WO2020000763A1 - 网络风险监控方法、装置、计算机设备及存储介质 - Google Patents

网络风险监控方法、装置、计算机设备及存储介质 Download PDF

Info

Publication number
WO2020000763A1
WO2020000763A1 PCT/CN2018/109488 CN2018109488W WO2020000763A1 WO 2020000763 A1 WO2020000763 A1 WO 2020000763A1 CN 2018109488 W CN2018109488 W CN 2018109488W WO 2020000763 A1 WO2020000763 A1 WO 2020000763A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
access
type
access log
risk level
Prior art date
Application number
PCT/CN2018/109488
Other languages
English (en)
French (fr)
Inventor
李洋
Original Assignee
平安科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 平安科技（深圳）有限公司 filed Critical 平安科技（深圳）有限公司
Publication of WO2020000763A1 publication Critical patent/WO2020000763A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G06F18/232—Non-hierarchical techniques
    • G06F18/2321—Non-hierarchical techniques using statistics or function optimisation, e.g. modelling of probability density functions
    • G06F18/23213—Non-hierarchical techniques using statistics or function optimisation, e.g. modelling of probability density functions with fixed number of clusters, e.g. K-means clustering
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G06F18/2415—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches based on parametric or probabilistic models, e.g. based on likelihood ratio or false acceptance rate versus a false rejection rate
    • G06F18/24155—Bayesian classification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods

Definitions

  • the present application relates to the field of network security technologies, and in particular, to a network risk monitoring method, device, computer equipment, and storage medium.
  • Traditional network risk monitoring methods are passive monitoring methods, so they can only perform post-hoc analysis after being threatened and prevent the same threats from being threatened again. Because traditional methods can cause a high rate of false positives for network threats due to a large number of suspected events, As a result, the efficiency of network risk monitoring is low. Therefore, the traditional method of network risk monitoring has the problem of low monitoring efficiency of network risks.
  • the embodiments of the present application provide a network risk monitoring method, device, computer equipment, and storage medium, which aim to solve the problem that the monitoring efficiency of network risks in the prior art methods is not high.
  • an embodiment of the present application provides a network risk monitoring method, which includes: real-time monitoring of network access to generate an access log, where the access log includes multiple log items, and the log items include specific The content is item information; the type of the access log is identified according to the item information in the access log, and the type includes a first type of access log with a label in the log item and a second type of access log without a label in the log item; if the The access log is a first type of access log, and the Bayesian classification algorithm is used in combination with a preset label classification rule to risk classify the first type of access log to obtain a network access corresponding to the first type of access log.
  • the access log is a second type of access log
  • the log items in the second type of access log are classified by a KMeans clustering algorithm, and the second type of access is classified according to a classification result of the log item
  • the logs are risk graded to obtain the risk level of network access corresponding to the second type of access logs; and The obtained risk level of network access issues corresponding alarm prompt information.
  • an embodiment of the present application provides a network risk monitoring device, including: a network access monitoring unit, configured to monitor network access in real time to generate an access log, where the access log includes multiple log items, and The specific content contained in the log item is item information; the label judging unit is configured to identify the type of the access log according to the item information in the access log, and the type includes the first type of access log with a label in the log item and the log item.
  • a second type of access log without a label a first classification unit configured to, if the access log is a first type of access log, combine the first type of access log with a Bayesian classification algorithm and a preset label classification rule Performing risk classification to obtain a risk level of network access corresponding to the first type of access log; a second ranking unit is configured to, if the access log is a second type of access log, perform a KMeans clustering algorithm on the The log items in the second type of access logs are classified, and the second type of access days are classified according to the classification results of the log items.
  • Risk classification to obtain the access log corresponding to the second type of network access risk level
  • alarm means for issuing alarm information according to the corresponding risk level of the obtained network access.
  • an embodiment of the present application further provides a computer device including a memory, a processor, and a computer program stored on the memory and executable on the processor, where the processor executes the computer
  • the program implements the network risk monitoring method described in the first aspect.
  • an embodiment of the present application further provides a storage medium, where the storage medium stores a computer program that, when executed by a processor, causes the processor to execute the network according to the first aspect. Risk monitoring methods.
  • the embodiments of the present application provide a network risk monitoring method, device, computer equipment, and storage medium.
  • judging whether the log items in the access log have tags different types of access logs are classified by different algorithms, and corresponding alarm prompts are issued to network access based on the classification results, which can be targeted according to the characteristics of the access log.
  • Risk grading has greatly increased the speed of risk grading and improved the efficiency of monitoring network risks.
  • FIG. 1 is a schematic flowchart of a network risk monitoring method according to an embodiment of the present application
  • FIG. 2 is a schematic diagram of an application scenario of a network risk monitoring method according to an embodiment of the present application
  • FIG. 3 is a schematic diagram of a sub-process of a network risk monitoring method according to an embodiment of the present application.
  • FIG. 4 is another schematic flowchart of a network risk monitoring method according to an embodiment of the present application.
  • FIG. 5 is another schematic flowchart of a network risk monitoring method according to an embodiment of the present application.
  • FIG. 6 is another schematic flowchart of a network risk monitoring method according to an embodiment of the present application.
  • FIG. 7 is a schematic block diagram of a network risk monitoring apparatus according to an embodiment of the present application.
  • FIG. 8 is a schematic block diagram of a subunit of a network risk monitoring apparatus according to an embodiment of the present application.
  • FIG. 9 is a schematic block diagram of another subunit of a network risk monitoring apparatus according to an embodiment of the present application.
  • FIG. 10 is a schematic block diagram of another subunit of a network risk monitoring apparatus according to an embodiment of the present application.
  • FIG. 11 is another schematic block diagram of a network risk monitoring apparatus according to an embodiment of the present application.
  • FIG. 12 is a schematic block diagram of a computer device according to an embodiment of the present application.
  • FIG. 1 is a schematic flowchart of a network risk monitoring method according to an embodiment of the present application.
  • FIG. 2 is a schematic diagram of an application scenario of the network threat monitoring method provided by an embodiment of the present application.
  • the network risk monitoring method is applied to a management server.
  • the method is executed by application software installed in the management server 10, and a plurality of user terminals 20 perform network access to the management server 10 by accessing the Internet.
  • the user terminal 20 is a terminal device having an Internet access function, such as a desktop computer, a notebook computer, a tablet computer, or a mobile phone;
  • the management server 10 is an enterprise that provides network access for Internet users (users of the user terminal 20) terminal.
  • the method includes steps S101 to S105.
  • S101 Monitor network access in real time to generate an access log, where the access log includes multiple log items, and the specific content contained in the log items is item information.
  • Monitor network access in real time to generate access logs and store the generated access logs.
  • network access is the process of data interaction between Internet users through the user terminal and the management server
  • real-time monitoring of network access is the process of data interaction between the user terminal and the management server.
  • the recording of the data interaction process by the management server is to generate an access log and store the generated access log so that the management server can obtain the stored access log and analyze it.
  • the access log contains multiple log items.
  • the specific content of the log items is item information.
  • the specific log items include the log number, user name, account number, source address, destination address, access time, log type, and network. Traffic, security level, attack type, etc.
  • the log number is the number information of the generated access log, and the access log can be read and identified by the log number;
  • the user name is the real name pre-stored in the management server by the Internet user, and each user can know each The individual corresponding to the network access;
  • the account number is the account information used by the Internet user to log in to the management server;
  • the source address is the address information initiated by the Internet user, and the IP address of the user terminal used by the Internet user to access the Internet ;
  • the destination address is the IP address of the host in the management server accessed by the Internet user;
  • the access time is the time information for initiating the network access;
  • the log type is the information identifying the log type;
  • the network traffic is the network access interaction Data traffic information; security level
  • the type of the access log includes the first type of access log with a label in the log item and the second type without a label in the log item.
  • the item information is the specific content of the corresponding log item in the access log
  • the label is the information that describes the characteristics of the network access added to the log item of the access log. Because network access has various characteristics, the management server adds known labels to the item information of some access logs when generating the access log. Therefore, the item information can be used to determine whether the log items in the access log have labels. Determine whether the access log contains tags.
  • the Bayesian classification algorithm is used to classify the access log risk; if the access log does not include a labeled log item, it is the first For the second type of access logs, the KMeans clustering algorithm is used to classify the risk of the access logs.
  • some network access can add known labels to log items such as log type, security level, and attack type when generating access logs.
  • the labels of log types include: business logs, approval logs, financial logs, management logs, and system maintenance logs; labels of security levels include: alarm, interception, prompt, and security; labels of attack types include: cross-site, collision database , DDOS.
  • the item information of the three log items of the log type, the security level, and the attack type includes a known label
  • the item information of the access log with the log number of 10011 is Contains tags, that is, the log entry of the access log has a tag, and the access log with the log number of 10016 does not include a known tag in the item information of all log items, and the access log entry of the log number is 10016
  • There is no label in the message that is, there is no label in the log entry of this access log.
  • the type of the access log is judged according to whether the access log contains the item information with the tag, and different types of access logs are used by different algorithms.
  • the risk classification can be targeted according to the characteristics of the access log, which can greatly increase the speed of risk classification. It has a very good use effect in practical applications.
  • the access log is a first-type access log
  • the access log is the first type of access log
  • a preset label classification rule is obtained, and a risk classification is performed on the access log containing the label by using the Bayesian classification algorithm in combination with the label classification rule, and the first type of access is obtained according to the risk classification result.
  • the preset label classification rule includes the mapping relationship between the label and the risk level. Therefore, the Bayes classification algorithm can be used to combine the mapping relationship between the label and the risk level to classify the risk of the access log containing the label based on the risk classification result. Get the risk level of network access corresponding to the access log.
  • step S103 includes sub-steps S1031 and S1032.
  • Match the tags contained in the access log with the tags mapped by the risk level obtain the number of the same tags in the access log and the risk level, and calculate the quotient of the number of the same tags and the total number of tags mapped by the risk level, which is the access log Match probability with risk level.
  • the preset label classification rule includes four risk levels and labels mapped to the four risk levels.
  • “High risk level” is mapped to "crash database, alarm, financial log”;
  • “High risk level” is mapped to "DDOS, interception, system maintenance log”;
  • the access log with log number 10012 contains the label "business log, security", and the mapping relationship is combined with the Bayesian classification algorithm.
  • the access log does not have the same label as the high-risk level, which is calculated.
  • the risk level with the highest matching probability can be selected as the risk level of network access corresponding to the access log. If the access log matches a certain risk level with the highest probability, it indicates that the access log has the highest degree of fit with this risk level, and the network access corresponding to the access log can be classified into this risk level.
  • the access log with the log number 10012 has a very high probability of matching 0, a high probability of matching 0, a medium probability of matching 0, and a low probability of matching 66.67%;
  • the access log has the highest matching probability with the lower risk level, so the lower risk level is selected as the risk level of the network access corresponding to the access log.
  • the access log is a second type of access log
  • the risk classification is performed to obtain a risk level of network access corresponding to the second type of access log.
  • the access log is a second type of access log
  • the log items in the second type of access log are classified by the KMeans clustering algorithm, and the risk of network access corresponding to the access log is obtained according to the classification results of the log items. grade.
  • the baseline range of log items needs to be calculated by combining the Kmeans clustering algorithm with a preset reference point and a preset similarity value, and according to the base range, it is determined whether the corresponding log item in the access log exceeds the base range to classify the log items. , Count the number of log entries in the access log that exceed the baseline range, and determine the risk level of network access corresponding to the access log based on the number of log items that exceed the baseline range.
  • step S104 includes sub-steps S1041, S1042, S1043, and S1044.
  • a reference range of a log item is calculated by combining a preset item reference point and a preset similarity value.
  • KMeans clustering algorithm is used to calculate the reference range of the log items by combining the preset item reference points and preset similarity values, and according to the obtained reference range. Among them, when categorizing the same log items, the log items that exceed the reference range are classified into the first category, and the log items that do not exceed the reference range are classified into the second category.
  • the project reference point is the reference value of the log item in the access log
  • the preset similarity value is the degree of approximation to the project reference point
  • the reference range is the set of approximations to the project reference point greater than the preset similarity value .
  • the preset project reference point is 25kb
  • the preset similarity value is 25%.
  • the calculated reference range is composed of project information that is closer to the project reference point than 25%.
  • the minimum value of the reference range is (1- (1-0.25)) ⁇ 25kb
  • the maximum value of the reference range is (1+ (1-0.75)) ⁇ 25kb
  • the reference range is greater than or equal to 6.25kb and less than or equal to 43.25kb.
  • the obtained reference range determine whether the corresponding log item in the access log exceeds the reference range to categorize the log items, thereby obtaining a classification result of the log items.
  • the network traffic with a log number of 10015 is 120 kb beyond the reference range
  • the network traffic with a log number of 10017 is 83 kb beyond the reference range.
  • the number of log items exceeding the reference range in the access log is counted to obtain the count result.
  • 3 log entries in the access log number 10016 are outside the baseline range; 2 log entries in the access log number 10017 are outside the baseline range; 1 log entry in the access log number 10018 is outside the baseline range Baseline range.
  • the risk level of the network access corresponding to the access log is determined according to the number of log items out of the reference range obtained from the statistics. The greater the number of log items out of the reference range, the higher the risk level of the network access corresponding to the access log.
  • the result of the risk classification of the access log includes four risk levels.
  • “Extremely high risk” corresponds to no less than 3 log items that exceed the reference range in the access log
  • “higher risk level” corresponds to the access log that exceeds the reference range.
  • There are 2 log entries “medium risk level” corresponds to one log item that exceeds the reference range in the access log
  • “low risk level” corresponds to an access log that does not include log items that exceed the baseline range.
  • the risk classification of network access is that the network access risk level corresponding to the access log number 10016 is “high risk level”; the network access risk level corresponding to the access log number 10017 It is “high risk level”; the network access risk level corresponding to the access log number 10018 is “medium risk level”.
  • the network access After obtaining the risk level of the network access, the network access can be sorted according to the obtained risk level of the network access, and the corresponding alarm prompt information is issued to the network access with different risk levels according to the ranking result.
  • step S105 includes sub-steps S1051 and S1052.
  • the network access After obtaining the risk level of the network access, the network access can be sorted according to the risk level of the network access, and the network access with the highest risk level is ranked first.
  • Alarm notification messages are issued in order from the network access with the highest risk level.
  • the alarm prompt message is issued starting from the network access with the highest risk level, while the network access rate with low risk level is finally issued with the alarm prompt information, and the network access without risk level and lower risk level does not need to issue the alarm prompt. information.
  • the network access with the highest risk level needs to give priority to the alarm prompt information, prompting the administrator to verify and deal with the network access with high risk level as soon as possible.
  • steps S1001, S1002, S1003, and S1004 are further included.
  • the account number is the account information used by the Internet user to log in to the management server
  • the access time is the time information for initiating a network access.
  • S1002 Count the number of visits of the same account within a preset unit time period to obtain a count result.
  • the unit time period is a preset time period.
  • the unit time period can be preset to 10 minutes, 20 minutes, or 30 minutes.
  • Combining calculation methods such as median, average, variance, or modified variance to calculate the statistical results to obtain the threshold of account number of visits. Count the number of visits to the same account in a unit time period, and combine calculation methods such as median, average, variance, or modified variance to calculate the account access threshold.
  • counting the number of visits to the account XSJ in 10 unit time periods is: 5, 3, 0, 7, 6, 9, 8, 5, 6, and 3.
  • the threshold of the number of visits to the account XSJ is 5.5, and the current network access of the account XSJ can be monitored according to the threshold of the number of visits 5.5. If the account XSJ is accessed more than 5.5 times in a unit time period, it indicates that the account XSJ has abnormal network access behavior, and an alert message is issued to the administrator.
  • the method further includes the steps of obtaining the destination address in the access log and the server address in the host log, and analyzing whether there is an association between the destination address and the server address through the Apriori algorithm. If the destination address and the server address exist, When associated, an alarm message is issued.
  • the host log is the log information recorded on the host side of the management server. Obtain the destination address in the access log and the server address in the host log, and analyze whether there is an association between the destination address and the server address through the Apriori algorithm. If the destination address is associated with the server address, it indicates that the server is at risk of being invaded. Need to send an alert message to the administrator.
  • the embodiment of the present application further provides a network risk monitoring device, which is configured to execute any one of the foregoing methods of network risk monitoring.
  • a network risk monitoring device which is configured to execute any one of the foregoing methods of network risk monitoring.
  • FIG. 7, is a schematic block diagram of a network risk monitoring apparatus according to an embodiment of the present application.
  • the network risk monitoring device 100 may be disposed in the management server 10.
  • the network risk monitoring device 100 includes a network access monitoring unit 101, a label judgment unit 102, a first classification unit 103, a second classification unit 104, and an alarm prompting unit 105.
  • the network access monitoring unit 101 is configured to monitor network access in real time to generate an access log, where the access log includes multiple log items, and the specific content contained in the log items is item information.
  • the label judging unit 102 is configured to identify the type of the access log according to the item information in the access log, where the type includes a first type of access log with a label in the log item and a second type of access log without a label in the log item.
  • the first ranking unit 103 is configured to, if the access log is a first type of access log, use a Bayesian classification algorithm in combination with a preset label classification rule to classify the risk of the first type of access log to obtain Risk level of network access corresponding to the first type of access log.
  • the first ranking unit 103 includes sub-units: a matching probability calculation unit 1031 and a risk level selection unit 1032.
  • a matching probability calculation unit 1031 is configured to obtain a mapping relationship between a preset risk level and a label in a label classification rule, and calculate a matching probability of the first type of access log and the preset risk level according to the mapping relationship and a Bayesian classification algorithm.
  • the risk level selection unit 1032 is configured to select a risk level with the highest probability value from the calculated matching probabilities as the risk level of the network access corresponding to the first type of access log.
  • the second grading unit 104 is configured to classify the log items in the second type of access log by using a KMeans clustering algorithm if the access log is a second type of access log, and classify all the log items according to a classification result of the log item
  • the second type of access log performs risk classification to obtain the risk level of network access corresponding to the second type of access log.
  • the second ranking unit 104 includes sub-units: a reference range calculation unit 1041, a log item classification unit 1042, a statistics unit 1043, and a risk level acquisition unit 1044.
  • a reference range calculation unit 1041 is configured to calculate a reference range of a log item by using a KMeans clustering algorithm in combination with a preset item reference point and a preset similarity value.
  • the log item categorization unit 1042 is configured to judge whether the corresponding log item in the second type of access log exceeds the reference range according to the reference range, and obtain a classification result obtained by classifying the log item.
  • the statistics unit 1043 is configured to perform statistics on the number of log entries in the access log that exceed the reference range according to the obtained classification result to obtain a quantity statistics result.
  • a risk level acquiring unit 1044 is configured to determine a risk level of network access corresponding to the second type of access log according to the quantity statistical result.
  • the alarm prompting unit 105 is configured to issue corresponding alarm prompting information according to the obtained risk level of the network access.
  • the alarm prompting unit 105 includes sub-units: a rank sorting unit 1051 and an information sending unit 1052.
  • a ranking sorting unit 1051 is configured to sort the network access according to the obtained risk levels.
  • the information sending unit 1052 is configured to issue alarm prompts in order from the network access having the highest risk level.
  • the network risk monitoring device 100 further includes sub-units: an account and access time acquisition unit 1001, a number of visits statistics unit 1002, a number of times threshold calculation unit 1003, and an account monitoring unit 1004.
  • the account and access time obtaining unit 1001 is configured to obtain the account and access time in the access log.
  • the number-of-visit counting unit 1002 is configured to count the number of visits of the same account within a preset unit time period to obtain the number-of-times counting result.
  • the number-of-times threshold calculation unit 1003 is configured to calculate and obtain a threshold of the number of times of access to an account according to the statistics result of the number of times.
  • the account monitoring unit 1004 is configured to monitor the current network access of the account according to the access times threshold.
  • the network risk monitoring device 100 further includes a sub-unit: an address association unit.
  • the address association unit is used to obtain the destination address in the access log and the server address in the host log.
  • the Apriori algorithm is used to analyze whether the destination address is associated with the server address. If the destination address is associated with the server address, an alarm message is issued.
  • the above-mentioned network risk monitoring device can be implemented in the form of a computer program, which can be run on a computer device as shown in FIG. 12.
  • FIG. 12 is a schematic block diagram of a computer device according to an embodiment of the present application.
  • the computer device 500 may be the management server 10.
  • the computer device 500 includes a processor 502, a memory, and a network interface 505 connected through a system bus 501.
  • the memory may include a non-volatile storage medium 503 and an internal memory 504.
  • the non-volatile storage medium 503 can store an operating system 5031 and a computer program 5032.
  • the processor 502 can execute the network risk monitoring method.
  • the processor 502 is used to provide computing and control capabilities to support the operation of the entire computer device 500.
  • the internal memory 504 provides an environment for running a computer program 5032 in the non-volatile storage medium 503. When the computer program 5032 is executed by the processor 502, the processor 502 can execute a network risk monitoring method.
  • the network interface 505 is used for network communication, such as providing data traffic transmission for network access.
  • the network interface 505 is used for network communication, such as providing data traffic transmission for network access.
  • FIG. 12 is only a block diagram of a part of the structure related to the solution of the present application, and does not constitute a limitation on the computer equipment 500 to which the solution of the present application is applied. 500 may include more or fewer components than shown in the figure, or combine certain components, or have a different component arrangement.
  • the processor 502 is configured to run a computer program 5032 stored in a memory to implement the network risk monitoring method in the embodiment of the present application.
  • the embodiment of the computer device shown in FIG. 12 does not constitute a limitation on the specific configuration of the computer device.
  • the computer device may include more or fewer components than shown in the figure. Either some parts are combined or different parts are arranged.
  • the computer device may include only a memory and a processor. In such an embodiment, the structure and function of the memory and the processor are the same as those in the embodiment shown in FIG. 12, and details are not described herein again.
  • the processor 502 may be a central processing unit (CPU), and the processor 502 may also be another general-purpose processor, digital signal processor (Digital Signal Processor, DSP), Application Specific Integrated Circuit (ASIC), Field-Programmable Gate Array (FPGA) or other programmable logic devices, discrete gate or transistor logic devices, discrete hardware components, etc.
  • the general-purpose processor may be a microprocessor, or the processor may be any conventional processor.
  • a storage medium may be a non-transitory computer-readable storage medium.
  • the storage medium stores a computer program, and the computer program implements the network risk monitoring method in the embodiment of the present application when the computer program is executed by a processor.
  • the storage medium may be an internal storage unit of the foregoing device, such as a hard disk or a memory of the device.
  • the storage medium may also be an external storage device of the device, such as a plug-in hard disk, a Smart Media Card (SMC), a Secure Digital (SD) card, and a flash memory card provided on the device. (Flash Card), etc.
  • the storage medium may further include both an internal storage unit of the device and an external storage device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • Evolutionary Computation (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computer Security & Cryptography (AREA)
  • Artificial Intelligence (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了网络风险监控方法、装置、计算机设备及存储介质。该方法包括：对网络访问进行实时监控以生成访问日志；根据访问日志中的项目信息识别访问日志的类型；通过贝叶斯分类算法结合预设的标签分类规则对第一类访问日志进行风险分级；通过KMeans聚类算法对第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对第二类访问日志进行风险分级以得到与访问日志相对应的网络访问的风险等级；根据所得到的风险等级发出相应的报警提示信息。

Description

网络风险监控方法、装置、计算机设备及存储介质
本申请要求于2018年6月29日提交中国专利局、申请号为201810699243.7、申请名称为“网络风险监控方法、装置、计算机设备及存储介质”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及网络安全技术领域，尤其涉及一种网络风险监控方法、装置、计算机设备及存储介质。
背景技术
大型企业为了保存数据信息，需设置用于存放和管理数据信息的企业终端。然而企业终端接入互联网后，需面对网络上的各种安全威胁，金融行业所需防范的安全威胁尤为突出，因此需为企业终端设置网络风险监控。
传统的网络风险监控方法均为被动监控方法，因此只能在受到威胁后进行事后分析并防范再次受到相同威胁，且由于传统方法会因海量疑似事件造成网络威胁误报率较高的问题，从而导致网络风险监控效率低下，因此传统的网络风险监控方法存在对网络风险的监控效率较低的问题。
发明内容
本申请实施例提供了一种网络风险监控方法、装置、计算机设备及存储介质，旨在解决现有技术方法中存在对网络风险的监控效率不高的问题。
第一方面，本申请实施例提供了一种网络风险监控方法，其包括：对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级， 以得到与所述第一类访问日志相对应的网络访问的风险等级；若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；以及根据所得到的网络访问的风险等级发出相应的报警提示信息。
第二方面，本申请实施例提供了一种网络风险监控装置，其包括：网络访问监控单元，用于对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；标签判断单元，用于根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；第一分级单元，用于若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级；第二分级单元，用于若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；以及报警提示单元，用于根据所得到的网络访问的风险等级发出相应的报警提示信息。
第三方面，本申请实施例又提供了一种计算机设备，其包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述第一方面所述的网络风险监控方法。
第四方面，本申请实施例还提供了一种存储介质，其中所述存储介质存储有计算机程序，所述计算机程序当被处理器执行时使所述处理器执行上述第一方面所述的网络风险监控方法。
本申请实施例提供了一种网络风险监控方法、装置、计算机设备及存储介质。通过对访问日志中的日志项目是否具有标签进行判断，通过不同的算法对不同类的访问日志进行风险分级，根据分级结果对网络访问发出相应的报警提示信息，能够根据访问日志的特点针对性地进行风险分级，大幅提高风险分级的速度，提高了对网络风险的监控效率。
附图说明
为了更清楚地说明本申请实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的网络风险监控方法的流程示意图；
图2为本申请实施例提供的网络风险监控方法的应用场景示意图；
图3为本申请实施例提供的网络风险监控方法的子流程示意图；
图4为本申请实施例提供的网络风险监控方法的另一子流程示意图；
图5为本申请实施例提供的网络风险监控方法的另一子流程示意图；
图6为本申请实施例提供的网络风险监控方法的另一流程示意图；
图7为本申请实施例提供的网络风险监控装置的示意性框图；
图8为本申请实施例提供的网络风险监控装置的子单元示意性框图；
图9为本申请实施例提供的网络风险监控装置的另一子单元示意性框图；
图10为本申请实施例提供的网络风险监控装置的另一子单元示意性框图；
图11为本申请实施例提供的网络风险监控装置的另一示意性框图；
图12为本申请实施例提供的计算机设备的示意性框图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
请参阅图1，图1是本申请实施例提供的网络风险监控方法的示意流程图，图2为本申请实施例提供的网络威胁监控方法的应用场景示意图，该网络风险监控方法应用于管理服务器10中，该方法通过安装于管理服务器10中的应用软件进行执行，多台用户终端20通过接入互联网对管理服务器10进行网络访问。其中，用户终端20是具有接入互联网功能的终端设备，例如台式电脑、笔记本电脑、平板电脑或手机等；管理服务器10是用于为互联网用户(用户终端20的使用者)提供网络访问的企业终端。
如图1所示，该方法包括步骤S101～S105。
S101、对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息。
对网络访问进行实时监控以生成访问日志，对所生成的访问日志进行存储。其中，网络访问即是互联网用户通过用户终端与管理服务器之间进行数据交互的过程，对网络访问进行实时监控也即是对用户终端与管理服务器进行数据交互的过程进行实时监控，对用户终端与管理服务器进行数据的交互过程进行记录即是生成访问日志，对所生成的访问日志进行存储，以使管理服务器能够获取已存储的访问日志并进行分析。
其中，访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息，具体的日志项目包括日志编号、用户名、账号、源地址、目的地址、访问时间、日志类型、网络流量、安全级别、攻击类型等。其中，日志编号即是所生成的访问日志的编号信息，通过日志编号可对访问日志进行读取和识别；用户名即是互联网用户在管理服务器中预存的真实姓名，通过用户名可了解每一个网络访问所对应的个人；账号即是互联网用户登录管理服务器所使用的账号信息；源地址即是互联网用户发起网络访问的地址信息，也即是互联网用户所使用的用户终端接入互联网的IP地址；目的地址即是互联网用户所访问的管理服务器中主机的IP地址；访问时间即是发起网络访问的时间信息；日志类型即是对日志类型进行标识的信息；网络流量即是网络访问进行交互的数据流量信息；安全级别即是对网络访问的安全性进行分类的标识信息；攻击类型即是网络访问对管理服务器进行网络攻击的类型信息。
S102、根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志。
获取访问日志中具体的项目信息，根据项目信息对访问日志的类型进行识别，具体的，访问日志的类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志。其中，项目信息即是访问日志中相应日志项目的具体内容，标签即是在访问日志的日志项目中添加的对网络访问的特征进行描述的信息。由于网络访问具有各种不同的特征，管理服务器在生成访问日志时会在部分访问日志的项目信息中添加已知的标签，因此通过项目信息即可判断访问日志中的日志项目是否具有标签，进而判断访问日志中是否 包含有标签。若访问日志中包含具有标签的日志项目，也即是第一类访问日志，则采用贝叶斯分类算法对访问日志进行风险分级；若访问日志中不包含具有标签的日志项目，也即是第二类访问日志，则采用KMeans聚类算法对访问日志进行风险分级。
管理服务器在对网络访问进行监控的过程中，部分网络访问在生成访问日志时，日志类型、安全级别及攻击类型等日志项目中均可添加已知的标签。具体的，日志类型的标签包括：业务日志、审批日志、财务日志、管理日志、系统维护日志；安全级别的标签包括：告警、拦截、提示、安全；攻击类型的标签包括：跨站、撞库、DDOS。
例如，获取得到访问日志的具体信息如表1所示。
Figure PCTCN2018109488-appb-000001
表1
如表1中所示，日志编号为10011的访问日志中，日志类型、安全级别及攻击类型三个日志项目的项目信息中包含已知的标签，则日志编号为10011的访问日志的项目信息中包含标签，也即该访问日志的日志项目中具有标签，日志编号为10016的访问日志中，所有的日志项目的项目信息中均不包含已知的 标签，则日志编号为10016的访问日志的项目信息中不包含标签，也即该访问日志的日志项目中不具有标签。
在本实施例中，通过项目信息判断访问日志中的日志项目是否具有标签，根据访问日志中是否包含具有标签的项目信息对访问日志的类型进行判断，并通过不同的算法对不同类的访问日志进行风险分级，能够根据访问日志的特点针对性地进行风险分级，大幅提高风险分级的速度，在实际应用中具有非常良好的使用效果。
S103、若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级。
若所述访问日志为第一类访问日志，获取预设的标签分类规则，通过贝叶斯分类算法结合标签分类规则对包含标签的访问日志进行风险分级，根据风险分级结果获取与第一类访问日志相对应的网络访问的风险等级。
具体的，预设的标签分类规则中包含标签与风险等级的映射关系，因此可通过贝叶斯分类算法结合标签与风险等级的映射关系，对包含标签的访问日志进行风险分级，根据风险分级结果获取与访问日志相对应的网络访问的风险等级。
在一实施例中，如图3所示，步骤S103包括子步骤S1031和S1032。
S1031、获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率。
获取标签分类规则中风险等级与标签的映射关系，其中，同一风险等级映射一个或多个标签。将访问日志中包含的标签与风险等级所映射的标签相匹配，获取访问日志与风险等级中相同标签的数量，计算相同标签的数量与风险等级所映射的标签总数的商值，即是访问日志与风险等级的匹配概率。
例如，预设的标签分类规则中包含四个风险等级以及与四个风险等级相映射的标签。“风险等级极高”与“撞库、告警、财务日志”相映射；“风险等级较高”与“DDOS、拦截、系统维护日志”相映射；“风险等级中等”与“跨站、提示、管理日志”相映射；“风险等级较低”与“业务日志、审批日志、安全”相映射。
如表1所示，日志编号为10012的访问日志中包含的标签为“业务日志、 安全”，通过贝叶斯分类算法结合映射关系，该访问日志与风险等级极高不具有相同标签，计算得到该访问日志与风险等级极高的匹配概率为0/3＝0，则与风险等级较高的匹配概率为0/3＝0；与风险等级中等的匹配概率为0/3＝0％，该访问日志与风险等级较低中相同标签的数量为2个，风险等级较低所映射的标签总数为3个，则与风险等级较低的匹配概率为2/3＝66.67。通过类似的方法可计算得到多个访问日志分别与四个风险等级的匹配概率。
S1032、从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
获取访问日志与风险等级的匹配概率，选择匹配概率最高的风险等级作为与访问日志相对应的网络访问的风险等级。由于访问日志与多个风险等级之间的匹配概率各不相同，因此可选择匹配概率最高的风险等级作为与访问日志相对应的网络访问的风险等级。若访问日志与某一风险等级的匹配概率最高，则表明该访问日志与这一风险等级的契合度最高，即可将访问日志对应的网络访问归入这一风险等级。
例如，日志编号为10012的访问日志与风险等级极高的匹配概率为0，与风险等级较高的匹配概率为0，与风险等级中等的匹配概率为0，与风险等级较低的匹配概率为66.67％；该访问日志与风险等级较低的匹配概率最高，则选择风险等级较低作为与访问日志对应的网络访问的风险等级。
S104、若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级。
若所述访问日志为第二类访问日志，并通过KMeans聚类算法对第二类访问日志中的日志项目进行归类，根据日志项目的归类结果获取与访问日志相对应的网络访问的风险等级。
具体的，需通过KMeans聚类算法结合预设的参考点和预设相似值计算得到日志项目的基准范围，并根据基准范围判断访问日志中相应日志项目是否超出基准范围以对日志项目进行归类，统计访问日志中超出基准范围的日志项目数量，并根据超出基准范围的日志项目数量确定与访问日志相对应的网络访问的风险等级。
在一实施例中，如图4所示，步骤S104包括子步骤S1041、S1042、S1043和S1044。
S1041、通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围。
通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围，并根据得到的基准范围。其中，对同一日志项目进行归类时，将超出基准范围的日志项目归为第一类，将未超出基准范围的日志项目归为第二类。项目参考点即是访问日志中日志项目的参考值，预设相似值即是与项目参考点之间的近似程度，基准范围即是与项目参考点的近似程度大于预设相似值所组成的集合。
例如，针对访问日志中的网络流量，预设的项目参考点为25kb，预设相似值为25％，则计算得到的基准范围即是与项目参考点的近似程度大于25％的项目信息所组成的集合，则基准范围的最小值为(1-(1-0.25))×25kb，基准范围的最大值为(1+(1-0.75))×25kb，基准范围为大于等于6.25kb、小于等于43.25kb。
S1042、根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果。
根据得到的基准范围，判断访问日志中相应日志项目是否超出基准范围以对日志项目进行归类，从而得到日志项目的归类结果。
例如，根据上述基准范围对表1中的网络流量这一日志项目进行归类得到的归类结果中，日志编号为10015的网络流量120kb超出基准范围，日志编号为10017的网络流量83kb超出基准范围。
S1043、根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果。
根据日志项目的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果。
例如，编号为10016的访问日志中有3个日志项目超出了基准范围；编号为10017的访问日志中有2个日志项目超出了基准范围；编号为10018的访问日志中有1个日志项目超出了基准范围。
S1044、根据所述数量统计结果确定与第二类访问日志相对应的网络访问的 风险等级。
根据统计得到的超出基准范围的日志项目数量确定访问日志相对应的网络访问的风险等级，超出基准范围的日志项目数量越多，则访问日志相对应的网络访问的风险等级越高。
例如，对访问日志进行风险分级的结果包含四个风险等级，“风险等级极高”对应访问日志中超出基准范围的日志项目不小于3个，“风险等级较高”对应访问日志中超出基准范围的日志项目为2个，“风险等级中等”对应访问日志中超出基准范围的日志项目为1个，“风险等级较低”对应访问日志中不包含超出基准范围的日志项目。根据上述数量统计结果对网络访问进行风险分级的结果为，则编号为10016的访问日志相对应的网络访问风险等级为“风险等级极高”；编号为10017的访问日志相对应的网络访问风险等级为“风险等级较高”；编号为10018的访问日志相对应的网络访问风险等级为“风险等级中等”。
S105、根据所得到的网络访问的风险等级发出相应的报警提示信息。
在得到网络访问的风险等级后，可根据所得到的网络访问的风险等级对网络访问进行排序，根据排序结果对具有不同风险等级的网络访问分别发出相应的报警提示信息。
在一实施例中，如图5所示，步骤S105包括子步骤S1051和S1052。
S1051、根据所得到的风险等级对网络访问进行排序。
在得到网络访问的风险等级后，可根据网络访问的风险等级对网络访问进行排序，将具有最高风险等级的网络访问排在最前面。
S1052、从具有最高风险等级的网络访问开始依次发出报警提示信息。
根据排序结果从具有最高风险等级的网络访问开始，发出报警提示信息，而风险等级不高的网络访问则最后发出报警提示信息，无风险等级以及风险等级较低的网络访问，则无需发出报警提示信息。由于具有最高风险等级的网络访问需优先发出报警提示信息，提示管理员尽快对高风险等级的网络访问进行查证和处理。
在一实施例中，如图6所示，步骤S101之后还包括步骤S1001、S1002、S1003和S1004。
S1001、获取访问日志中的账号及访问时间。
获取访问日志中的账号及访问时间。其中，账号即是互联网用户登录管理服务器所使用的账号信息，访问时间即是发起网络访问的时间信息。
S1002、对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果。
根据预设的单位时间段对同一账号的访问次数进行统计。单位时间段即是预设的一个时间段，例如，单位时间段可预设为10分钟、20分钟或30分钟。
S1003、根据所述次数统计结果计算得到账号的访问次数阈值。
结合中位数、平均数、方差或修正方差等计算方法对统计结果进行计算以得到账号的访问次数阈值。统计单位时间段内同一账号的访问次数，并结合中位数、平均数、方差或修正方差等计算方法，即可计算得到账号的访问次数阈值。
S1004、根据所述访问次数阈值对所述账号的当前网络访问进行监控。
根据访问次数阈值对账号的当前网络访问进行监控。具体的，若单位时间段内账号的网络访问次数超出账号的访问次数阈值，则表明当前账号存在异常访问行为，向管理员发出报警提示信息；若单位时间段内账号的网络访问次数未超出账号的访问次数阈值，则不会发出报警提示信息。
例如，统计10个单位时间段内账号XSJ的访问次数依次为：5、3、0、7、6、9、8、5、6、3。通过中位数计算得到账号XSJ的访问次数阈值为5.5，则可根据访问次数阈值5.5对账号XSJ的当前网络访问进行监控。若在单位时间段内，账号XSJ的访问次数超过5.5次，则表明账号XSJ存在异常的网络访问行为，向管理员发出报警提示信息。
在一实施例中，步骤S101之后还包括步骤：获取访问日志中的目的地址及主机日志中的服务器地址，通过Apriori算法对目的地址与服务器地址是否存在关联进行分析，若目的地址与服务器地址存在关联则发出报警提示信息。
主机日志即是管理服务器中主机端所记载的日志信息。获取访问日志中的目的地址，以及主机日志中的服务器地址，通过Apriori算法对目的地址与服务器地址是否存在关联进行分析，若目的地址与服务器地址存在关联，则表明该服务器具有被入侵的风险，需向管理员发出报警提示信息。
通过对访问日志中的日志项目是否具有标签进行判断，根据访问日志的特点采用不同的分类算法对访问日志进行风险分级，通过不同的算法对不同类的 访问日志进行风险分级，能够访问日志的特点进行针对性地风险分级，大幅提高风险分级的速度，提高了对网络风险的监控效率。
本申请实施例还提供一种网络风险监控装置，该网络风险监控装置用于执行前述网络风险监控方法的任一实施例。具体地，请参阅图7，图7是本申请实施例提供的网络风险监控装置的示意性框图。网络风险监控装置100可以配置于管理服务器10中。
如图7所示，网络风险监控装置100包括网络访问监控单元101、标签判断单元102、第一分级单元103、第二分级单元104、报警提示单元105。
网络访问监控单元101，用于对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息。
标签判断单元102，用于根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志。
第一分级单元103，用于若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级。
其他申请实施例中，如图8所示，所述第一分级单元103包括子单元：匹配概率计算单元1031、风险等级选择单元1032。
匹配概率计算单元1031，用于获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率。风险等级选择单元1032，用于从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
第二分级单元104，用于若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级。
其他申请实施例中，如图9所示，所述第二分级单元104包括子单元：基准范围计算单元1041、日志项目归类单元1042、统计单元1043、风险等级获取单元1044。
基准范围计算单元1041，用于通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围。日志项目归类单元1042，用于根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果。统计单元1043，用于根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果。风险等级获取单元1044，用于根据所述数量统计结果确定与第二类访问日志相对应的网络访问的风险等级。
报警提示单元105，用于根据所得到的网络访问的风险等级发出相应的报警提示信息。
其他申请实施例中，如图10所示，所述报警提示单元105包括子单元：等级排序单元1051和信息发送单元1052。
等级排序单元1051，用于根据所得到的风险等级对网络访问进行排序。信息发送单元1052，用于从具有最高风险等级的网络访问开始依次发出报警提示信息。
其他申请实施例中，如图11所示，所述网络风险监控装置100还包括子单元：账号及访问时间获取单元1001、访问次数统计单元1002、次数阈值计算单元1003和账号监控单元1004。
账号及访问时间获取单元1001，用于获取访问日志中的账号及访问时间。访问次数统计单元1002，用于对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果。次数阈值计算单元1003，用于根据所述次数统计结果计算得到账号的访问次数阈值。账号监控单元1004，用于根据所述访问次数阈值对所述账号的当前网络访问进行监控。
此外，网络风险监控装置100还包括子单元：地址关联单元。地址关联单元，用于获取访问日志中的目的地址及主机日志中的服务器地址，通过Apriori算法对目的地址与服务器地址是否存在关联进行分析，若目的地址与服务器地址存在关联则发出报警提示信息。
上述网络风险监控装置可以实现为计算机程序的形式，该计算机程序可以在如图12所示的计算机设备上运行。请参阅图12，图12是本申请实施例提供的计算机设备的示意性框图。该计算机设备500设备可以是管理服务器10。
参阅图12，该计算机设备500包括通过系统总线501连接的处理器502、 存储器和网络接口505，其中，存储器可以包括非易失性存储介质503和内存储器504。该非易失性存储介质503可存储操作系统5031和计算机程序5032。该计算机程序5032被执行时，可使得处理器502执行网络风险监控方法。该处理器502用于提供计算和控制能力，支撑整个计算机设备500的运行。该内存储器504为非易失性存储介质503中的计算机程序5032的运行提供环境，该计算机程序5032被处理器502执行时，可使得处理器502执行网络风险监控方法。该网络接口505用于进行网络通信，如为网络访问提供数据流量的传输等。本领域技术人员可以理解，图12中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备500的限定，具体的计算机设备500可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
其中，所述处理器502用于运行存储在存储器中的计算机程序5032，以实现本申请实施例的网络风险监控方法。
本领域技术人员可以理解，图12中示出的计算机设备的实施例并不构成对计算机设备具体构成的限定，在其他实施例中，计算机设备可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。例如，在一些实施例中，计算机设备可以仅包括存储器及处理器，在这样的实施例中，存储器及处理器的结构及功能与图12所示实施例一致，在此不再赘述。
应当理解，在本申请实施例中，处理器502可以是中央处理单元(Central Processing Unit，CPU)，该处理器502还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。其中，通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
在本申请的另一实施例中提供一种存储介质。该存储介质可以为非易失性的计算机可读存储介质。该存储介质存储有计算机程序，其中计算机程序被处理器执行时实现本申请实施例的网络风险监控方法。所述存储介质可以是前述设备的内部存储单元，例如设备的硬盘或内存。所述存储介质也可以是所述设备的外部存储设备，例如所述设备上配备的插接式硬盘，智能存储卡(Smart Media Card，SMC)，安全数字(Secure Digital，SD)卡，闪存卡(Flash Card) 等。进一步地，所述存储介质还可以既包括所述设备的内部存储单元也包括外部存储设备。所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的设备、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (20)

  1. 一种网络风险监控方法，包括：
    对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；
    根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；
    若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级；
    若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；
    根据所得到的网络访问的风险等级发出相应的报警提示信息。
  2. 根据权利要求1所述的网络风险监控方法，其中，所述通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级，包括：
    获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率；
    从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
  3. 根据权利要求1所述的网络风险监控方法，其中，所述通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级，包括：
    通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围；
    根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果；
    根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统 计以得到数量统计结果；
    根据所述数量统计结果确定与第二类访问日志相对应的网络访问的风险等级。
  4. 根据权利要求1所述的网络风险监控方法，其中，所述根据所得到的网络访问的风险等级发出相应的报警提示信息，包括：
    根据所得到的风险等级对网络访问进行排序；
    从具有最高风险等级的网络访问开始依次发出报警提示信息。
  5. 根据权利要求1所述的网络风险监控方法，其中，所述对网络访问进行实时监控以生成访问日志之后，还包括：
    获取访问日志中的账号及访问时间；
    对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果；
    根据所述次数统计结果计算得到账号的访问次数阈值；
    根据所述访问次数阈值对所述账号的当前网络访问进行监控。
  6. 一种网络风险监控装置，包括：
    网络访问监控单元，用于对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；
    标签判断单元，用于根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；
    第一分级单元，用于若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级；
    第二分级单元，用于若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；
    报警提示单元，用于根据所得到的网络访问的风险等级发出相应的报警提示信息。
  7. 根据权利要求6所述的网络风险监控装置，其中，所述第一分级单元，包 括：
    匹配概率计算单元，用于获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率；
    风险等级选择单元，用于从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
  8. 根据权利要求6所述的网络风险监控装置，其中，所述第二分级单元，包括：
    基准范围计算单元，用于通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围；
    日志项目归类单元，用于根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果；
    统计单元，用于根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果；
    风险等级获取单元，用于根据所述数量统计结果确定与第二类访问日志相对应的网络访问的风险等级。
  9. 根据权利要求6所述的网络风险监控装置，其中，所述报警提示单元，包括：
    等级排序单元，用于根据所得到的风险等级对网络访问进行排序；
    信息发送单元，用于从具有最高风险等级的网络访问开始依次发出报警提示信息。
  10. 根据权利要求6所述的网络风险监控装置，其中，还包括：
    账号及访问时间获取单元，用于获取访问日志中的账号及访问时间；
    访问次数统计单元，用于对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果；
    次数阈值计算单元，用于根据所述次数统计结果计算得到账号的访问次数阈值；
    账号监控单元，用于根据所述访问次数阈值对所述账号的当前网络访问进行监控。
  11. 一种计算机设备，包括存储器、处理器及存储在所述存储器上并可在所 述处理器上运行的计算机程序，其中，所述处理器执行所述计算机程序时实现以下步骤：
    对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；
    根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；
    若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级；
    若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；
    根据所得到的网络访问的风险等级发出相应的报警提示信息。
  12. 根据权利要求11所述的计算机设备，其中，所述通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级，包括：
    获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率；
    从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
  13. 根据权利要求11所述的计算机设备，其中，所述通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级，包括：
    通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围；
    根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果；
    根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果；
    根据所述数量统计结果确定与第二类访问日志相对应的网络访问的风险等级。
  14. 根据权利要求11所述的计算机设备，其中，所述根据所得到的网络访问的风险等级发出相应的报警提示信息，包括：
    根据所得到的风险等级对网络访问进行排序；
    从具有最高风险等级的网络访问开始依次发出报警提示信息。
  15. 根据权利要求11所述的计算机设备，其中，所述对网络访问进行实时监控以生成访问日志之后，还包括：
    获取访问日志中的账号及访问时间；
    对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果；
    根据所述次数统计结果计算得到账号的访问次数阈值；
    根据所述访问次数阈值对所述账号的当前网络访问进行监控。
  16. 一种存储介质，其中，所述存储介质存储有计算机程序，所述计算机程序当被处理器执行时使所述处理器执行以下步骤：
    对网络访问进行实时监控以生成访问日志，所述访问日志中包含多个日志项目，所述日志项目所包含的具体内容为项目信息；
    根据访问日志中的项目信息识别访问日志的类型，所述类型包括日志项目中具有标签的第一类访问日志以及日志项目中不具有标签的第二类访问日志；
    若所述访问日志为第一类访问日志，通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级；
    若所述访问日志为第二类访问日志，通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级；
    根据所得到的网络访问的风险等级发出相应的报警提示信息。
  17. 根据权利要求16所述的存储介质，其中，所述通过贝叶斯分类算法结合预设的标签分类规则对所述第一类访问日志进行风险分级，以得到与所述第一类访问日志相对应的网络访问的风险等级，包括：
    获取标签分类规则中预设的风险等级与标签的映射关系，根据映射关系结 合贝叶斯分类算法计算第一类访问日志与预设的风险等级的匹配概率；
    从计算得到的匹配概率中选取概率值最高的风险等级作为与第一类访问日志相对应的网络访问的风险等级。
  18. 根据权利要求16所述的存储介质，其中，所述通过KMeans聚类算法对所述第二类访问日志中的日志项目进行归类，根据日志项目的归类结果对所述第二类访问日志进行风险分级以得到与所述第二类访问日志相对应的网络访问的风险等级，包括：
    通过KMeans聚类算法结合预设的项目参考点和预设相似值计算得到日志项目的基准范围；
    根据基准范围判断第二类访问日志中相应的日志项目是否超出基准范围以对日志项目进行归类而得到的归类结果；
    根据所得到的归类结果对访问日志中超出基准范围的日志项目数量进行统计以得到数量统计结果；
    根据所述数量统计结果确定与第二类访问日志相对应的网络访问的风险等级。
  19. 根据权利要求16所述的存储介质，其中，所述根据所得到的网络访问的风险等级发出相应的报警提示信息，包括：
    根据所得到的风险等级对网络访问进行排序；
    从具有最高风险等级的网络访问开始依次发出报警提示信息。
  20. 根据权利要求16所述的存储介质，其中，所述对网络访问进行实时监控以生成访问日志之后，还包括：
    获取访问日志中的账号及访问时间；
    对同一账号在预设的单位时间段内的访问次数进行统计以得到次数统计结果；
    根据所述次数统计结果计算得到账号的访问次数阈值；
    根据所述访问次数阈值对所述账号的当前网络访问进行监控。
PCT/CN2018/109488 2018-06-29 2018-10-09 网络风险监控方法、装置、计算机设备及存储介质 WO2020000763A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810699243.7A CN108933785B (zh) 2018-06-29 2018-06-29 网络风险监控方法、装置、计算机设备及存储介质
CN201810699243.7 2018-06-29

Publications (1)

Publication Number Publication Date
WO2020000763A1 true WO2020000763A1 (zh) 2020-01-02

Family

ID=64447362

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/109488 WO2020000763A1 (zh) 2018-06-29 2018-10-09 网络风险监控方法、装置、计算机设备及存储介质

Country Status (2)

Country Link
CN (1) CN108933785B (zh)
WO (1) WO2020000763A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953665A (zh) * 2020-07-28 2020-11-17 深圳供电局有限公司 服务器攻击访问识别方法及系统、计算机设备、存储介质
CN112685711A (zh) * 2021-02-02 2021-04-20 杭州宁达科技有限公司 基于用户风险评估的新型信息安全访问控制系统及方法
CN113240266A (zh) * 2021-05-11 2021-08-10 北京沃东天骏信息技术有限公司 一种风险管理方法和装置
CN114466009A (zh) * 2021-12-22 2022-05-10 天翼云科技有限公司 数据处理方法、边缘超融合端、云端及可读存储介质

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109684172A (zh) * 2018-12-17 2019-04-26 泰康保险集团股份有限公司 基于访问频率的日志推送方法、系统、设备及存储介质
CN110191094B (zh) * 2019-04-26 2022-04-08 奇安信科技集团股份有限公司 异常数据的监控方法及装置、存储介质、终端
CN112015946B (zh) * 2019-05-30 2023-11-10 中国移动通信集团重庆有限公司 视频检测方法、装置、计算设备及计算机存储介质
CN110650140B (zh) * 2019-09-25 2022-01-25 杭州安恒信息技术股份有限公司 基于kmeans的攻击行为监测方法及装置
CN111404903B (zh) * 2020-03-09 2022-08-09 深信服科技股份有限公司 一种日志处理方法、装置、设备及存储介质
CN113703325B (zh) * 2020-10-30 2024-02-13 天翼数字生活科技有限公司 一种智能家居终端失陷的检测方法和系统
CN113037728B (zh) * 2021-02-26 2023-08-15 上海派拉软件股份有限公司 一种实现零信任的风险判定方法、装置、设备及介质
CN113726785B (zh) * 2021-08-31 2022-11-11 平安普惠企业管理有限公司 网络入侵检测方法、装置、计算机设备以及存储介质
CN113935057B (zh) * 2021-12-14 2022-03-25 北京中科金财科技股份有限公司 一种基于门限的同态加密隐私保护装置及方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107145587A (zh) * 2017-05-11 2017-09-08 成都四方伟业软件股份有限公司 一种基于大数据挖掘的医保反欺诈系统
CN107623677A (zh) * 2017-08-08 2018-01-23 国家电网公司 数据安全性的确定方法和装置
CN108038049A (zh) * 2017-12-13 2018-05-15 西安电子科技大学 实时日志控制系统及控制方法、云计算系统及服务器

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9043905B1 (en) * 2012-01-23 2015-05-26 Hrl Laboratories, Llc System and method for insider threat detection
CN102685016B (zh) * 2012-06-06 2015-01-07 济南大学 互联网流量区分方法
CN105138661B (zh) * 2015-09-02 2018-10-30 西北大学 一种基于Hadoop的网络安全日志k-means聚类分析系统及方法
CN106375331B (zh) * 2016-09-23 2020-02-14 北京网康科技有限公司 一种攻击组织的挖掘方法及装置
CN107679734A (zh) * 2017-09-27 2018-02-09 成都四方伟业软件股份有限公司 一种用于无标签数据分类预测的方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107145587A (zh) * 2017-05-11 2017-09-08 成都四方伟业软件股份有限公司 一种基于大数据挖掘的医保反欺诈系统
CN107623677A (zh) * 2017-08-08 2018-01-23 国家电网公司 数据安全性的确定方法和装置
CN108038049A (zh) * 2017-12-13 2018-05-15 西安电子科技大学 实时日志控制系统及控制方法、云计算系统及服务器

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953665A (zh) * 2020-07-28 2020-11-17 深圳供电局有限公司 服务器攻击访问识别方法及系统、计算机设备、存储介质
CN111953665B (zh) * 2020-07-28 2022-08-30 深圳供电局有限公司 服务器攻击访问识别方法及系统、计算机设备、存储介质
CN112685711A (zh) * 2021-02-02 2021-04-20 杭州宁达科技有限公司 基于用户风险评估的新型信息安全访问控制系统及方法
CN113240266A (zh) * 2021-05-11 2021-08-10 北京沃东天骏信息技术有限公司 一种风险管理方法和装置
CN114466009A (zh) * 2021-12-22 2022-05-10 天翼云科技有限公司 数据处理方法、边缘超融合端、云端及可读存储介质

Also Published As

Publication number Publication date
CN108933785B (zh) 2021-02-05
CN108933785A (zh) 2018-12-04

Similar Documents

Publication Publication Date Title
WO2020000763A1 (zh) 网络风险监控方法、装置、计算机设备及存储介质
US11089045B2 (en) User and entity behavioral analysis with network topology enhancements
US11025674B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US11271955B2 (en) Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US9832214B2 (en) Method and apparatus for classifying and combining computer attack information
US20200389495A1 (en) Secure policy-controlled processing and auditing on regulated data sets
CN110431817B (zh) 识别恶意网络设备
US20220014560A1 (en) Correlating network event anomalies using active and passive external reconnaissance to identify attack information
US9679131B2 (en) Method and apparatus for computer intrusion detection
US20190207966A1 (en) Platform and Method for Enhanced Cyber-Attack Detection and Response Employing a Global Data Store
US8738721B1 (en) System and method for detecting spam using clustering and rating of E-mails
US11218510B2 (en) Advanced cybersecurity threat mitigation using software supply chain analysis
US20180069893A1 (en) Identifying Changes in Use of User Credentials
US20160164893A1 (en) Event management systems
WO2018152087A1 (en) Systems and methods for detecting malicious computing events
US11240275B1 (en) Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US20130081065A1 (en) Dynamic Multidimensional Schemas for Event Monitoring
US20080289047A1 (en) Anti-content spoofing (acs)
US20220263860A1 (en) Advanced cybersecurity threat hunting using behavioral and deep analytics
US10601857B2 (en) Automatically assessing a severity of a vulnerability via social media
US20210360032A1 (en) Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance
US20210136120A1 (en) Universal computing asset registry
US20240028969A1 (en) Machine learning based analysis of electronic communications
US20230412620A1 (en) System and methods for cybersecurity analysis using ueba and network topology data and trigger - based network remediation
CN111669379B (zh) 行为异常检测方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18924840

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18924840

Country of ref document: EP

Kind code of ref document: A1