[发明专利]一种基于用户群行为活动的安全分析方法

说明书

本发明涉及一种基于用户群行为活动的安全分析方法，涉及网络安全技术领域。本发明通过构建实体用户与应用系统用户的映射关系，形成统一的用户身份管理，为异常行为定位到个人提供基础。同时，搜集用户在网络中的行为活动信息，形成完整的用户行为活动记录，并根据历史数据进行统计分析，形成四类用户日常行为模式。依据用户行为活动“白模式”中的信息，实时分析用户行为和模式，实时研判用户行为是否属于异常行为。对不确定的用户行为活动，进行逆向用户行为分析和判断，通过深度分析线索，并结合与该用户具有相同角色和权限的用户的行为模式的对比分析结果，实现对用户行为的监测以及高危用户行为评估，从而发现数据渗透、APT攻击等行为。

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于用户群行为活动的安全分析方法。

背景技术

用户网络行为分析有助于用户执行正常活动基线的确立，迅速识别偏离正常行为的异常行为，采用统计学习和机器学习技术，实时分析并了解用户行为和模式，监测和评估高危用户行为。主动寻找内部威胁、检测高级的恶意软件活动、密切关注用户的行动，识别高危行为，从而达到对主机、网络、数据的安全保护，能够及时发现数据渗透、APT攻击等行为。如何针对内网用户异常行为检测、分析、研判，设计一种基于用户群网络行为的安全分析方法，成为了亟待解决的技术问题。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何针对内网用户异常行为检测、分析、研判，设计一种基于用户群网络行为的安全分析方法。

(二)技术方案

为了解决上述技术问题，本发明提供了一种基于用户群行为活动的安全分析方法，包括以下步骤：

步骤1：将网络或者系统中的应用系统用户与实体用户进行一一关联和映射；

步骤2：通过搜集用户在网络或系统中的行为活动数据，提取用于用户行为活动分析的属性信息，形成用户网络行为活动记录；

步骤3：根据用户网络行为活动记录，从访问频率、时间、访问途径、访问内容的维度，建立用户正常行为活动模式，形成用户行为活动基线库；

步骤4：用户行为活动初次判断：将用户的实时行为活动与用户行为活动基线库中的用户正常行为活动模式对比，判断当前用户行为的模式，如果符合用户正常行为活动模式，则判定为正常行为，否则预判为可疑行为模式，转入步骤5；

步骤5：用户行为逆向追踪：对预判为可疑行为模式的用户行为进行逆向追踪和分析，明确用户行为环节中各个节点状况，若判定用户行为活动为异常行为，则转入步骤8，否则转入步骤6；

步骤6：可疑行为二次判断：通过将可疑行为模式的行为活动与其他相同角色的用户行为活动进行对比分析，判断被分析的用户行为活动的是正常行为还是异常行为，若判定为异常行为，则进入步骤8，否则进入步骤7；

步骤7：根据步骤6的二次判断结果，采用LRU的方式更新用户行为活动基线库；

步骤8：根据对用户行为二次判断的结果，对异常行为进行告警，并更新异常行为库。

优选地，步骤1具体为：