CN114169456A - 基于5g终端安全的数据处理方法、装置、设备及介质 - Google Patents

Abstract

本发明实施例公开了基于5G终端安全的数据处理方法、装置、设备及介质。所述基于5G终端安全的数据处理方法，包括：获取待检测网络数据以及目标业务异常检测数据；根据待检测网络数据确定第一5G异常终端数据；根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。本发明实施例的技术方案能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

Description

基于5G终端安全的数据处理方法、装置、设备及介质

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种基于5G终端安全的数据处理方法、装置、设备及介质。

背景技术

随着5G(5th Generation Mobile Communication Technology，第五代移动通信技术)技术的发展，物联网技术也得到了很大提升，服务范围从人与人通信拓展到人与物，以及物与物的通信。无论是互联网通信还是物联网通信，均需要大量5G终端设备获取信息，当5G终端设备异常时，通信网络(互联网以及物联网等)的数据安全性将得不到保障，由于5G终端数据可以准确反映5G终端的状态，使得5G终端数据的数据检测成为判别5G异常终端的重要手段，也为通信网络的数据安全性分析提供了可行的研究方向。

目前，通常是根据机器学习方法以及深度学习算法等对5G终端数据进行分析，以确定与威胁通信网络安全的网络数据关联的5G异常终端数据，而无法从网络安全之外的维度对5G异常终端数据进行识别，在具体的应用场景中仍然是依赖于分析师人工对5G终端数据进行分析，才能确定5G异常终端数据。因此，现有的5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求。

发明内容

本发明实施例提供了基于5G终端安全的数据处理方法、装置、设备及介质，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

第一方面，本发明实施例提供了一种基于5G终端安全的数据处理方法，包括：

获取待检测网络数据以及目标业务异常检测数据；

根据待检测网络数据确定第一5G异常终端数据；

根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

第二方面，本发明实施例还提供了一种基于5G终端安全的数据处理装置，包括：

数据获取模块，用于获取待检测网络数据以及目标业务异常检测数据；

第一异常终端数据确定模块，用于根据待检测网络数据确定第一5G异常终端数据；

第二异常终端数据确定模块，用于根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

第三方面，本发明实施例还提供了一种电子设备，所述电子设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明任意实施例所提供的基于5G终端安全的数据处理方法。

第四方面，本发明实施例还提供了一种计算机存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任意实施例所提供的基于5G终端安全的数据处理方法。

本发明实施例通过获取待检测网络数据以及目标业务异常检测数据，进而根据待检测网络数据确定第一5G异常终端数据，进一步根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。在本方案中，利用待检测网络数据可以对异常终端数据进行初次识别，得到第一5G异常终端数据，而根据第一5G异常终端数据和目标业务异常检测数据可以实现在具体业务场景下对5G异常终端数据的进一步识别，得到在业务场景中的5G异常终端数据，解决了现有技术中5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求的问题，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

附图说明

图1是本发明实施例一提供的一种基于5G终端安全的数据处理方法的流程图；

图2是本发明实施例二提供的一种基于5G终端安全的数据处理方法的流程图；

图3是本发明实施例二提供的一种基于5G终端安全的数据处理方法的流程示意图；

图4是本发明实施例三提供的一种基于5G终端安全的数据处理装置的示意图；

图5为本发明实施例四提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。

另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部内容。在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。

实施例一

图1是本发明实施例一提供的一种基于5G终端安全的数据处理方法的流程图，本实施例可适用于从多个维度识别5G异常终端数据的情况，该方法可以由基于5G终端安全的数据处理装置来执行，该装置可以由软件和/或硬件的方式来实现，并一般可集成在电子设备中。相应的，如图1所示，该方法包括如下操作：

S110、获取待检测网络数据以及目标业务异常检测数据。

其中，待检测网络数据可以是5G通信网络中传输的数据。目标业务异常检测数据可以是根据5G终端所需执行业务预先配置的数据，用于检测终端执行业务时的异常状态。不同业务对应的目标业务异常检测数据可以不同。示例性的，当5G终端需要执行的业务为钢铁压轧时，目标业务异常检测数据可以包括但不限于液态铁的流速以及数据反馈最大允许时延等数据。当5G终端为摄像头，所需执行的业务为监控业务时，目标业务异常检测数据可以包括但不限于数据下载最低速率数据，控制指令的最大反馈时延数据以及卡顿最大时长数据等。本发明实施例对目标业务异常检测数据包括的具体内容不作限定。

在本发明实施例中，可以从通信网络中获取待检测网络数据，根据业务需求确定目标业务异常检测数据。

S120、根据待检测网络数据确定第一5G异常终端数据。

其中，第一5G异常终端数据可以是网络行为异常的5G终端的相关数据。

在本发明实施例中，可以将待检测网络数据与用于确定网络行为异常的数据进行比对，以获取网络异常行为的5G异常终端的第一5G异常终端数据，以及存在网络异常行为的5G异常终端。

S130、根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

其中，第二5G异常终端数据可以是同时存在网络行为异常以及业务行为异常的5G终端的相关数据。示例性的，当5G终端为摄像头，所需执行的业务为监控业务时，假设摄像头的数据下载速率为1KB/s，卡顿时长为1s，目标业务异常检测数据中的数据下载最低速率数据1MB/s，卡顿最大时长数据为5s，由于摄像头的数据下载速率低于数据下载最低速率数据，因此可以确定该摄像头为业务行为异常的5G终端。

在本发明实施例中，可以先确定与第一5G异常终端数据关联的5G异常终端在执行业务时的数据，进而将5G异常终端在执行业务时的数据与目标业务异常检测数据进行比对，确定与第一5G异常终端数据关联的第二5G异常终端数据，以及同时存在网络异常行为以及业务异常行为的5G异常终端。

本发明实施例通过获取待检测网络数据以及目标业务异常检测数据，进而根据待检测网络数据确定第一5G异常终端数据，进一步根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。在本方案中，利用待检测网络数据可以对异常终端数据进行初次识别，得到第一5G异常终端数据，而根据第一5G异常终端数据和目标业务异常检测数据可以实现在具体业务场景下对5G异常终端数据的进一步识别，得到在业务场景中的5G异常终端数据，解决了现有技术中5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求的问题，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

实施例二

图2是本发明实施例二提供的一种基于5G终端安全的数据处理方法的流程图，本实施例以上述实施例为基础进行具体化，在本实施例中，给出了在根据目标业务异常检测结果确定与第一5G异常终端数据关联的第二5G异常终端数据之后的相关步骤，具体为：获取预警等级数据；根据预警等级数据以及与第一5G异常终端数据关联的第二5G异常终端数据确定安全响应数据；根据安全响应数据和第二5G异常终端数据处理5G目标异常终端。

相应的，如图2所示，该方法包括如下操作：

S210、获取待检测网络数据以及目标业务异常检测数据。

在本发明的一个可选实施例中，在获取待检测网络数据以及目标业务异常检测数据之前，还可以包括：根据样本数据库确定异常向量数据以及正常向量数据；根据异常向量数据以及正常向量数据训练异常特征筛选模型；异常特征筛选模型可以用于筛选异常特征数据；其中，异常特征筛选模型可以包括数据异常筛选模型、网络异常筛选模型、信令异常筛选模型以及基础业务异常筛选模型中的至少一种。

其中，样本数据库可以是存储已知网络行为特征的数据库。已知的网络行为特征可以作为样本数据库中的样本，如异常网络行为特征可以作为黑样本，正常网络行为特征可以作为白样本。异常向量数据可以是表征5G终端异常上网行为特征的向量数据。正常向量数据可以是表征5G终端正常上网行为特征的向量数据。异常特征筛选模型可以是通过异常向量数据以及正常向量数据训练得到的模型。异常特征筛选模型可以是任意类型的学习模型，只要能对异常向量数据以及正常向量数据进行训练即可。示例性的，异常特征筛选模型可以是机器学习模型，还可以通过AI(Artificial Intelligence，人工智能)算法进行构建。异常特征数据可以是与网络异常行为特征关联的数据，用于确定第一5G异常终端数据。

数据异常筛选模型可以是一种筛选异常特征数据的模型，用于筛选跨境特征数据、外传特征数据、数据库异常操作特征数据以及异常关注特征数据中的至少一种。跨境特征数据可以是表征终端进行跨境数据操作的行为数据。外传特征数据可以是表征终端将数据传输至允许范围之外的行为数据。数据库异常操作特征数据可以是表征终端对数据库进行异常操作的行为数据。异常关注特征数据可以是不文明网络数据。

信令异常筛选模型可以一种筛选异常特征数据的模型，用于筛选反复接入网络的异常终端特征数据、反复开机的异常终端特征数据、资源浪费的异常终端特征数据、存在信令攻击的异常终端特征数据以及反复低价接入的异常终端特征数据中的至少一种。反复接入网络的异常终端特征数据可以是表征终端反复接入网络的行为数据。反复开机的异常终端特征数据可以是表征终端反复开机的行为数据。资源浪费的异常终端特征数据可以是表征终端大量消耗网络资源的行为数据。存在信令攻击的异常终端特征数据可以是表征终端发送信令攻击操作的行为数据。示例性的，终端被非法控制周期性发送信令，且慢速发送信令攻击的行为可以是一种终端发送信令攻击的行为。反复低价接入的异常终端特征数据可以是表征终端反复低价接入网络的行为数据。

信令异常筛选模型还可以输出与异常信令日志关联的数据，以便于快速确定出现信令异常的终端，异常信令日志可以包括终端的临时标识以及永久标识等。临时标识可以包括5G-GUTI(5G Globally Unique Temporary UE Identity，5G全局唯一的临时UE标识)以及SUCI(用户隐藏标识符)等。永久标识可以包括SUPI(5G全球唯一用户永久标识符)、GPSI(Generic Public Subscription Identifier，通用公共用户标识)以及PEI(永久设备标识符)等。

网络异常筛选模型可以是一种筛选异常特征数据的模型，用于筛选基础网络攻击特征数据、网络探测行为特征数据、异常自主网络行为特征数据以及高级威胁攻击特征数据中的至少一种。基础网络攻击特征数据可以是表征通信领域中威胁等级为低级以及中级的攻击事件的数据。网络探测行为特征数据可以是表征探测网络数据的行为数据。网络探测行为特征数据可以包括但不限于扫描行为数据、登录行为数据以及爬虫行为数据等。异常自主网络行为特征数据可以是表征终端存在可疑自主行为的数据。高级威胁攻击特征数据可以是表征通信领域中威胁等级为高级的攻击事件的数据。

示例性的，基础网络攻击特征数据可以包括但不限于植入僵尸网络程序行为数据、植入木马程序行为数据以及WEB(全球广域网)攻击行为数据等。其中，WEB攻击行为数据可以包括但不限于SQL注入行为数据、XSS(跨站脚本攻击)行为数据、WEB后门行为数据、拒绝服务数据以及口令登录行为数据等。异常自主网络行为特征数据可以包括但不限于可疑下载行为数据、可疑通联行为数据、VPN(虚拟专用网络)访问行为数据以及代理行为数据等。高级威胁攻击特征数据可以包括但不限于APT(Advanced Persistent Threat，定向威胁攻击)事件数据、控制终端行为的数据以及命令终端行为的数据等。

基础业务异常筛选模型可以一种筛选异常特征数据的模型，用于筛选终端访问量异常特征数据、终端访问地址异常特征数据、终端流量异常特征数据以及基础业务指标异常特征数据中的至少一种。终端访问量异常特征数据可以是表征终端访问量异常的行为数据。示例性的，终端访问量异常特征数据可以包括但不限于承载指标低、信令访问频繁、服务器建链超时、客户端终止以及业务被服务器拒绝等。终端访问地址异常特征数据可以是表征终端访问异常地址时的行为数据。示例性的，终端访问地址异常特征数据可以包括但不限于访问互联网地址、访问境外IP(Internet Protocol，网络之间互连的协议)地址以及存在人网行为(如视频、购物以及即时通信等)。终端流量异常特征数据可以是表征终端流量消耗异常的数据。示例性的，终端流量异常特征数据可以包括但不限于流量突增、流量突降以及流量超过最大限值等。基础业务指标异常特征数据可以是表征终端执行业务时的基础业务指标数据。示例性的，基础业务指标异常特征数据可以包括但不限于时延突增、速率突降、心跳异常以及控制指令不执行等。

在本发明实施例中，可以从样本数据库中解析出异常向量数据以及正常向量数据，进而利用异常向量数据以及正常向量数据训练异常特征筛选模型，得到能够筛选异常特征数据的异常特征筛选模型。

S220、根据待检测网络数据确定第一5G异常终端数据。

在本发明的一个可选实施例中，根据待检测网络数据确定第一5G异常终端数据，可以包括：将待检测网络数据输入至异常特征筛选模型，并根据异常特征筛选模型的输出结果确定待检测网络数据存在的异常特征数据；根据待检测网络数据的异常特征数据确定第一5G异常终端数据。

在本发明实施例中，可以将待检测网络数据输入至异常特征筛选模型，如果异常特征筛选模型的输出结果中存在异常特征数据，则可以确定待检测网络数据存在异常特征数据。如果异常特征筛选模型的输出结果中不存在异常特征数据，则可以确定待检测网络数据不存在的异常特征数据。在确定待检测网络数据存在的异常特征数据的情况下，可以根据待检测网络数据的异常特征数据确定存在网络异常行为的5G异常终端，以获取网络异常行为的5G异常终端的第一5G异常终端数据。

S230、根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

在本发明的一个可选实施例中，根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据，可以包括：获取与第一5G异常终端数据关联的待分析网络数据；将待分析网络数据与目标业务异常检测数据进行关联分析，得到目标业务异常检测结果；根据目标业务异常检测结果确定与第一5G异常终端数据关联的第二5G异常终端数据。

其中，待分析网络数据可以是除待检测网络数据外的，与第一5G异常终端数据关联的通信网络传输的数据。目标业务异常检测结果可以是对5G终端业务执行状态的识别结果。目标业务异常检测结果可以包括但不限于5G终端业务行为状态正常、5G终端业务行为状态异常以及与5G终端业务行为关联的数据等。

在本发明实施例中，可以将获取待检测网络数据之前和/或获取待检测网络数据之后的一段时间内的，与第一5G异常终端数据关联的通信网络中的数据作为待分析网络数据，进而将待分析网络数据与目标业务异常检测数据进行比对，确定目标业务异常检测结果。在确定目标业务异常检测结果为5G终端业务执行状态异常的情况下，根据待分析网络数据以及待检测网络数据确定与第一5G异常终端数据关联的第二5G异常终端数据。此时，根据待分析网络数据和待检测网络数据确定与第一5G异常终端数据关联的第二5G异常终端数据，相较于由待检测网络数据和目标业务异常检测数据确定第二5G异常终端数据，准确率更高，这是由于待分析网络数据相较于待检测网络数据更具普适性，当终端在一个较大的时间维度上均存在异常行为的情况下，5G终端为5G异常终端的概率也会很大，因此根据待分析网络数据以及待检测网络数据确定与第一5G异常终端数据关联的第二5G异常终端数据准确率更高。

在本发明的一个可选实施例中，在根据目标业务异常检测结果确定与第一5G异常终端数据关联的第二5G异常终端数据之后，还可以包括：确定目标业务异常检测结果中的目标异常特征数据；根据目标异常特征数据更新样本数据库中的异常向量数据。

其中，目标异常特征数据可以是在样本数据库中不存在，但存在于目标业务异常检测结果中的异常特征数据。

相应的，在根据目标业务异常检测结果确定5G终端业务行为异常的情况下，可以根据目标业务异常检测结果中与5G终端业务行为关联的数据确定5G终端业务异常行为特征，并将与5G终端业务行为关联的5G终端业务异常行为特征作为目标异常特征数据，进而将目标异常特征数据与样本数据库进行比对，如果样本数据库中不包括目标异常特征数据，则将目标异常特征数据存储至样本数据库中的异常向量数据。如果样本数据库中包括目标异常特征数据，则不对样本数据库中的异常向量数据进行更新。

可选的，在目标业务异常检测结果确定5G终端业务行为正常的情况下，可以根据目标业务异常检测结果中与5G终端业务行为关联的数据确定5G终端业务正常行为特征，进而将5G终端业务正常行为特征与样本数据库进行比对，如果样本数据库中不包括该正常行为特征，则将该正常行为特征存储至样本数据库中的正常向量数据，如果样本数据库中包括该正常行为特征，则不更新样本数据库中的正常向量数据。

S240、获取预警等级数据。

其中，预警等级数据表征预警等级高低次序的数据。

在本发明实施例中，可以根据通信行业的重要资产的等级，和/或业务的重要性确定预警等级数据。

示例性的，当根据通信行业的重要资产的等级确定预警等级数据时，5G终端的资产等级越高，与5G终端对应的预警等级越高，5G终端的资产等级越低，与5G终端对应的预警等级越低。

S250、根据预警等级数据以及与第一5G异常终端数据关联的第二5G异常终端数据确定安全响应数据。

其中，安全响应数据可以用于对与第二5G异常终端数据关联的5G异常终端进行处理，以保证5G终端能够正常完成网络行为以及业务行为。

在本发明实施例中，可以根据与第一5G异常终端数据关联的第二5G异常终端数据确定5G异常终端的类型，以及5G异常终端执行的业务类型，进而根据预警等级数据、5G异常终端的类型以及5G异常终端执行的业务类型确定安全响应数据。

S260、根据安全响应数据和第二5G异常终端数据处理5G目标异常终端。

其中，5G目标异常终端可以是与第二5G异常终端数据关联的，需要通过安全响应数据进行处理的5G终端。

在本发明实施例中，可以对第二5G异常终端数据解析，得到与第二5G异常终端数据关联的5G异常终端，并将与第二5G异常终端数据关联的5G异常终端作为5G目标异常终端，进而将安全响应数据发送至5G目标异常终端，以通过安全响应数据对5G目标异常终端进行处理。

在本发明的一个可选实施例中，根据安全响应数据和第二5G异常终端数据处理5G目标异常终端，可以包括：根据第二5G异常终端数据确定目标异常终端标识；根据目标异常终端标识将安全响应数据发送至5G目标异常终端。

其中，目标异常终端标识可以是目标异常终端的标识，用于区分不同的目标异常终端。安全响应数据可以包括拦截指令数据、阻断指令数据、扫描指令数据以及漏洞修复指令数据中的至少一种。拦截指令数据可以用于拦截对终端的异常操作行为。阻断指令数据用于阻断对终端的异常控制行为。扫描指令数据可以用于扫描暴露面资产。漏洞修复指令数据可以用于修复终端的漏洞。

在本发明实施例中，根据第二5G异常终端数据确定5G目标异常终端之后，可以进一步对第二5G异常终端数据进行解析，得到目标异常终端标识，进而按照目标异常终端标识将安全响应数据发送至5G目标异常终端，以使5G目标异常终端根据安全响应数据进行维护和修复处理。

在万物互联的新时代中，海量的终端面临着身份被盗用、数据被窃取/篡改以及黑客盗用等威胁。与此同时，5G时代众多功能的实现需要大量5G终端设备作为基础，在5G+千行百业应用中，将采用大量的感知层5G终端设备来获取信息(用户个人隐私、生产线数据以及企业产能数据等)，尤其MEC(Mobile Edge Computing，边缘计算)下沉到园区后，保证5G终端设备的安全性变的越来越重要，因此5G终端异常行为监测和及时预警也受到了大家的关注。

图3是本发明实施例二提供的一种基于5G终端安全的数据处理方法的流程示意图，如图3所示，可以通过5G网元接口采集流量数据(如用户业务、系统运行状态以及安全事件等数据)，进而通过5GC接口对网元接口采集的流量数据进行解析，得到流量数据解析结果，进而通过NAS解密或者HTTP2解压等技术对流量数据解析结果进行流量解析以及字段回填处理，得到信令面和用户面的DPI(Deep Packet Inspection，深度报文检测)话单，并将DPI话单作为待检测网络数据。在得到待检测网络数据之后，可以从运营商的运维经验数据中获取已知异常特征数据，并根据已知异常特征数据确定4类异常特征向量数据(如数据异常类、信令异常类、网络异常类以及基础业务异常类)，还可以从实时流量数据或离线数据中确定4类正常特征向量(如数据正常类、信令正常类、网络正常类以及基础业务正常类)，并将正常向量数据以及异常特征向量通过AI训练，共同构建异常特征筛选模型。基于异常特征筛选模型检测DPI话单中是否存在异常特征数据，在异常特征筛选模型检测出DPI话单中存在异常特征数据的情况下，可以将存在异常特征数据的DPI话单与周期性基线数据(目标业务异常检测数据)进行比对，如果与该DPI话单关联的5G终端的业务执行数据存在异常，则表明与该DPI话单关联的5G终端存在业务执行异常的状态，可以进一步根据AI技术以及内容识别技术对该5G终端前后一段时间的流量数据进行信令关联分析，进一步识别5G异常终端数据，以提升5G异常终端数据的识别准确率，减少误判。在异常特征筛选模型未检测出DPI话单中存在异常特征数据的情况下，返回执行通过5G网元接口采集流量数据的操作。其中，周期性基线数据可以通过周期性的基线AI学习获得，基线可以表示在不同业务场景中定义的检测异常行为的指标。基线可以包括但不限于流量、接入频次、开机、关机、数据、低价接入以及信令等。

以图3为例进行继续说明，在确定5G终端存在网络行为异常以及业务执行异常的情况下，可以根据业务重要性，行为异常的危害性以及影响范围的大小进行综合评价确定该5G终端的预警等级数据，并确定该5G终端的安全响应数据，进而向5G终端发送安全响应数据，如5G终端存在SSH(Secure SHell，安全外壳协议)异常登录的情况下，向5G终端发送拦截指令数据。5G终端成为失陷资产的情况下，向5G终端发送阻断指令数据。在5G终端为暴露面资产的情况下，向5G终端发送扫描指令数据。在5G终端存在漏洞时，向5G终端发送漏洞修复指令数据，以针对5G终端出现的不同行为异常，向5G终端发送具有针对性的指令。安全响应数据还可以用于预防Github(面向开源及私有软件项目的托管平台)敏感信息泄露、WAF(网站应用级入侵防御系统)攻击以及员工邮箱被暴力破解等。需要说明的是，安全响应数据可以由技术人员发送至终端，也可以通过数据管理后台(存储有安全响应数据的，能够进行数据分析处理的数据后台)向5G终端发送。在确定5G终端存在网络行为异常以及业务执行异常的情况下，也即在向5G终端发送安全响应数据之后，还可以确定与该5G终端关联的异常特征数据，如果已知异常特征数据不包括与该5G终端关联的异常特征数据，则将该5G终端关联的异常特征数据更新至已知异常特征数据，从而根据更新的已知异常特征数据训练异常特征筛选模型，并返回执行通过5G网元接口采集流量数据的操作。

其中，5GC接口可以通过NGAP协议对N1接口和N2接口的流量数据进行解码和输出，通过HTTP2协议对N3接口、N4接口、N6接口、N5接口、N7接口、N8接口、N10接口、N11接口、N12接口、N14接口、N15接口、N16接口、N20接口、N21接口、N22接口、N24接口、N28接口以及N40接口的流量数据进行解码和输出，通过PFCP协议对N4接口的流量数据进行解码和输出，通过GTPV2协议对N26接口的流量数据进行解码和输出，通过TCP/IP协议对N6接口的流量数据进行解码和输出。

通过本方案的基于5G终端安全的数据处理方法能够从网络异常、信令异常、基础业务异常以及数据异常四个方面对存在网络异常行为的5G物联网终端的终端异常数据进行识别，发现终端临时身份被盗用、数据被窃取/篡改、终端时延突增、终端速率突降、终端链接失败、终端疑似被控、数据不明文传输、数据异常以及数据跨境等行为，还能够针对具体的业务场景结合智能AI技术，实现对异常终端的处理，从而提升异常终端的预警水平，实现自动化或半自动化的应急响应，以提升应急处置数据。

本发明实施例通过获取待检测网络数据以及目标业务异常检测数据，进而根据待检测网络数据确定第一5G异常终端数据，从而根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据，进一步获取预警等级数据，并根据预警等级数据以及与第一5G异常终端数据关联的第二5G异常终端数据确定安全响应数据，进而根据安全响应数据和第二5G异常终端数据处理5G目标异常终端。在本方案中，利用待检测网络数据可以对5G异常终端数据进行初次识别，得到第一5G异常终端数据，而根据第一5G异常终端数据和目标业务异常检测数据可以实现在具体业务场景下对5G异常终端数据的进一步识别，得到在业务场景中的5G异常终端数据，解决了现有技术中5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求的问题，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

需要说明的是，以上各实施例中各技术特征之间的任意排列组合也属于本发明的保护范围。

实施例三

图4是本发明实施例三提供的一种基于5G终端安全的数据处理装置的示意图，如图4所示，所述装置包括：数据获取模块310、第一异常终端数据确定模块320以及第二异常终端数据确定模块330，其中：

数据获取模块310，用于获取待检测网络数据以及目标业务异常检测数据；

第一异常终端数据确定模块320，用于根据待检测网络数据确定第一5G异常终端数据；

第二异常终端数据确定模块330，用于根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

本发明实施例通过获取待检测网络数据以及目标业务异常检测数据，进而根据待检测网络数据确定第一5G异常终端数据，进一步根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。在本方案中，利用待检测网络数据可以对5G异常终端数据进行初次识别，得到第一5G异常终端数据，而根据第一5G异常终端数据和目标业务异常检测数据可以实现在具体业务场景下对5G异常终端数据的进一步识别，得到在业务场景中的5G异常终端数据，解决了现有技术中5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求的问题，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

可选的，所述基于5G终端安全的数据处理装置还包括模型训练模块，用于根据样本数据库确定异常向量数据以及正常向量数据；根据所述异常向量数据以及所述正常向量数据训练异常特征筛选模型；所述异常特征筛选模型用于筛选异常特征数据；其中，所述异常特征筛选模型包括数据异常筛选模型、网络异常筛选模型、信令异常筛选模型以及基础业务异常筛选模型中的至少一种；所述数据异常筛选模型用于筛选跨境特征数据、外传特征数据、数据库异常操作特征数据以及异常关注特征数据中的至少一种；所述信令异常筛选模型用于筛选反复接入网络的异常终端特征数据、反复开机的异常终端特征数据、资源浪费的异常终端特征数据、存在信令攻击的异常终端特征数据以及反复低价接入的异常终端特征数据中的至少一种；所述网络异常筛选模型用于筛选基础网络攻击特征数据、网络探测行为特征数据、异常自主网络行为特征数据以及高级威胁攻击特征数据中的至少一种；所述基础业务异常筛选模型用于筛选终端访问量异常特征数据、终端访问地址异常特征数据、终端流量异常特征数据以及基础业务指标异常特征数据。

可选的，第一异常终端数据确定模块320具体用于：将所述待检测网络数据输入至所述异常特征筛选模型，并根据所述异常特征筛选模型的输出结果确定所述待检测网络数据存在的异常特征数据；根据所述待检测网络数据的异常特征数据确定所述第一5G异常终端数据。

可选的，第二异常终端数据确定模块330具体用于：获取与所述第一5G异常终端数据关联的待分析网络数据；将所述待分析网络数据与所述目标业务异常检测数据进行关联分析，得到目标业务异常检测结果；根据所述目标业务异常检测结果确定与所述第一5G异常终端数据关联的第二5G异常终端数据。

可选的，所述基于5G终端安全的数据处理装置还包括数据更新模块，用于确定所述目标业务异常检测结果中的目标异常特征数据；根据所述目标异常特征数据更新所述样本数据库中的异常向量数据。

可选的，所述基于5G终端安全的数据处理装置还包括安全响应数据确定模块，用于获取预警等级数据；根据所述预警等级数据以及与所述第一5G异常终端数据关联的第二5G异常终端数据确定安全响应数据；根据所述安全响应数据和所述第二5G异常终端数据处理5G目标异常终端。

可选的，所述安全响应数据确定模块具体用于：根据所述第二5G异常终端数据确定目标异常终端标识；根据所述目标异常终端标识将所述安全响应数据发送至所述5G目标异常终端；其中，安全响应数据包括拦截指令数据、阻断指令数据、扫描指令数据以及漏洞修复指令数据中的至少一种。

上述基于5G终端安全的数据处理装置可执行本发明任意实施例所提供的基于5G终端安全的数据处理方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明任意实施例提供的基于5G终端安全的数据处理方法。

由于上述所介绍的基于5G终端安全的数据处理装置为可以执行本发明实施例中的基于5G终端安全的数据处理方法的装置，故而基于本发明实施例中所介绍的基于5G终端安全的数据处理方法，本领域所属技术人员能够了解本实施例的基于5G终端安全的数据处理装置的具体实施方式以及其各种变化形式，所以在此对于该基于5G终端安全的数据处理装置如何实现本发明实施例中的基于5G终端安全的数据处理方法不再详细介绍。只要本领域所属技术人员实施本发明实施例中基于5G终端安全的数据处理方法所采用的装置，都属于本申请所欲保护的范围。

实施例四

图5为本发明实施例四提供的一种电子设备的结构示意图。图5示出了适于用来实现本发明实施方式的电子设备412的框图。图5显示的电子设备412仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。电子设备412例如可以是计算机设备或服务器设备等。

如图5所示，电子设备412以通用计算设备的形式表现。电子设备412的组件可以包括但不限于：一个或者多个处理器416，存储装置428，连接不同系统组件(包括存储装置428和处理器416)的总线418。

总线418表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(Industry StandardArchitecture，ISA)总线，微通道体系结构(Micro Channel Architecture，MCA)总线，增强型ISA总线、视频电子标准协会(Video Electronics Standards Association，VESA)局域总线以及外围组件互连(Peripheral Component Interconnect，PCI)总线。

电子设备412典型地包括多种计算机系统可读介质。这些介质可以是任何能够被电子设备412访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

存储装置428可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(Random Access Memory，RAM)430和/或高速缓存存储器432。电子设备412可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统434可以用于读写不可移动的、非易失性磁介质(图5未显示，通常称为“硬盘驱动器”)。尽管图5中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如只读光盘(Compact Disc-Read Only Memory，CD-ROM)、数字视盘(Digital Video Disc-Read Only Memory，DVD-ROM)或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线418相连。存储装置428可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块426的程序436，可以存储在例如存储装置428中，这样的程序模块426包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块426通常执行本发明所描述的实施例中的功能和/或方法。

电子设备412也可以与一个或多个外部设备414(例如键盘、指向设备、摄像头、显示器424等)通信，还可与一个或者多个使得用户能与该电子设备412交互的设备通信，和/或与使得该电子设备412能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(Input/Output，I/O)接口422进行。并且，电子设备412还可以通过网络适配器420与一个或者多个网络(例如局域网(Local AreaNetwork，LAN)，广域网Wide Area Network，WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器420通过总线418与电子设备412的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备412使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、磁盘阵列(Redundant Arrays of IndependentDisks，RAID)系统、磁带驱动器以及数据备份存储系统等。

处理器416通过运行存储在存储装置428中的程序，从而执行各种功能应用以及数据处理，例如实现本发明上述实施例所提供的基于5G终端安全的数据处理方法：获取待检测网络数据以及目标业务异常检测数据；根据待检测网络数据确定第一5G异常终端数据；根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

本发明实施例通过获取待检测网络数据以及目标业务异常检测数据，进而根据待检测网络数据确定第一5G异常终端数据，进一步根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。在本方案中，利用待检测网络数据可以对5G异常终端数据进行初次识别，得到第一5G异常终端数据，而根据第一5G异常终端数据和目标业务异常检测数据可以实现在具体业务场景下对5G异常终端数据的进一步识别，得到在业务场景中的5G异常终端数据，解决了现有技术中5G异常终端数据的确定方法存在识别维度较少，无法满足个性化的5G异常终端数据的识别需求的问题，能够提升5G异常终端数据的识别维度，满足个性化的5G异常终端数据的识别需求。

实施例五

本发明实施例五还提供一种存储计算机程序的计算机存储介质，所述计算机程序在由计算机处理器执行时用于执行本发明上述实施例任一所述的基于5G终端安全的数据处理方法：获取待检测网络数据以及目标业务异常检测数据；根据待检测网络数据确定第一5G异常终端数据；根据第一5G异常终端数据和目标业务异常检测数据确定与第一5G异常终端数据关联的第二5G异常终端数据。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ReadOnly Memory，ROM)、可擦式可编程只读存储器((Erasable Programmable Read OnlyMemory，EPROM)或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、射频(Radio Frequency，RF)等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种基于5G终端安全的数据处理方法，其特征在于，包括：

获取待检测网络数据以及目标业务异常检测数据；

根据所述待检测网络数据确定第一5G异常终端数据；

根据所述第一5G异常终端数据和所述目标业务异常检测数据确定与所述第一5G异常终端数据关联的第二5G异常终端数据。

2.根据权利要求1所述的方法，其特征在于，在所述获取待检测网络数据以及目标业务异常检测数据之前，还包括：

根据样本数据库确定异常向量数据以及正常向量数据；

根据所述异常向量数据以及所述正常向量数据训练异常特征筛选模型；

所述异常特征筛选模型用于筛选异常特征数据；

其中，所述异常特征筛选模型包括数据异常筛选模型、网络异常筛选模型、信令异常筛选模型以及基础业务异常筛选模型中的至少一种；

所述数据异常筛选模型用于筛选跨境特征数据、外传特征数据、数据库异常操作特征数据以及异常关注特征数据中的至少一种；

所述信令异常筛选模型用于筛选反复接入网络的异常终端特征数据、反复开机的异常终端特征数据、资源浪费的异常终端特征数据、存在信令攻击的异常终端特征数据以及反复低价接入的异常终端特征数据中的至少一种；

所述网络异常筛选模型用于筛选基础网络攻击特征数据、网络探测行为特征数据、异常自主网络行为特征数据以及高级威胁攻击特征数据中的至少一种；

所述基础业务异常筛选模型用于筛选终端访问量异常特征数据、终端访问地址异常特征数据、终端流量异常特征数据以及基础业务指标异常特征数据。

3.根据权利要求2所述的方法，其特征在于，所述根据所述待检测网络数据确定第一5G异常终端数据，包括：

将所述待检测网络数据输入至所述异常特征筛选模型，并根据所述异常特征筛选模型的输出结果确定所述待检测网络数据存在的异常特征数据；

根据所述待检测网络数据的异常特征数据确定所述第一5G异常终端数据。

4.根据权利要求3所述的方法，其特征在于，所述根据所述第一5G异常终端数据和所述目标业务异常检测数据确定与所述第一5G异常终端数据关联的第二5G异常终端数据，包括：

获取与所述第一5G异常终端数据关联的待分析网络数据；

将所述待分析网络数据与所述目标业务异常检测数据进行关联分析，得到目标业务异常检测结果；

根据所述目标业务异常检测结果确定与所述第一5G异常终端数据关联的第二5G异常终端数据。

5.根据权利要求4所述的方法，其特征在于，在所述根据所述目标业务异常检测结果确定与所述第一5G异常终端数据关联的第二5G异常终端数据之后，还包括：

确定所述目标业务异常检测结果中的目标异常特征数据；

根据所述目标异常特征数据更新所述样本数据库中的异常向量数据。

6.根据权利要求4所述的方法，其特征在于，在所述根据所述目标业务异常检测结果确定与所述第一5G异常终端数据关联的第二5G异常终端数据之后，还包括：

获取预警等级数据；

根据所述预警等级数据以及与所述第一5G异常终端数据关联的第二5G异常终端数据确定安全响应数据；

根据所述安全响应数据和所述第二5G异常终端数据处理5G目标异常终端。

7.根据权利要求6所述的方法，其特征在于，所述根据所述安全响应数据和所述第二5G异常终端数据处理5G目标异常终端，包括：

根据所述第二5G异常终端数据确定目标异常终端标识；

根据所述目标异常终端标识将所述安全响应数据发送至所述5G目标异常终端；

其中，安全响应数据包括拦截指令数据、阻断指令数据、扫描指令数据以及漏洞修复指令数据中的至少一种。

8.一种基于5G终端安全的数据处理装置，其特征在于，包括：

数据获取模块，用于获取待检测网络数据以及目标业务异常检测数据；

第一异常终端数据确定模块，用于根据所述待检测网络数据确定第一5G异常终端数据；

第二异常终端数据确定模块，用于根据所述第一5G异常终端数据和所述目标业务异常检测数据确定与所述第一5G异常终端数据关联的第二5G异常终端数据。

9.一种电子设备，其特征在于，所述电子设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的基于5G终端安全的数据处理方法。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一所述的基于5G终端安全的数据处理方法。

Images