时间轴；

进一步的，本申请实施例还公开了一种电子设备，参见图5所示，图中的内容不能被认为是对本申请的使用范围的任何限制。

图5为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的基于多终端时间轴的行为数据分析方法中的相关步骤。

本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。

另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源包括操作系统221、计算机程序222及包括终端行为数据在内的数据223等，存储方式可以是短暂存储或者永久存储。

其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，以实现处理器21对存储器22中海量数据223的运算与处理，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的基于多终端时间轴的行为数据分析方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。

进一步的，本申请实施例还公开了一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现前述任一实施例公开的基于多终端时间轴的行为数据分析方法步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种基于多终端时间轴的行为数据分析方法、装置、设备及介质进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种基于多终端时间轴的行为数据分析方法，其特征在于，包括：

按照预设时间轴构建规则中的预设时间范围或预设维度，基于所述修正后终端行为数据筛选出目标终端行为数据，再按照所述目标终端行为数据的修正后时间构建多重时间轴。

2.根据权利要求1所述的基于多终端时间轴的行为数据分析方法，其特征在于，所述获取多个目标终端发送的终端时间，包括：

3.根据权利要求1所述的基于多终端时间轴的行为数据分析方法，其特征在于，获取目标终端发送的终端时间，包括：

4.一种基于多终端时间轴的行为数据分析装置，其特征在于，包括：

行为数据分析模块，用于按照预设时间轴构建规则中的预设时间范围或预设维度，基于所述修正后终端行为数据筛选出目标终端行为数据，再按照所述目标终端行为数据的修正后时间构建多重时间轴。

5.一种电子设备，其特征在于，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序，以实现如权利要求1至3任一项所述的基于多终端时间轴的行为数据分析方法。

6.一种计算机可读存储介质，其特征在于，用于存储计算机程序；其中计算机程序被处理器执行时实现如权利要求1至3任一项所述的基于多终端时间轴的行为数据分析方法。