一种基于通信行为画像的代理使用者检测方法技术

本发明专利技术公开了一种基于通信行为画像的代理使用者检测方法，基于通信行为构建画像模型；对输入的真实流量数据进行预处理，以指定时间窗口按照组织用户IP属性和时间属性对网络流量进行聚合，得到每一个用户的流量数据；基于流量数据提取指定时间窗口内用户的通信对象稳定性特征以及通信对象数量特征，然后基于阈值对上述两个特征进行过滤筛选得到疑似代理使用者的IP信息；针对每一个疑似代理用户的网络流量进行机器学习检测分类；对于流量判定结果满足阈值设定的IP标记为代理使用者IP。本发明专利技术检测方法通用性高，能够满足目前大数据网络环境下的数据量，采用了基于通信行为的画像模型，检测误报率较低。

A Proxy User Detection Method Based on Communication Behavior Portrait

【技术实现步骤摘要】
一种基于通信行为画像的代理使用者检测方法
本专利技术涉及网络安全
，具体涉及一种基于通信行为画像的代理使用者检测方法。
技术介绍
网络代理是一种特殊的网络服务，允许客户端与服务器进行非直接的连接，是代理区域网络中的主机向网际网络取得网页或获得资料的一种服务。它不仅可以帮助用户突破组织的IP访问限制和内容过滤机制访问被禁止的网站，而且可以隐藏客户端IP，遮盖客户端的网络活动以保障网络终端的隐私或安全。然而代理服务为用户带来便捷的同时伴随着隐藏的威胁。一方面，代理服务器身份的未知性为内部资产防护带来了潜在的网络威胁。有些代理会监听终端用户机器和互联网之间的数据流，造成用户信息泄露进一步引起严重的安全威胁；另一方面，代理服务的匿名性为内部网络安全防御带来了极大的挑战。内部用户使用代理进行网络攻击时将无法进行及时的追踪溯源并遏制事态的发展，造成不可估量的影响。为全面保护网络资产，发现潜在威胁，如何准确有效的检测机构中存在的代理使用者，并对其进行相应的监管处理以增强机构的安全防御能力成为亟待解决的问题。代理的运行机制使其与正常的TCP通信表现出极大的相似性，而且为跨越组织的内容过滤机制，本文档来自技高网...

【技术保护点】
1.一种基于通信行为画像的代理使用者检测方法，其特征在于，包括以下步骤：步骤1：基于通信行为构建画像模型，包括建立标签体系和构建画像特征；步骤1.1：分析需要解决的问题，确定画像对象以及采用的数据源信息；根据对画像对象进行深入的剖析筛选，确定能够抽象该对象的标签；采用数据挖掘方法采集标签可能用到的外源数据集构造标签数据集，确定每一项标签详细的标记规则；整合所有的标签，建立需要分析对象的标签体系；步骤1.2：根据确定的标签体系对数据进行相关属性的提取；采用数据聚合分析方法统计每一类标签的表现结果；根据所有的标签分析结果构建画像特征；步骤2：对输入的真实流量数据进行预处理；以指定时间窗口按照组织用...

【技术特征摘要】
1.一种基于通信行为画像的代理使用者检测方法，其特征在于，包括以下步骤：步骤1：基于通信行为构建画像模型，包括建立标签体系和构建画像特征；步骤1.1：分析需要解决的问题，确定画像对象以及采用的数据源信息；根据对画像对象进行深入的剖析筛选，确定能够抽象该对象的标签；采用数据挖掘方法采集标签可能用到的外源数据集构造标签数据集，确定每一项标签详细的标记规则；整合所有的标签，建立需要分析对象的标签体系；步骤1.2：根据确定的标签体系对数据进行相关属性的提取；采用数据聚合分析方法统计每一类标签的表现结果；根据所有的标签分析结果构建画像特征；步骤2：对输入的真实流量数据进行预处理；以指定时间窗口按照组织用户IP属性和时间属性对网络流量进行聚合，得到每一个用户的流量数据；步骤3：发现可疑用户；基于流量数据提取指定时间窗口内用户的通信对象稳定性特征以及通信对象数量特征，然后基于阈值对上述两个特征进行过滤筛选得到疑似代理使用者的IP信息，存储这些IP的流量进行下一步检测；步骤4：针对每一个疑似代理用户的网络流量进行机器学习检测分类，首先对流量数据预处理转换为画像模型的特征向量，随后输入至已经训练好的机器学习分类器中对用户的流量进行分类判定；对于流量判定结果满足阈值设定的IP标记为代理...

【专利技术属性】
技术研发人员：陈兴蜀，韩珍辉，朱毅，曾雪梅，殷明勇，
申请(专利权)人：四川大学，
类型：发明
国别省市：四川,51