CN117041073B

CN117041073B - 网络行为预测方法、系统、设备及存储介质

Info

Publication number: CN117041073B
Application number: CN202311139277.8A
Authority: CN
Inventors: 邹凯; 陈凯枫; 顾颂斐; 李子阳
Original assignee: Guangzhou Trustmo Information System Co ltd
Current assignee: Guangzhou Trustmo Information System Co ltd
Priority date: 2023-09-05
Filing date: 2023-09-05
Publication date: 2024-05-28
Anticipated expiration: 2043-09-05
Also published as: CN117041073A

Abstract

本实施例公开了一种网络行为预测方法、系统、设备及存储介质。其中，该方法包括：获取历史网络设备的历史流量数据中的历史网络行为序列；对历史网络行为序列进行子序列构造，得到历史网络行为子序列；将历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型；基于训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测。该方法能够对大量的流量序列数据的拆分，并将拆分后的序列数据压缩到分支树模型中，最终得到流量序列数据的预测结果，节省了模型的存储空间和运算时间耗费的资源，降低了模型的训练耗时和复杂度。

Description

网络行为预测方法、系统、设备及存储介质

技术领域

本公开涉及网络安全技术领域，尤其涉及一种网络行为预测方法、系统、设备及存储介质。

背景技术

在日常的网络活动中，尤其是专有网络中，网络设备的网络行为是最常见的网络活动行为之一，由此在专网内产生大量的网络流量。通过对专有网络中的网络设备，尤其是需要重点关注、监控的网络设备，能够预测到它下一个可能出现的网络行为，对于网络安全运维分析有着重要意义，例如，可以进行异常网络行为分析等相关数据分析任务。网络设备的网络行为可以通过流量数据获取。一个网络设备发生的网络行为，可以形成一条网络行为序列，对该序列进行预测的问题可以转化为状态序列预测问题。

相关技术中，基于马尔科夫链模型根据载具的历史数据进行预测；或者是，将待预测的数据输入到多个不同的模型后，分别使用该多个模型计算出多个不确定参数和权重最后再进行加权，相关技术的模型结构复杂、模型较多且模型训练耗时长，需要计算的数据量较多且复杂，并且，网络设备行为的序列长度更长同时具有不同长度的序列，状态空间更大，因此需要耗费的存储空间和运算时长等资源较多。

发明内容

有鉴于此，本公开实施例提供了一种网络行为预测方法、系统、设备及存储介质，能够针对网络设备的网络行为的历史流量数据提取网络行为的历史网络行为序列后，进行模型构造和训练以生成基于分支树结构的训练好的行为预测模型，利用特有的分支结构和基于统计的预测方法，对待预测的目标网络设备的流量序列数据的下一个状态数据进行预测。从而实现了对大量的流量序列数据的拆分，并将拆分后的序列数据压缩到分支树模型中，最终得到流量序列数据的预测结果，节省了模型的存储空间和运算时间耗费的资源，降低了模型的训练耗时和复杂度。

第一方面，本公开实施例提供了一种网络行为预测方法，采用如下技术方案：

获取历史网络设备的历史流量数据中的历史网络行为序列；

对所述历史网络行为序列进行子序列构造，得到历史网络行为子序列；

将所述历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型；

基于所述训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测。

在一些实施例中，获取历史网络设备的历史流量数据中的历史网络行为序列，包括：

将所述历史网络设备的历史流量数据进行类别划分，以得到各个类别的分类数据；

对所述各个类别的分类数据进行数据预处理，以得到若干个所述历史网络行为序列。

在一些实施例中，对所述历史网络行为序列进行子序列构造，得到历史网络行为子序列，包括：

当所述历史网络行为序列的总长度小于预设长度阈值时，固定设置每次移动所述滑动窗口时所述历史网络行为子序列的子序列特征；

当所述历史网络行为序列的总长度大于或等于预设长度阈值时，随机设置每次移动所述滑动窗口时所述历史网络行为子序列的子序列特征；

根据固定设置或随机设置的所述子序列特征移动所述滑动窗口，构造若干条所述历史网络行为子序列；

其中，所述子序列特征包括所述历史网络行为子序列的滑动窗口大小和子序列长度。

在一些实施例中，将所述历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型，包括：

创建所述初始的行为预测模型的分支树结构的根节点；

从所述根节点开始，依次将第一条所述历史网络行为子序列的每一个元素添加到所述分支树结构中，生成多个叶子节点；

将第一条所述历史网络行为子序列的每一个元素插入到所述分支树结构的同时生成倒排索引表和序列查找表；

获取所述初始的行为预测模型输出的预测结果；

当所述预测结果与所述历史网络设备的历史预测结果的相似度大于或等于预设的相似度阈值时，确定所述初始的行为预测模型训练成功，得到所述训练好的行为预测模型；

当所述预测结果与所述历史网络设备的历史预测结果的相似度小于设的相似度阈值时，通过调整所述初始的行为预测模型的参数继续进行模型训练，直至得到所述训练好的行为预测模型。

在一些实施例中，从所述根节点开始，依次将第一条所述历史网络行为子序列的每一个元素添加到所述分支树结构中，生成多个叶子节点，包括：

将第一条所述历史网络行为子序列的第一个元素作为所述分支树结构的第一个子节点插入到所述根节点下；

将第一条所述历史网络行为子序列的第二个元素作为所述分支树结构的第二个子节点插入到所述第一个子节点下，直至添加完第一条所述历史网络行为子序列的全部元素；

当第二条所述历史网络行为子序列的第一个元素不是所述根节点的子节点时，将第二条所述历史网络行为子序列的第一个元素作为新的子节点添加到所述根节点下；

当第二条所述历史网络行为子序列的第一个元素是所述根节点的子节点时，继续判断第二条所述历史网络行为子序列的第二个元素是否已添加至所述根节点下，直至将每一条所述历史网络行为子序列的每一个元素作为叶子节点全部添加至所述分支树结构中。

在一些实施例中，基于所述训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测，包括：

获取待预测的所述目标网络设备的待测数据集中的每一条目标待预测序列；

基于所述倒排索引表和序列查找表，查找与每一条所述目标待预测序列相对应的相似序列；

将每一条所述相似序列中首次出现的与所述目标待预测序列的最后一个元素相同的相似元素之后的序列作为后续序列；

将每一条所述后续序列去掉与所述目标待预测序列相同的元素之后的剩余元素作为候选预测元素，以得到包含若干个候选预测元素的候选预测数据集；

基于所述候选预测数据集中若干个候选预测元素的预测分数，筛选出预测分数较高的所述候选预测元素作为目标预测结果。

在一些实施例中，基于所述候选预测数据集中若干个候选预测元素的预测分数，筛选出预测分数较高的所述候选预测元素作为目标预测结果，采用以下计算公式：

其中，S_i为第i个候选预测元素的预测分数；P_i为第i个候选预测元素在全部的相似序列中出现在目标待预测序列的最后一个元素前的总次数；Q_i为第i个候选预测元素在全部的相似序列中出现的总次数；j_im为第i个候选预测元素在M条相似序列的第m条相似序列中，出现在目标待预测序列的后续序列的第j_im个位置；

选择预测分数较高的所述候选预测元素作为目标预测结果；

当预测分数较高的至少两个所述候选预测元素的预测分数相同时，分别计算预测分数较高的至少两个所述候选预测元素在全部的相似序列中出现的总次数与所述候选预测元素在构造所述训练好的行为预测模型的全部子序列中出现的总次数，得到每一个预测分数较高的所述候选预测元素的置信度：

选择置信度较高的所述候选预测元素作为目标预测结果。

第二方面，本公开实施例还提供了一种网络行为预测装置，采用如下技术方案：

获取单元，被配置为获取历史网络设备的历史流量数据中的历史网络行为序列；

子序列构造单元，被配置为对所述历史网络行为序列进行子序列构造，得到历史网络行为子序列；

输入单元，被配置为将所述历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型；

预测单元，被配置为基于所述训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测。

第三方面，本公开实施例还提供了一种电子设备，采用如下技术方案：

所述电子设备包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行以上任一所述的网络行为预测方法。

第四方面，本公开实施例还提供了一种计算机可读存储介质，该计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行以上任一所述的网络行为预测方法。

本公开实施例提供的一种网络行为预测方法，能够针对网络设备的网络行为的历史流量数据提取网络行为的历史网络行为序列后，进行模型构造和训练以生成基于分支树结构的训练好的行为预测模型，利用特有的分支结构和基于统计的预测方法，对待预测的目标网络设备的流量序列数据的下一个状态数据进行预测。从而实现了对大量的流量序列数据的拆分，并将拆分后的序列数据压缩到分支树模型中，最终得到流量序列数据的预测结果，节省了模型的存储空间和运算时间耗费的资源，降低了模型的训练耗时和复杂度。

上述说明仅是本公开技术方案的概述，为了能更清楚了解本公开的技术手段，而可依照说明书的内容予以实施，并且为让本公开的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

为了更清楚地说明本公开实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本公开实施例提供的一种网络行为预测方法的流程示意图；

图2为本公开实施例提供的分支树结构及其终端节点的链接示意图；

图3为本公开实施例提供的一种网络行为预测装置的结构示意图；

图4为本公开实施例提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图对本公开实施例进行详细描述。

应当明确，以下通过特定的具体实例说明本公开的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本公开的其他优点与功效。显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。本公开还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本公开的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

需要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目各方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。

还需要说明的是，以下实施例中所提供的图示仅以示意方式说明本公开的基本构想，图式中仅显示与本公开中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

另外，在以下描述中，提供具体细节是为了便于透彻理解实例。然而，所属领域的技术人员将理解，可在没有这些特定细节的情况下实践所述方面。

图1为本公开实施例提供的一种网络行为预测方法的流程示意图，本公开实施例提供的一种网络行为预测方法，包括以下步骤：

S101、获取历史网络设备的历史流量数据中的历史网络行为序列。

历史网络设备可以为历史专网设备，同样的，以下实施例中描述的目标网络设备可以为目标专网设备。

S102、对历史网络行为序列进行子序列构造，得到历史网络行为子序列。

S103、将历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型。

S104、基于训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测。

将历史网络设备的历史流量数据进行类别划分，以得到各个类别的分类数据；

对各个类别的分类数据进行数据预处理，以得到若干个历史网络行为序列。

例如，历史流量数据可以采用历史专网设备的资产信息的流量会话数据，历史流量数据的种类可以为流量会话数据的应用类型，例如，采用SSH、rdp、mysql等应用软件，不同的应用软件用类别型变量表示，应用A代表SSH，应用B代表rdp等等，最后按照流量会话数据的发生时间先后顺序进行排列(即数据预处理)即可得到网络行为序列A，B，C，A，A等。

在一些实施例中，对历史网络行为序列进行子序列构造，得到历史网络行为子序列，包括：

当历史网络行为序列的总长度小于预设长度阈值时，固定设置每次移动滑动窗口时历史网络行为子序列的子序列特征；

当历史网络行为序列的总长度大于或等于预设长度阈值时，随机设置每次移动滑动窗口时历史网络行为子序列的子序列特征；

根据固定设置或随机设置的子序列特征移动滑动窗口，构造若干条历史网络行为子序列；

其中，子序列特征包括历史网络行为子序列的滑动窗口大小和子序列长度。

可选地，通过滑动窗口的方式，将按照时间顺序排列的历史网络行为序列构造出多条历史网络行为子序列，历史网络行为子序列的子序列特征包括子序列最小长度Lmin、子序列最大长度Lmax和滑动窗口大小W。

在实际应用过程中，用户可以根据实际数据量大小、计算机硬件条件或技术人员评估经验，合理选择滑动窗口构造的子序列的子序列特征，本公开实施例对此不做限定。

可选地，为了增加历史网络行为子序列的随机程度，在利用滑动窗口构造历史网络行为子序列的过程中，可以通过编程语言设置每一次移动滑动窗口时构造的历史网络行为子序列的子序列特征，即设置第i条历史网络行为子序列的滑动窗口大小Wi和历史网络行为子序列的子序列长度Li，其中，子序列长度Li大于或等于子序列最小长度Lmin，且小于子序列最大长度Lmax。

例如，当历史网络行为序列的总长度小于预设长度阈值(预设长度阈值可以取值为128)时，则固定设置每次移动滑动窗口时历史网络行为子序列的子序列长度为16，以及固定设置滑动窗口大小为1，构造子序列，以保证在构造历史网络行为子序列的过程中有足够的子序列样本用于建立模型和预测。

又如，当历史网络行为序列的总长度大于或等于预设长度阈值128时，可以在每一次移动滑动窗口前，进行三次随机长度的历史网络行为子序列的构造：第一次在8到16之间随机获取一个子序列长度构建历史网络行为子序列；第二次在16到24之间随机获取一个子序列长度构建历史网络行为子序列；第三次在24到32之间获取一个子序列长度构建历史网络行为子序列，当构造三次历史网络行为子序列后，再进行下一次的移动滑动窗口。即每一次移动滑动窗口，均获取三条长度随机的历史网络行为子序列作为训练数据，可以有效的丰富训练数据，在预测时能根据构造出的更丰富的随机样本，得到更高的预测准确率。

在一些实施例中，将历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型，包括：

创建初始的行为预测模型的分支树结构的根节点；

从根节点开始，依次将第一条历史网络行为子序列的每一个元素添加到分支树结构中，生成多个叶子节点；

将第一条历史网络行为子序列的每一个元素插入到分支树结构的同时生成倒排索引表和序列查找表；

获取初始的行为预测模型输出的预测结果；

当预测结果与历史网络设备的历史预测结果的相似度大于或等于预设的相似度阈值时，确定初始的行为预测模型训练成功，得到训练好的行为预测模型；

当预测结果与历史网络设备的历史预测结果的相似度小于设的相似度阈值时，通过调整初始的行为预测模型的参数继续进行模型训练，直至得到训练好的行为预测模型。

可选地，相似度阈值用于评估预测结果与历史网络设备的历史预测结果的相似度能力，用户可以根据实际业务需求进行设置，本公开实施例对此不做限定。

可选地，随着每一条历史网络行为子序列的插入，分支树结构将生成多个叶子节点，每个叶子节点都包含有以下三个数据元素：元素数据项，表示存储在该叶子节点中的实际数据项，即一条历史网络行为子序列中的一个元素数据项；子节点列表，表示该叶子节点的所有子节点的列表；父节点链接，表示指向该叶子节点的父节点的链接。在基于分支树结构的初始的行为预测模型的构造过程中，将所有的历史网络行为子序列压缩成分支树的形式，一条历史网络行为子序列在分支树结构中可以表现为从根节点的第一个子节点开始的一条完整分支或者部分分支。

在一些实施例中，从根节点开始，依次将第一条历史网络行为子序列的每一个元素添加到分支树结构中，生成多个叶子节点，包括：

将第一条历史网络行为子序列的第一个元素作为分支树结构的第一个子节点插入到根节点下；

将第一条历史网络行为子序列的第二个元素作为分支树结构的第二个子节点插入到第一个子节点下，直至添加完第一条历史网络行为子序列的全部元素；

当第二条历史网络行为子序列的第一个元素不是根节点的子节点时，将第二条历史网络行为子序列的第一个元素作为新的子节点添加到根节点下；

当第二条历史网络行为子序列的第一个元素是根节点的子节点时，继续判断第二条历史网络行为子序列的第二个元素是否已添加至根节点下，直至将每一条历史网络行为子序列的每一个元素作为叶子节点全部添加至分支树结构中。

可选地，创建分支树结构的根节点，该根节点没有数据元素项，没有父节点链接，有一个目前为空列表的子节点列表。例如，样本数据集包含5条历史网络行为子序列：子序列1(A，B，C)；子序列2(A，B，D)；子序列3(A，B，E)；子序列4(B，C，F)；子序列5(B，C，A，B)。将子序列1插入到分支树结构时，首先判断子序列1的第一个元素A是否为根节点的子节点，如果不是，则将子序列1的第一个元素A添加到根节点的子列表中，并在包含子序列1的倒排索引表中添加一个元素为A的条目，然后将当前节点移到节点A。判断子序列1的第二个元素B是否为当前节点(即节点A)的子节点，如果不是，则将子序列1的第二个元素B添加到节点A的子列表中，并在包含子序列1的倒排索引表中添加一个元素为B的条目，然后将当前节点移到节点B；重复以上步骤，直至将子序列1的最后一元素C添加到节点B的子列表中，并在包含子序列1的倒排索引表中添加一个元素为C的条目。最后，将子序列1的最后一个节点C添加到序列查找表中，得到序列查找表＝{'序列1':节点C}。然后依次将子序列2(A，B，D)、子序列3(A，B，E)、子序列4(B，C，F)和子序列5(B，C，A，B)插入到分支树结构中。

图2为本公开实施例提供的分支树结构及其终端节点的链接示意图，基于如图2所示的链接示意图生成表一所示的倒排索引表。倒排索引表是为了更快更方便地找出对于指定的一个元素，该元素出现在哪些子序列中。因此，在预测过程中，倒排索引表可以用于查找包含一组元素的所有子序列，倒排索引表的关键字为所有子序列中出现过的元素(即数据项)，每一列对应训练样本中的所有子序列，数据项和列对应的值用二进制0或1来表示，如果这一行的数据项在一个子序列中出现了，则将其值设置为1，如果这一行的数据项没有在一个子序列中出现，则将其值设置为0。如果训练数据集中有N个不重复的子序列，则倒排索引表中就有N列，每一列对应一个子序列。

表一、倒排索引表

数据项	子序列1	子序列2	子序列3	子序列4	子序列5
						A	1	1	1	0	1
B	1	1	1	1	1
						C	1	0	0	1	1
D	0	1	0	0	0
						E	0	0	1	0	0
F	0	0	0	1	0

可选地，除了如表一所示的表格形式外，在实际的编码过程中，倒排索引表的数据结构可以选择编程语言中常见的字典数据结构来实现，其中字典的关键字是训练数据集中的子序列的元素，值是该元素出现的序列的集合。上述倒排索引表可以用字典形式表示为：

倒排索引表＝{

'A'：{'子序列1'，'子序列2'，'子序列3'，'子序列5'}，

'B'：{'子序列1'，'子序列2'，'子序列3'，'子序列4'，'子序列5'}，

'C'：{'子序列1'，'子序列4'，'子序列5'}，

'D'：{'子序列2'}，

'E'：{'子序列3'}，

'F'：{'子序列4'}

}。

基于如图2所示的链接示意图可知，子序列1的终端节点为节点C，子序列2的终端节点为节点D，子序列3的终端节点为节点E，子序列4的终端节点为节点F，子序列5的终端节点为节点B，则生成的序列查找表＝{'子序列1':节点C，'子序列2':节点D，'子序列3':节点E，'子序列4':节点F，'子序列5':节点B}。根据序列查找表，子序列1的值为节点C，通过分支树结构可知这个节点C存储了它的父节点(节点B)，节点B也存储了它的父节点(节点A)，最终就可以得到子序列1的行为时间序列为A，B，C。

在一些实施例中，基于训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测，包括：

获取待预测的目标网络设备的待测数据集中的每一条目标待预测序列；

基于倒排索引表和序列查找表，查找与每一条目标待预测序列相对应的相似序列；

将每一条相似序列中首次出现的与目标待预测序列的最后一个元素相同的相似元素之后的序列作为后续序列；

将每一条后续序列去掉与目标待预测序列相同的元素之后的剩余元素作为候选预测元素，以得到包含若干个候选预测元素的候选预测数据集；

基于候选预测数据集中若干个候选预测元素的预测分数，筛选出预测分数较高的候选预测元素作为目标预测结果。

本公开实施例对测试数据集或其它待预测的目标网络设备的待测数据集中的每个待预测序列进行预测：对一条序列的下一个可能出现的网络行为做出预测。利用倒排索引表查找与每一条目标待预测序列相对应的相似序列，包括；如果待预测序列的序列总长度S大于或等于构造的子序列最大长度Lmax，则将待预测序列的最后Lmax个元素作为目标待预测序列；如果序列总长度S小于构造的子序列最小长度Lmax，则将完整的待预测序列作为目标待预测序列。

可选地，基于倒排索引表查找到目标待预测序列中的所有唯一的元素，即对目标待预测序列的元素进行去重即可。例如，目标待预测序列为[‘A’,’B’,’C’,’A’]，去重后的所有唯一元素为[‘A’,’B’,’C’]。查找存在特定唯一元素的子序列ID集，在倒排索引表中找出所有包含‘A’、’B’和’C’这三个元素的所有子序列及其ID。由于在倒排索引表中未记录元素出现的先后顺序，因此通过倒排索引表找出包含目标待预测序列的所有元素的相似序列的ID。根据相似序列的ID，通过构造的序列查找表，在构造好的分支树结构中找到相应的子序列数据，作为最终的相似序列。

可选地，将每一条相似序列中首次出现的与目标待预测序列的最后一个元素相同的相似元素之后的序列作为后续序列，例如，目标待预测序列＝['A'，'B'，'C']，其中一条相似序列＝['X'，'A'，'Y'，'B'，'C'，'E'，'A'，'F']，目标待预测序列的最后一个元素(即终端数据项)为C，在相似序列中在首次出现与目标待预测序列的最后一个元素相同的元素C后，相似序列的后续序列为['E'，'A'，'F']，将后续序列中与目标待预测序列重复的节点A，得到的剩余元素'E'和'F'为候选预测元素。

在一些实施例中，基于候选预测数据集中若干个候选预测元素的预测分数，筛选出预测分数较高的候选预测元素作为目标预测结果，采用以下计算公式：

选择预测分数较高的候选预测元素作为目标预测结果；

当预测分数较高的至少两个候选预测元素的预测分数相同时，分别计算预测分数较高的至少两个候选预测元素在全部的相似序列中出现的总次数与候选预测元素在构造训练好的行为预测模型的全部子序列中出现的总次数，得到每一个预测分数较高的候选预测元素的置信度：

选择置信度较高的候选预测元素作为目标预测结果。

例如，目标待预测序列＝['A'，'B'，'C']，其中一条相似序列＝['X'，'A'，'Y'，'B'，'C'，'E'，'A'，'F']，候选预测元素为E，目标待预测序列的终端数据项(最后一个元素)为C，在当前这条相似序列中，元素E出现在终端数据项C后的第1个位置，则当前j_im的取值为1；如果在另一条相似序列＝['X'，'A'，'Y'，'B'，'C'，'F，'A'，'E']，因为元素E在终端数据项C后的第3个位置，则此时j_im的取值为3。并且，如果候选预测元素相对越靠近目标序列的最后一个元素，则该候选预测元素的预测分数相对更高。

可选地，置信度的计算公式为其中，C_i为第i个候选预测元素的置信度；Q_i为第i个候选预测元素在所有相似序列中出现的总次数；T_i为第i个候选预测元素在构造训练好的行为预测模型的全部子序列中出现的总次数。通常情况下，筛选出预测分数S_i最高的候选预测元素作为最终的目标预测结果。如果存在预测分数S_i相同的候选预测元素，则通过比较候选预测元素的置信度C_i的大小，选择置信度较大的候选预测元素作为最终的目标预测结果。

本公开实施例通过将采集的历史网络设备的历史流量数据中的历史网络行为序列，构造子序列和训练一个分支树模型，并对需要预测的待预测的目标网络设备进行网络行为分析和网络行为预测。在对网络资产的历史网络行为序列进行处理的过程中，对历史网络行为序列进行子序列构造，使用滑动窗口的方式，构造出多条历史网络行为子序列，历史网络行为子序列的相关参数包括子序列最小长度Lmin、子序列最大长度Lmax和滑动窗口大小W，这些参数可以根据实际数据情况进行灵活调整。并且，在构造子序列过程中，使用特定的随机采样和构造方式，丰富子序列数据，创造出更多训练数据，可提高最终模型的预测准确率。

本公开实施例在训练分支树模型过程中，构造分支树结构，该结构可以有效压缩训练数据，减少数据所占用的存储空间。在训练分支树模型的过程中构造倒排索引表，倒排索引表可以方便查询每一条历史网络行为序列包含了哪些唯一的元素，在后续的预测过程中，方便搜索出所需要的相似序列。本公开实施例在训练分支树模型的过程中，将训练样本的子序列以指针的方式指向该子序列的最后一个元素，获得序列查找表。在后续的预测过程中，可以通过序列查找表，找到经过筛选后的原始序列在分支树结构中的位置，即可找回原始序列数据和排序方式。

本公开实施例的分支树模型在预测过程中，计算候选预测元素的预测分数，预测分数的计算公式考虑了候选预测元素出现的次数、距离目标待预测序列的最后一个元素的相对位置远近以及在总体相似序列中出现的频数。通常情况下选择预测分数最高的候选预测元素作为目标待预测序列的目标预测结果。并且，可以计算候选预测元素的置信度，并选择置信度较高的候选预测元素作为最终的目标预测结果。

图3为本公开实施例提供的一种网络行为预测装置的结构示意图，本公开实施例还提供了一种网络行为预测装置，包括：

获取单元31，被配置为获取历史网络设备的历史流量数据中的历史网络行为序列；

子序列构造单元32，被配置为对历史网络行为序列进行子序列构造，得到历史网络行为子序列；

输入单元33，被配置为将历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型；

预测单元34，被配置为基于训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测。

根据本公开实施例的电子设备包括存储器和处理器。该存储器用于存储非暂时性计算机可读指令。具体地，存储器可以包括一个或多个计算机程序产品，该计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。该易失性存储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。该非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。

该处理器可以是中央处理单元(CPU)或者具有数据处理能力和/或指令执行能力的其它形式的处理单元，并且可以控制电子设备中的其它组件以执行期望的功能。在本公开的一个实施例中，该处理器用于运行该存储器中存储的该计算机可读指令，使得该电子设备执行前述的本公开各实施例的网络行为预测方法全部或部分步骤。

本领域技术人员应能理解，为了解决如何获得良好用户体验效果的技术问题，本实施例中也可以包括诸如通信总线、接口等公知的结构，这些公知的结构也应包含在本公开的保护范围之内。

如图4为本公开实施例提供的一种电子设备的结构示意图。其示出了适于用来实现本公开实施例中的电子设备的结构示意图。图4示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图4所示，电子设备可以包括处理器(例如中央处理器、图形处理器等)，其可以根据存储在只读存储器(ROM)中的程序或者从存储装置加载到随机访问存储器(RAM)中的程序而执行各种适当的动作和处理。在RAM中，还存储有电子设备操作所需的各种程序和数据。处理器、ROM以及RAM通过总线彼此相连。输入/输出(I/O)接口也连接至总线。

通常，以下装置可以连接至I/O接口：包括例如传感器或者视觉信息采集设备等的输入装置；包括例如显示屏等的输出装置；包括例如磁带、硬盘等的存储装置；以及通信装置。通信装置可以允许电子设备与其他设备(比如边缘计算设备)进行无线或有线通信以交换数据。虽然图4示出了具有各种装置的电子设备，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在非暂态计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置从网络上被下载和安装，或者从存储装置被安装，或者从ROM被安装。在该计算机程序被处理器执行时，执行本公开实施例的网络行为预测方法的全部或部分步骤。

有关本实施例的详细说明可以参考前述各实施例中的相应说明，在此不再赘述。

根据本公开实施例的计算机可读存储介质，其上存储有非暂时性计算机可读指令。当该非暂时性计算机可读指令由处理器运行时，执行前述的本公开各实施例的网络行为预测方法的全部或部分步骤。

上述计算机可读存储介质包括但不限于：光存储介质(例如：CD－ROM和DVD)、磁光存储介质(例如：MO)、磁存储介质(例如：磁带或移动硬盘)、具有内置的可重写非易失性存储器的媒体(例如：存储卡)和具有内置ROM的媒体(例如：ROM盒)。

以上结合具体实施例描述了本公开的基本原理，但是，需要指出的是，在本公开中提及的优点、优势、效果等仅是示例而非限制，不能认为这些优点、优势、效果等是本公开的各个实施例必须具备的。另外，上述公开的具体细节仅是为了示例的作用和便于理解的作用，而非限制，上述细节并不限制本公开为必须采用上述具体的细节来实现。

在本公开中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序，本公开中涉及的器件、装置、设备、系统的方框图仅作为例示性的例子并且不意图要求或暗示必须按照方框图示出的方式进行连接、布置、配置。如本领域技术人员将认识到的，可以按任意方式连接、布置、配置这些器件、装置、设备、系统。诸如“包括”、“包含”、“具有”等等的词语是开放性词汇，指“包括但不限于”，且可与其互换使用。这里所使用的词汇“或”和“和”指词汇“和/或”，且可与其互换使用，除非上下文明确指示不是如此。这里所使用的词汇“诸如”指词组“诸如但不限于”，且可与其互换使用。

另外，如在此使用的，在以“至少一个”开始的项的列举中使用的“或”指示分离的列举，以便例如“A、B或C的至少一个”的列举意味着A或B或C，或AB或AC或BC，或ABC(即A和B和C)。此外，措辞“示例的”不意味着描述的例子是优选的或者比其他例子更好。

还需要指出的是，在本公开的系统和方法中，各部件或各步骤是可以分解和/或重新组合的。这些分解和/或重新组合应视为本公开的等效方案。

可以不脱离由所附权利要求定义的教导的技术而进行对在此的技术的各种改变、替换和更改。此外，本公开的权利要求的范围不限于以上所述的处理、机器、制造、事件的组成、手段、方法和动作的具体方面。可以利用与在此所述的相应方面进行基本相同的功能或者实现基本相同的结果的当前存在的或者稍后要开发的处理、机器、制造、事件的组成、手段、方法或动作。因而，所附权利要求包括在其范围内的这样的处理、机器、制造、事件的组成、手段、方法或动作。

提供所公开的方面的以上描述以使本领域的任何技术人员能够做出或者使用本公开。对这些方面的各种修改对于本领域技术人员而言是非常显而易见的，并且在此定义的一般原理可以应用于其他方面而不脱离本公开的范围。因此，本公开不意图被限制到在此示出的方面，而是按照与在此公开的原理和新颖的特征一致的最宽范围。

为了例示和描述的目的已经给出了以上描述。此外，此描述不意图将本公开的实施例限制到在此公开的形式。尽管以上已经讨论了多个示例方面和实施例，但是本领域技术人员将认识到其某些变型、修改、改变、添加和子组合。

Claims

1.一种网络行为预测方法，其特征在于，包括：

获取历史网络设备的历史流量数据中的历史网络行为序列；

基于所述训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测；

其中，对所述历史网络行为序列进行子序列构造，得到历史网络行为子序列，包括：

其中，所述子序列特征包括所述历史网络行为子序列的滑动窗口大小和子序列长度；

其中，将所述历史网络行为子序列作为训练样本输入到初始的行为预测模型进行模型训练，以得到训练好的行为预测模型，包括：

创建所述初始的行为预测模型的分支树结构的根节点；

获取所述初始的行为预测模型输出的预测结果；

2.根据权利要求1所述的网络行为预测方法，其特征在于，获取历史网络设备的历史流量数据中的历史网络行为序列，包括：

3.根据权利要求1所述的网络行为预测方法，其特征在于，从所述根节点开始，依次将第一条所述历史网络行为子序列的每一个元素添加到所述分支树结构中，生成多个叶子节点，包括：

4.根据权利要求1所述的网络行为预测方法，其特征在于，基于所述训练好的行为预测模型，对待预测的目标网络设备进行网络行为分析和网络行为预测，包括：

5.根据权利要求4所述的网络行为预测方法，其特征在于，基于所述候选预测数据集中若干个候选预测元素的预测分数，筛选出预测分数较高的所述候选预测元素作为目标预测结果，采用以下计算公式：

选择预测分数较高的所述候选预测元素作为目标预测结果；

选择置信度较高的所述候选预测元素作为目标预测结果。

6.一种网络行为预测装置，其特征在于，所述装置为利用权利要求1至5任一所述的网络行为预测方法的装置，所述装置包括：

7.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1至5任一所述的网络行为预测方法。

8.一种计算机可读存储介质，其特征在于，该计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行权利要求1至5任一所述的网络行为预测方法。