一种终端入侵检测方法和装置制造方法及图纸

本发明专利技术实施例提供了一种终端入侵检测方法和装置，可用于人工智能技术领域，所述方法包括：对目标系统调用序列进行子序列提取，生成目标特征子序列；根据目标特征子序列，从目标特征子序列语料库中提取出目标特征向量；通过样本生成算法，根据目标特征向量，生成增量序列样本；通过入侵检测模型对目标特征向量和增量序列样本进行入侵检测，得到入侵检测结果，入侵检测模型是基于聚焦损失函数的轻量梯度提升树算法训练得到的，能够从目标系统调用序列中提取出有效特征向量，通过少量训练样本对基于聚焦损失函数的轻量梯度提升树算法进行训练构建入侵检测模型，避免过拟合问题；能够区分相似的正常样本与异常样本，提高入侵检测模型的检测准确率。测模型的检测准确率。测模型的检测准确率。

【技术实现步骤摘要】
一种终端入侵检测方法和装置


[0001]本专利技术涉及计算机
，特别涉及人工智能
，尤其涉及一种终端入侵检测方法和装置。

技术介绍

[0002]近年来，计算机网络安全涉及到军事、经济、科技、教育及企业、个人等各个领域，为了确保这些信息不被破坏，对于入侵检测的研究势在必行。相关技术中，通过基于窗口的主机入侵检测或基于频率的主机入侵检测进行终端检测，在特征提取阶段，存在切分系统调用序列的窗口难划定的问题，无法保留系统调用序列中的完整语义；在日常网络通讯中，绝大部分通讯数据为正常样本数据，其中只有极少部分为攻击者的攻击行为产生的异常样本数据，所以模型在训练时难以根据少量的异常样本数据学习到异常样本数据的攻击行为规律，从而容易对异常数据产生过拟合的现象，攻击者为了绕过入侵检测模型会模仿正常进程的行为，这将会导致攻击行为与正常行为提取出的特征较为相似，难以区分。相关技术无法从系统调用序列中提取出有效特征，无法区分相似的正常样本与异常样本，导致入侵检测模型的检测准确率较低。

技术实现思路

[0003]本专利技术的一个目的在于提供一种终端入侵检测方法，能够从目标系统调用序列中提取出有效特征向量，通过少量训练样本对基于聚焦损失函数的轻量梯度提升树算法进行训练构建入侵检测模型，避免过拟合问题；能够区分相似的正常样本与异常样本，提高入侵检测模型的检测准确率。本专利技术的另一个目的在于提供一种终端入侵检测装置。本专利技术的再一个目的在于提供一种计算机可读介质。本专利技术的还一个目的在于提供一种计算机设备。/>[0004]为了达到以上目的，本专利技术一方面公开了一种终端入侵检测方法，包括：
[0005]获取待检测终端的目标系统调用序列；
[0006]对目标系统调用序列进行子序列提取，生成目标特征子序列；
[0007]根据目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量；
[0008]通过样本生成算法，根据目标特征向量，生成增量序列样本；
[0009]通过预先构建的入侵检测模型，对目标特征向量和增量序列样本进行入侵检测，得到入侵检测结果，入侵检测模型是基于聚焦损失函数的轻量梯度提升树算法训练得到的。
[0010]优选的，在根据目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量之前，还包括：
[0011]获取各终端的正常系统调用序列；
[0012]对正常系统调用序列进行子序列提取，生成目标特征子序列语料库。
[0013]优选的，对正常系统调用序列进行子序列提取，生成目标特征子序列语料库，包括：
[0014]通过语言模型，对正常系统调用序列进行语义子序列提取，生成语义特征语料库；
[0015]通过后缀树，对正常系统调用序列进行进程行为子序列提取，生成进程行为特征语料库；
[0016]根据语义特征语料库和进程行为特征语料库，生成目标特征子序列语料库。
[0017]优选的，通过语言模型，对正常系统调用序列进行语义子序列提取，生成语义特征语料库，包括：
[0018]通过窗口划分技术，对正常系统调用序列进行切分，得到多个切分子序列；
[0019]统计每个切分子序列在各终端下的多个系统调用序列中的第一频数和在当前的正常系统调用序列中的第二频数；
[0020]通过加权技术，根据切分子序列、切分子序列对应的第一频数和第二频数，生成切分子序列对应的子序列权重；
[0021]对多个子序列权重进行比较，选取出指定排序的子序列权重对应的切分子序列；
[0022]根据选取出的切分子序列，生成语义特征语料库。
[0023]优选的，通过后缀树，对正常系统调用序列进行进程行为子序列提取，生成进程行为特征语料库，包括：
[0024]若正常系统调用序列的长度大于预设的长度阈值，按照预设的划分长度对正常系统调用序列进行划分，得到多个子进程序列；
[0025]若正常系统调用序列的长度小于或等于预设的长度阈值，将正常系统调用序列确定为子进程序列；
[0026]根据每个子进程序列分别构建对应的后缀树；
[0027]提取每棵后缀树的最长重复子串；
[0028]根据多个最长重复子串，生成进程行为特征语料库。
[0029]优选的，根据目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量，包括：
[0030]统计每个目标特征子序列在目标特征子序列语料库中的频率，生成每个目标特征子序列对应的目标特征向量。
[0031]优选的，目标特征向量包括正常序列样本和异常序列样本；
[0032]通过样本生成算法，根据目标特征向量，生成增量序列样本，包括：
[0033]根据目标特征向量的样本总数量和预设的样本增量，对目标特征向量所在的样本空间进行划分，得到多个样本网格；
[0034]根据正常序列样本和异常序列样本，确定出边界样本；
[0035]对边界样本进行样本插值，生成增量序列样本。
[0036]优选的，对边界样本进行样本插值，生成增量序列样本，包括：
[0037]根据预先生成的增量样本数量和预先生成的边界样本对应的增量权重，得到边界样本对应的插值次数；
[0038]按照插值次数，对边界样本进行样本插值，生成增量序列样本。
[0039]优选的，在根据预先生成的增量样本数量和预先生成的边界样本对应的增量权
重，得到边界样本对应的插值次数之前，还包括：
[0040]根据正常序列样本的数量、异常序列样本的数量和预设的期望样本比例，确定出增量样本数量；
[0041]根据边界样本，获取边界样本所在的样本网格的相邻样本网格中的K邻近样本；
[0042]根据K邻近样本中的正常样本数量和K邻近样本总数，得到K邻近正常样本比例；
[0043]根据多个K邻近正常样本比例，得到边界样本对应的增量权重。
[0044]优选的，按照插值次数，对边界样本进行样本插值，生成增量序列样本，包括：
[0045]按照插值次数，从边界样本所在的样本网格中选取两个原始样本；
[0046]在两个原始样本之间进行随机线性插值，得到中间样本；
[0047]在中间样本和边界样本之间进行随机线性插值，得到增量序列样本。
[0048]优选的，方法还包括：
[0049]对目标特征向量进行降维处理，得到降维处理后的目标特征向量。
[0050]本专利技术还公开了一种终端入侵检测装置，包括：
[0051]第一序列获取模块，用于获取待检测终端的目标系统调用序列；
[0052]动态特征视图模块，用于对目标系统调用序列进行子序列提取，生成目标特征子序列；
[0053]特征向量提取模块，用于根据目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量；
[0054]样本生成模块，用于通过样本生成算法，根据目标特征向量，生成增量序列样本；<本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种终端入侵检测方法，其特征在于，所述方法包括：获取待检测终端的目标系统调用序列；对所述目标系统调用序列进行子序列提取，生成目标特征子序列；根据所述目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量；通过样本生成算法，根据所述目标特征向量，生成增量序列样本；通过预先构建的入侵检测模型，对所述目标特征向量和增量序列样本进行入侵检测，得到入侵检测结果，所述入侵检测模型是基于聚焦损失函数的轻量梯度提升树算法训练得到的。2.根据权利要求1所述的终端入侵检测方法，其特征在于，在所述根据所述目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量之前，还包括：获取各终端的正常系统调用序列；对所述正常系统调用序列进行子序列提取，生成目标特征子序列语料库。3.根据权利要求2所述的终端入侵检测方法，其特征在于，所述对所述正常系统调用序列进行子序列提取，生成目标特征子序列语料库，包括：通过语言模型，对所述正常系统调用序列进行语义子序列提取，生成语义特征语料库；通过后缀树，对所述正常系统调用序列进行进程行为子序列提取，生成进程行为特征语料库；根据所述语义特征语料库和进程行为特征语料库，生成目标特征子序列语料库。4.根据权利要求3所述的终端入侵检测方法，其特征在于，所述通过语言模型，对所述正常系统调用序列进行语义子序列提取，生成语义特征语料库，包括：通过窗口划分技术，对所述正常系统调用序列进行切分，得到多个切分子序列；统计每个切分子序列在各终端下的多个系统调用序列中的第一频数和在当前的正常系统调用序列中的第二频数；通过加权技术，根据所述切分子序列、所述切分子序列对应的第一频数和第二频数，生成所述切分子序列对应的子序列权重；对多个子序列权重进行比较，选取出指定排序的子序列权重对应的切分子序列；根据选取出的切分子序列，生成所述语义特征语料库。5.根据权利要求3所述的终端入侵检测方法，其特征在于，所述通过后缀树，对所述正常系统调用序列进行进程行为子序列提取，生成进程行为特征语料库，包括：若所述正常系统调用序列的长度大于预设的长度阈值，按照预设的划分长度对所述正常系统调用序列进行划分，得到多个子进程序列；若所述正常系统调用序列的长度小于或等于预设的长度阈值，将所述正常系统调用序列确定为子进程序列；根据每个所述子进程序列分别构建对应的后缀树；提取每棵后缀树的最长重复子串；根据多个所述最长重复子串，生成进程行为特征语料库。6.根据权利要求1所述的终端入侵检测方法，其特征在于，所述根据所述目标特征子序列，从预先构建的目标特征子序列语料库中提取出目标特征向量，包括：
统计每个所述目标特征子序列在所述目标特征子序列语料库中的频率，生成每个目标特征子序列对应的目标特征向量。7.根据权利要求1所述的终端入侵检测方法，其特征在于，所述目标特征向量包括正常序列样本和异常序列样本；所述通过样本生成算法，根据所述目标特征向量...

【专利技术属性】
技术研发人员：廖小瑶，张一芃，谢婷婷，
申请(专利权)人：中国工商银行股份有限公司，
类型：发明
国别省市：