[发明专利]一种异常监测方法及装置

权利要求书

1.一种异常监测方法，其特征在于，包括：

获取日志数据；

根据所获取的预设时间段内的日志数据，通过预设监测模型对各个群体的异常行为、群体内部不同组的异常行为以及各个个体的异常行为进行监测，得到监测结果；

其中，所述日志数据包括以下中的一种或多种：文件操作日志、网络连接日志、进程日志和人机交互状态日志。

2.根据权利要求1所述的方法，其特征在于，所述预设监测模型的获取方式，包括：

提炼出安全场景及异常场景下的共性行为特征，将提炼出来的共性行为特征的数值缩放至预设置信区间内，并对缺省的共性行为特征的数值进行赋值，基于缩放以及赋值后的共性行为特征，通过XGboost算法训练生成所述预设监测模型。

3.根据权利要求2所述的方法，其特征在于，所述将提炼出来的共性行为特征的数值缩放至预设置信区间内，包括：

将提炼出来的共性行为特征的数值转换到均值为0且标准差为1的范围内。

4.根据权利要求1-3中任意一项所述的方法，其特征在于，

所述预设时间段为根据各个群体的异常行为、群体内部不同组的异常行为以及各个个体的异常行为的共性行为特征的数据量以及所要求监测结果的准确度进行设置。

5.根据权利要求1-3中任意一项所述的方法，其特征在于，所述得到监测结果之后，该方法还包括：

设定异常行为的共性行为特征的数据监测阈值；

根据监测结果中异常行为的共性行为特征的数值与所述数据监测阈值的差异程度，对监测结果中的异常行为的异常程度进行量化显示。

6.一种异常监测装置，其特征在于，包括：

获取单元，用于获取日志数据；

监测单元，用于根据所获取的预设时间段内的日志数据，通过预设监测模型对各个群体的异常行为、群体内部不同组的异常行为以及各个个体的异常行为进行监测，得到监测结果；其中，所述日志数据包括以下中的一种或多种：文件操作日志、网络连接日志、进程日志和人机交互状态日志。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

生成单元，用于提炼出安全场景及异常场景下的共性行为特征，将提炼出来的共性行为特征的数值缩放至预设置信区间内，并对缺省的共性行为特征的数值进行赋值，基于缩放以及赋值后的共性行为特征，通过XGboost算法训练生成所述预设监测模型。

8.根据权利要求7所述的装置，其特征在于，

所述生成单元还用于，提炼出安全场景及异常场景下的共性行为特征，将提炼出来的共性行为特征的数值转换到均值为0且标准差为1的范围内，并对缺省的共性行为特征的数值进行赋值，基于缩放以及赋值后的共性行为特征，通过XGboost算法训练生成所述预设监测模型。

9.根据权利要求6-8中任意一项所述的装置，其特征在于，

所述监测单元还用于，设定异常行为的共性行为特征的数据监测阈值；根据监测结果中异常行为的共性行为特征的数值与所述数据监测阈值的差异程度，对监测结果中的异常行为的异常程度进行量化显示。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有信号映射的计算机程序，所述计算机程序被至少一个处理器执行时，以实现权利要求1-5中任意一项所述的异常监测方法。