CN113793076A - 一种风险池动态监测方法、系统、设备和可读存储介质 - Google Patents

Abstract

本发明公开了一种风险池动态监测方法、系统、设备和可读存储介质，方法包括构造动态风险池，形成动态风险池指标向量X；依据动态风险池指标向量X获得比对数据集和观测数据集，构建比对数据集和观测数据集之间的距离成本函数，并依据成本函数计算数据偏移量；动态风险池指标向量X随时间变化发生变化后，对观测数据集进行更新形成更新后的观测数据集，依据比对数据集和更新后的观测数据集之间的距离成本函数计算数据偏移量，通过计算多次数据偏移量的平均值与数据集偏移的容忍程度极限值进行比对，得出风险池是可控或不可控的结论，能够对风险池的安全性进行动态监测。

Description

一种风险池动态监测方法、系统、设备和可读存储介质

技术领域

本发明属于信息安全领域，具体属于一种风险池动态监测方法、系统、设备和可读存储介质。

背景技术

如今，智能终端和网络已经成为现代生活的重要组成部分，所有的娱乐、经济和通信方面都离不开计算机网络。影响计算机系统的安全性，涉及诸多因素，把这些因素组合起来，就构成了影响计算机系统安全性的风险池，这些元素就可以成为整个风险池中的风险指标。而且，这些风险指标会随着时间的变化而变化，不会静止不变。然而，现有技术中并不存在对于风险池进行安全性监测的装置或方法，导致风险池的安全性未知，不能有效对风险池进行风险判断。

发明内容

为了解决现有技术中存在的问题，本发明提供一种风险池动态监测方法、系统、设备和可读存储介质，能够对风险池的安全性进行动态监测。

为实现上述目的，本发明提供如下技术方案：

一种风险池动态监测方法，包括以下过程，构造动态风险池，形成动态风险池指标向量X；依据动态风险池指标向量X获得比对数据集和观测数据集，构建比对数据集和观测数据集之间的距离成本函数，并依据距离成本函数计算数据偏移量；动态风险池指标向量X随时间变化发生变化后，对观测数据集进行更新形成更新后的观测数据集，依据比对数据集和更新后的观测数据集之间的距离成本函数计算数据偏移量，通过计算多次数据偏移量的平均值与数据集偏移的容忍程度极限值进行比对，得出风险池是可控或不可控的结论。

优选的，具体包括以下步骤：

步骤1，对每个原始风险指标x_i进行求解，得出每个原始风险指标x_i中子元素的方差，对方差进行排序并求和，把方差和与总方差和比值大于预设数值的原始风险指标x_i纳入，构成动态风险池指标向量X；

步骤2，依据动态风险池指标向量X确定比对数据集H₀和观测数据集H₁，确定比对数据集H₀和观测数据集H₁的样本均值和协方差矩阵，构造出比对数据集和观测数据集之间的距离成本函数；

步骤3，动态风险池指标向量X随时间变化发生变化后，对观测数据集进行更新形成更新后的观测数据集H₁，对更新后的观测数据集H₁重新确定样本均值和协方差矩阵，比对数据集H₀保持不变，重新构造成本函数；

步骤4，时间宽度目标值为T，当前时间值为t，当t<T时，重复步骤3；当t＝T时，计算满足时间宽度目标值T时的数据偏移量的平均值ARL；

步骤5，比较数据偏移量的平均值ARL和数据集偏移的容忍程度A₀，当ARL≤A₀时，表示观测数据集的偏移量在容忍程度范围内，判断风险池X是可控的；当ARL>A₀时，表示观测数据集的偏移量超过了容忍程度，判断风险池X是不可控的。

进一步的，所述动态风险池指标向量X表示为X＝(x₁,x₂,Λ,x_i,Λ,x_n)，其中，x_i为风险池指标向量X中的第i个风险指标，n为风险池X包含的风险指标个数；

比对数据集H₀表示为H₀＝(X₁,X₂,Λ,X_m)；

观测数据集H₁表示为H₁＝(X_t1,X_t2,Λ,X_tm),t＝1,2,Λ。

进一步的，所述观测数据集H₁根据时间序列，通过设置移动窗口函数进行实时更新，所述移动窗口函数的窗口宽度为m；

在时间宽度目标值T的范围内，通过移动窗口函数更新观测数据集H₁中的指标，重新计算更新观测数据集的样本均值和协方差矩阵。

进一步的，步骤3中，将马氏距离作为比对数据集H₀和观测数据集H₁之间的距离成本函数。

进一步的，所述ARL的公式为：

式中，A_t表示t时刻数据比对时H₀到H₁的距离，T为时间宽度目标值。

一种风险池动态监测系统，包括风险池模块、数据获取模块、数据更新模块、成本函数模块、数据偏移量计算模块和输出比较模块；

所述风险池模块用于构造动态风险池，形成动态风险池指标向量X；

所述数据获取模块用于从动态风险池指标向量X中获取比对数据集和观测数据集；

所述成本函数模块用于确定比对数据集和观测数据集之间的成本函数；

所述数据更新模块用于实时更新观测数据集；

所述数据偏移量计算模块用于计算比对数据集和观测数据集之间的数据偏移量，并计算数据偏移量的平均值；

所述输出比较模块用于对数据偏移量的平均值与数据集偏移的容忍程度进行比对，判断风险池是可控或不可控。

一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如上述任意一项所述的一种风险池动态监测方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如上述任意一项所述的一种风险池动态监测方法的步骤。

与现有技术相比，本发明具有以下有益的技术效果：

本发明提供一种风险池动态监测方法，构造动态风险池，突出了风险池的动态性，更加符合风险池的特性；通过从风险池中抽取比对数据集和观测数据集，能够便于构造成本函数；成本函数采用马氏距离表达，便于计算，达到了简化的目的；观测数据集具备时间序列特性，在最大时间宽度范围内不断更新，通过计算更新后的观测数据集与比对数据集之间的数据偏移量并求取平均值，提高判断的准确性。

附图说明

图1为本发明一种风险池动态监测方法流程图。

具体实施方式

下面结合具体的实施例对本发明做进一步的详细说明，所述是对本发明的解释而不是限定。

如图1所示，一种风险池动态监测方法，首先，构造动态风险池。针对各时间点求解出每个原始风险指标所包含的子元素的方差，再经过排序以及求和，把方差和与总方差和比值大于某个值的指标纳入风险池指标向量X，就构成了整个动态风险池指标向量(随着时间序列的变化，纳入风险池指标向量的原始指标在发生变化，导致整个风险的堆积过程也在发生变化)；其次，从风险池指标向量X抽取比对数据集和观测数据集，构建两者的距离成本函数；第三，在达到最大时间宽度目标值时，得出数据偏移量的平均值；最后，通过数据偏移量的平均值与数据集偏移的最大容忍程度进行比对，得出风险池是可控或不可控的结论。

风险池定义：风险池指多维度风险堆积过程，把涉及影响计算机系统安全性的诸多因素组合起来，通过求解方差排序方式，筛选出满足条件的风险指标x_i，构成整个计算机系统安全性的风险池指标向量X来描述风险堆积，X＝(x₁,x₂,Λ,x_i,Λ,x_n)，其中，x_i为风险池指标向量X中的第i个风险指标，n为X包含的风险指标个数，n不是固定不变的，风险池指标向量是随时间变化的。

风险池指标向量X中的风险指标x_i的筛选原则：

针对每个原始风险指标x_i，求解出所包含的子元素的方差之和，然后进行排序，把方差和与总方差和比值大于某个值的指标x_i纳入，舍去其余指标，x_i就构成了整个风险池指标向量X。随着时间序列的变化，x_i也在发生变化，导致整个风险池指标向量X也在发生变化。

选取H₀作为比对数据集，H₀＝(X₁,X₂,Λ,X_m)，m为数据集H₀所取的指标向量个数。假设H₀服从正态分布，H₀～N(μ₀,∑)，其中，μ₀为数据集H₀样本均值，∑为总体风险池样本的协方差矩阵。

设定一个观测移动窗口函数，窗口宽度为m(与数据集H₁所取的向量个数一致)，选取H₁作为观测数据集，H₁＝(X_t1,X_t2,Λ,X_tm),t＝1,2,Λ，t表示时间序列，数据集H₁所取的指标个数也为m(与H₀相同)，是为了保持与H₀维度一致，便于数据比对。假设H₁服从正态分布，H₁～N(μ₁,∑₁)，其中，μ₁为数据集H₁样本均值，∑₁为数据集H₁样本的协方差矩阵。

为了更直观方便地进行H₀和H₁之间的数据比对，构建成本函数成为必要。在本专利中，把马氏距离作为数据比对的成本函数，该成本函数表示μ₁到μ₀的距离，即数据集H₀到H₁的距离，是衡量数据偏移的一种表达方式，所以H₀和H₁之间的数据比对的成本函数，如下：

A_t＝(μ₁-μ₀)'(∑₁)^-1(μ₁-μ₀),t＝1,2,Λ

其中，t与H₁的时间序列保持一致，A_t表示t时刻数据比对时H₀到H₁的距离。当H₁数据集未发生偏移时，A_t＝0。

设时间序列的最大时间宽度为T(当风险池变化频率高时，T的取值偏小；当风险池变化频率低时，T的取值偏大)，当t<T时，返回，重新选取更新数据集H₁；当t＝T时，进行以下步骤：

定义ARL：表示在最大时间宽度内，比对数据偏移量的平均值，如下：

给定一个A₀，作为数据集偏移的最大容忍程度(当风险池的安全性要求高时，A₀的取值应该偏小；当风险池的安全性要求低时，A₀的取值应该偏大)：

当ARL≤A₀时，表示H₁数据集的偏移量在容忍程度范围内，风险池X是可控的；

当ARL>A₀时，表示H₁数据集的偏移量超过了容忍程度，风险池X是不可控的。

实施例

一种风险池动态监测方法。首先，针对所有的原始指标，计算每个指标x_i子元素的方差,然后排序并求和，选取方差和与总方差和比值大于某个值的指标纳入风险池指标向量X；其次，在t＝1时刻，抽取比对数据集H₀和观测数据集H₁，构造出成本函数，计算出t＝1时刻的数据偏移距离A₁；第三，在最大时间宽度范围内，利用移动窗口对观测数据集H₁进行实时更新，此时1<t<T，然后构建t时刻的成本函数，计算出t时刻的数据偏移距离A_t；第四，当达到最大时间宽度，即t＝T时，计算出数据偏移量的平均值ARL；最后，通过比较ARL和A₀，得出风险池是可控或不可控的结论。

本发明以CIC-IDS2017数据集中的“Friday-WorkingHours-Afternoon-DDos”攻击数据为例。

针对DDos攻击数据，计算所有指标的方差,然后排序并求和，分别求解各自方差和与总方差和的比值，选取比值大于某个值(这里取5％)的指标，纳入风险池指标向量X。此时，X中包含Bwd Packet Length Std(x₁)；Average Packet Size(x₂)；Flow Duration(x₃)；Flow IAT Std(x₄)这4个子元素指标。

在这里设定，最大时间宽度T＝3，数据集偏移的最大容忍程度A₀＝50，移动窗口函数的窗口宽度为500。

时间序列1：7/7/2017 3:30～7/7/2017 3:49

在时间序列1情况下，DDos攻击数据记录一共有15561条记录，其中Label类型为“BENIGN”的记录有15561条，Label类型为“DDos”的记录有0条。

在t＝1时刻，抽取第1-500条记录中对应x_i特征的数据，形成比对数据集H₀，抽取第501-1000条记录中对应x_i特征的数据，形成观测数据集H₁，计算出两个数据集的样本均值和协方差矩阵，构造出成本函数，可以计算出该时刻的数据偏移距离A₁＝0.0189。

在t＝2时刻，保留比对数据集H₀不变，抽取第1001-1500条记录中对应x_i特征的数据，形成新的观测数据集H₁，根据两个数据集的样本均值和协方差矩阵，构造出成本函数，计算出该时刻的数据偏移距离A₂＝0.2026。

在t＝3时刻，保留比对数据集H₀不变，抽取第1501-2000条记录中对应x_i特征的数据，形成新的观测数据集H₁，根据两个数据集的样本均值和协方差矩阵，构造出成本函数，计算出该时刻的数据偏移距离A₃＝0.0224。

此时，t＝T，可以计算出时间序列1情况下的数据偏移量的平均值ARL：

当ARL≤A₀时，可以判断风险池X是可控的。

时间序列2：7/7/2017 3:30～7/7/2017 3:59

在时间序列2情况下，DDos攻击数据记录一共有52501条记录，其中Label类型为“BENIGN”的记录有28635条，Label类型为“DDos”的记录有23865条。

在t＝1时刻，抽取第1001-1500条记录中对应x_i特征的数据，形成比对数据集H₀(“BENIGN”为500条)，抽取第3001-3500条记录中对应x_i特征的数据，形成观测数据集H₁(“BENIGN”为274条，“DDos”为226条)，计算出两个数据集的样本均值和协方差矩阵，构造出成本函数，可以计算出该时刻的数据偏移距离A₁＝2.4912。

在t＝2时刻，保留比对数据集H₀不变，抽取第5001-5500条记录中对应x_i特征的数据，形成新的观测数据集H₁(“BENIGN”为500条)，根据两个数据集的样本均值和协方差矩阵，构造出成本函数，计算出该时刻的数据偏移距离A₂＝58207。

在t＝3时刻，保留比对数据集H₀不变，抽取第7500-7999条记录中对应x_i特征的数据，形成新的观测数据集H₁(“BENIGN”为273条，“DDos”为227条)，根据两个数据集的样本均值和协方差矩阵，构造出成本函数，计算出该时刻的数据偏移距离A₃＝2336.9。

此时，t＝T，可以计算出时间序列2情况下的数据偏移量的平均值ARL：

当ARL>A₀时，可以判断风险池X是不可控的。

一种风险池动态监测系统，包括风险池模块、数据获取模块、数据更新模块、成本函数模块、数据偏移量计算模块和输出比较模块。

风险池模块用于构造动态风险池，形成动态风险池指标向量X。

数据获取模块用于从动态风险池指标向量X中获取比对数据集和观测数据集。

成本函数模块用于确定比对数据集和观测数据集之间的成本函数。

数据更新模块用于实时更新观测数据集。

数据偏移量计算模块用于计算比对数据集和观测数据集之间的数据偏移量，并计算数据偏移量的平均值。

输出比较模块用于对数据偏移量的平均值与数据集偏移的容忍程度进行比对，判断风险池是可控或不可控。

下述为本发明的装置实施例，可以用于执行本发明方法实施例。对于装置实施例中未披露的细节，请参照本发明方法实施例。

本发明再一个实施例中，提供了一种计算机设备，该计算机设备包括处理器以及存储器，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器用于执行所述计算机存储介质存储的程序指令。处理器可能是中央处理单元(CentralProcessing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital SignalProcessor、DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable GateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，其是终端的计算核心以及控制核心，其适于实现一条或一条以上指令，具体适于加载并执行一条或一条以上指令从而实现相应方法流程或相应功能；本发明实施例所述的处理器可以用于风险池动态监测方法的操作。

本发明在一个实施例中，还提供了一种存储介质，具体为计算机可读存储介质(Memory)，所述计算机可读存储介质是计算机设备中的记忆设备，用于存放程序和数据。可以理解的是，此处的计算机可读存储介质既可以包括计算机设备中的内置存储介质，当然也可以包括计算机设备所支持的扩展存储介质。计算机可读存储介质提供存储空间，该存储空间存储了终端的操作系统。并且，在该存储空间中还存放了适于被处理器加载并执行的一条或一条以上的指令，这些指令可以是一个或一个以上的计算机程序(包括程序代码)。需要说明的是，此处的计算机可读存储介质可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。可由处理器加载并执行计算机可读存储介质中存放的一条或一条以上指令，以实现上述实施例中有关风险池动态监测方法的相应步骤。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (9)

1.一种风险池动态监测方法，其特征在于，包括以下过程，构造动态风险池，形成动态风险池指标向量X；依据动态风险池指标向量X获得比对数据集和观测数据集，构建比对数据集和观测数据集之间的距离成本函数，并依据距离成本函数计算数据偏移量；动态风险池指标向量X随时间变化发生变化后，对观测数据集进行更新形成更新后的观测数据集，依据比对数据集和更新后的观测数据集之间的距离成本函数计算数据偏移量，通过计算多次数据偏移量的平均值与数据集偏移的容忍程度极限值进行比对，得出风险池是可控或不可控的结论。

2.根据权利要求1所述的一种风险池动态监测方法，其特征在于，具体包括以下步骤：

步骤1，对每个原始风险指标x_i进行求解，得出每个原始风险指标x_i中子元素的方差，对方差进行排序并求和，把方差和与总方差和比值大于预设数值的原始风险指标x_i纳入，构成动态风险池指标向量X；

步骤2，依据动态风险池指标向量X确定比对数据集H₀和观测数据集H₁，确定比对数据集H₀和观测数据集H₁的样本均值和协方差矩阵，构造出比对数据集和观测数据集之间的距离成本函数；

步骤3，动态风险池指标向量X随时间变化发生变化后，对观测数据集进行更新形成更新后的观测数据集H₁，对更新后的观测数据集H₁重新确定样本均值和协方差矩阵，比对数据集H₀保持不变，重新构造成本函数；

步骤4，时间宽度目标值为T，当前时间值为t，当t<T时，重复步骤3；当t＝T时，计算满足时间宽度目标值T时的数据偏移量的平均值ARL；

步骤5，比较数据偏移量的平均值ARL和数据集偏移的容忍程度A₀，当ARL≤A₀时，表示观测数据集的偏移量在容忍程度范围内，判断风险池X是可控的；当ARL>A₀时，表示观测数据集的偏移量超过了容忍程度，判断风险池X是不可控的。

3.根据权利要求2所述的一种风险池动态监测方法，其特征在于，所述动态风险池指标向量X表示为X＝(x₁,x₂,Λ,x_i,Λ,x_n)，其中，x_i为风险池指标向量X中的第i个风险指标，n为风险池X包含的风险指标个数；

比对数据集H₀表示为H₀＝(X₁,X₂,Λ,X_m)；

观测数据集H₁表示为H₁＝(X_t1,X_t2,Λ,X_tm),t＝1,2,Λ。

4.根据权利要求3所述的一种风险池动态监测方法，其特征在于，所述观测数据集H₁根据时间序列，通过设置移动窗口函数进行实时更新，所述移动窗口函数的窗口宽度为m；

在时间宽度目标值T的范围内，通过移动窗口函数更新观测数据集H₁中的指标，重新计算更新观测数据集的样本均值和协方差矩阵。

5.根据权利要求2所述的一种风险池动态监测方法，其特征在于，步骤3中，将马氏距离作为比对数据集H₀和观测数据集H₁之间的距离成本函数。

6.根据权利要求2所述的一种风险池动态监测方法，其特征在于，所述ARL的公式为：

式中，A_t表示t时刻数据比对时H₀到H₁的距离，T为时间宽度目标值。

7.一种风险池动态监测系统，其特征在于，包括风险池模块、数据获取模块、数据更新模块、成本函数模块、数据偏移量计算模块和输出比较模块；

所述风险池模块用于构造动态风险池，形成动态风险池指标向量X；

所述数据获取模块用于根据动态风险池指标向量X获取比对数据集和观测数据集；

所述成本函数模块用于确定比对数据集和观测数据集之间的成本函数；

所述数据更新模块用于实时更新观测数据集；

所述数据偏移量计算模块用于计算比对数据集和观测数据集之间的数据偏移量，并计算数据偏移量的平均值；

所述输出比较模块用于对数据偏移量的平均值与数据集偏移的容忍程度进行比对，判断风险池是可控或不可控。

8.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-6任意一项所述的一种风险池动态监测方法的步骤。

9.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-6任意一项所述的一种风险池动态监测方法的步骤。

Images