[发明专利]一种基于模糊时序关联模式的异常用户检测方法

说明书

本发明涉及一种基于模糊时序关联模式的异常用户检测方法，属于网络安全技术领域。本发明采用事件模糊时序关联模式描述用户事件发生的时序关系或因果关系；然后将采用上述描述的既成知识、通用的用户事件序列模式和随机选取的会话项序列作为初始种群，利用遗传算法对初始种群进行训练，将得到频繁项集作为用户事件序列模式集；最后将实时采集到用户事件序列与相应用户事件序列模式集进行匹配，若匹配不成功，则说明用户异常，实现对异常用户的检测。本发明采用用户操作键的时序关系准确地描述和反映出频繁发生的用户行为，能够快速检测出违反正常行为模式的用户，解决了现有技术中用户行为异常难以检测以及检测不准的问题。

技术领域

本发明涉及一种基于模糊时序关联模式的异常用户检测方法，属于网络安全技术领域。

背景技术

用户是网络行为的行为主体，用户的身份和习惯导致其在网络行为上存在某种规律性。基于用户行为的这种规律性，可以对用户行为进行建模，得到用户行为模式，检测和发现在某段时间内与之不相匹配的异常行为，判定异常用户，为网络安全的维护进一步提供依据。网络用户行为分析根据分析的对象不同可分为两种，分别是基于网络的网络用户行为分析和基于主机的网络用户行为分析，前者主要针对网络通信流量对用户行为进行建模，而后者则主要侧重从主机或服务器采集的日志、操作命令等数据对用户行为建模。

目前我国针对网络用户行为的研究尚处于起步阶段，多基于主机进行行为分析，主要针对网络服务器的日志分析挖掘用户在检索、查询、浏览等行为上的特征，从而为网络行为审计以及入侵检测等提供参考。

中国科学院的连一峰和肖喜等人提出一种基于主机审计的shell命令的异常检测方法，通过shell命令对用户行为建模并发现违反正常行为模式的用户行为。

基于网络流的用户行为分析主要通过是用户所产生流量内部特征的关联关系来对该用户行为进行建模，如李昆仑等提出一种基于流量关联关系的用户行为建模方法，使用时间、访问的网站、使用的网络服务和产生的流量四种特征属性及其关联关系来描述用户行为，并发现异常；杨铮等则通过<编号，时间段，模式，支持度，置信度，产生时间，流量，置信区间>来对用户行为进行建模。这种建模方式只考虑了用户单次行为的模式，而忽略了用户的多次访问或操作之间的时序关联关系，这种对于用户行为的描述方法不能完整的描述用户行为模式。

上述基于网络的用户行为分析主要是基于用户的网络流量，由于很多异常应用行为在底层流量的反映上与正常流量并无明显差别，故这类方法往往较难检测出应用行为异常的用户；上述基于主机的网络行为分析技术大多缺乏实时的用户事件采集和处理机制，导致其不能准确实时的检测用户异常。同时由于目前关联规则的局限性，一般的行为建模方法较难准确地描述和反映出频繁发生的用户行为。

发明内容

本发明的目的是提供一种基于模糊时序关联模式的异常用户检测方法，以解决现有技术中用户行为异常难以检测以及检测不准的问题。

本发明为解决上述技术问题而提供一种基于模糊时序关联模式的异常用户检测方法，该检测方法包括以下步骤：

1)采用事件模糊时序关联模式描述用户事件发生的时序关系或因果关系；

2)将采用上述描述的既成知识、通用的用户事件序列模式和随机选取的事件序列作为初始种群，利用遗传算法对初始种群进行训练，将得到频繁项集作为用户事件序列模式集；

3)将实时采集到用户事件序列与响应用户事件序列模式集进行匹配，若匹配不成功，则说明用户异常。

所述步骤1)中是通过将用户事件序列划分为时间相等的时间片来进行描述的。

所述步骤2)中采用的遗传算法训练过程如下：