[发明专利]基于文件访问图的非监督伪装者检测方法及系统

说明书

本发明提供一种基于文件访问图的非监督伪装者检测方法，其步骤包括：将全部文件访问记录按时间顺序分割成多个文件块，每个文件块均包含多条文件访问记录；利用相似度评分函数计算所述文件块之间的相似度；构建无向边权重图，将所述文件块作为图中相互连接的各顶点，任意两顶点间的边权重为对应的两文件块间的相似度；利用聚类算法挖掘图中的聚类簇，并得到图中每个顶点与其所属聚类簇的相关度；将相关度低于一特定的阈值的异常顶点判定为伪装者。本发明还提供一种基于文件访问图的非监督伪装者检测系统。

技术领域

本发明涉及信息安全领域，具体涉及一种基于文件访问图的非监督伪装者检测方法及系统。

背景技术

信息是一种极其重要的资产，如何防止恶意内部人员窃取组织内部信息已经成为目前最严重的网络安全威胁。由于越来越多的信息存储于个人计算机，及时有效地检测一个人的计算机是否被非法访问是检测信息窃取的一个关键问题，这种检测方法被称为伪装者检测或内部威胁检测。伪装者是利用窃取的合法用户身份来执行恶意行为的一种攻击者。

目前的伪装者检测方法主要研究unix命令、鼠标键盘使用、文件使用以及其他的经常被用户使用的计算机对象。

Schonlau(Schonlau M.，DuMouchel W.，Ju W.H.，Karr A.F.，Theus M.，VardlY.:Computerintrusion:Detecting masquerades.In:Statistical science，pp.58-74(2001))首先构建了一个unix命令数据集，并且基于unix命令使用“uniqueness”方法建模用户行为和检测伪装者。然而，由于伪装者数据不是真实的攻击数据，这个unix命令数据集备受争议。

Messerman(Messerman A.，T.，Camtepe S.A.，Albayrak S.:Continuousand nonintrusiveidentityveri_cation in real-time environments based on free-text keystrokedynamics.In:International Joint Conference on Biometrics，IEEEComputer Society，pp.1-8(2011))从键盘按键被按下和弹起的次数来建模用户的鼠标动态行为。Garg(Garg A.，Rahalkar R.，Upadhyaya S.，Kwiat P.:Pro_ling users in GUIbased systemsfor masquerade detection.In:Proceedings of the 2006 IEEEWorkshop onInformation Assurance，pp.48-54(2006))建立了鼠标点击和移动的模式。然而，这些模型仅仅适用于预定义的环境，例如只与特定的一个应用程序交互。

基于文件使用的伪装者检测方法已经吸引了越来越多的关注。大致可以分为监督和非监督方法。( J.B.，Monroy R.，Trejo L.A.，Medina-Pérez M.A.:Temporal and spatiallocality:An abstraction for masquerade detection.In:IEEETransactions onInformation Forensics and Security，vol.11，no.9，pp.2036-2051(2016))提取了文件访问的局部特征，并使用TreeBagger分类器检测伪装者。Song(SongY.，Salem M.B.，Hershkop S.，Stolfo S.J.:System level user behaviorbiometricsusing Fisher features and Gaussian mixture models.In:Security andPrivacyWorkshops(SPW)，IEEE，vol.42，no.6，pp.52-59(2013))应用多变量高斯混合模型分类器建立用户行为，提取了一系列统计特征，例如文件访问次数。然而由于伪装者数据的缺乏，监督学习方法不太适用于真实情况。