网络威胁分析系统技术方案

描述了用于实时或近实时地向用户警告账户受到攻击的机器学习技术和模型。在一些实施例中，攻击检测模型使用自然语言处理(NLP)和多级分类技术来监控登录尝试并检测攻击。该模型可以使用NLP将与账户活动相关联的文本转换成数值向量，其中向量包括基于转换后的文本的重要性而计算的分数和/或其它数值。该模型还可以包括分类器集合，分类器被训练以学习预测网络攻击的数值向量中的模式。该模型可以基于事件为攻击的预测可能性向事件分配标签。系统可以基于ML模型输出来部署实时预防或纠正措施，以应对或减轻攻击的影响。

【技术实现步骤摘要】
【国外来华专利技术】

本公开涉及网络攻击检测、预防和减轻。特别地，本公开涉及使用机器学习来自适应地预测和防止对能够通过网络访问的账户的攻击。

技术介绍

1、网络攻击是对能够通过网络访问的计算资源集合进行未经授权的访问的尝试。成功的网络攻击可能允许未经授权的各方查看和复制敏感数据，从而损害数据安全。在更严重的情况下，攻击者可能会修改、加密或以其它方式损坏数据。数据泄露可能会给个人和组织带来严重影响，包括因私有数据丢失或未经授权使用而产生的责任。

2、网络管理员可以部署预防措施来应对网络攻击。例如，网络管理员可以设置在锁定用户账户之前尝试密码的阈值次数、安装防病毒软件来监控网络中的病毒，以及加密敏感数据以减少未经授权访问的可能性。但是，网络攻击在不断演进，并且可能难以预测每种攻击技术。

3、本部分中描述的方法是可以采用的方法，但不一定是先前已经设想或采用的方法。因此，除非另有说明，否则不应仅由于将本部分中所述的任何方法包括在本部分中而将其视为有资格作为现有技术。

技术实现思路

【技术保护点】

1.一个或多个非暂态计算机可读介质，存储指令，所述指令在由一个或多个硬件处理器执行时，使得：

2.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，训练所述机器学习模型以识别网络攻击包括将所述第一文本标记集合转换成数值。

3.如权利要求2所述的一个或多个非暂态计算机可读介质，其中，所述数值至少部分地基于文本标记在各个日志记录中的第一频率以及文本标记跨多个日志记录的逆频率。

4.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，训练所述机器学习模型以识别网络攻击包括：至少部分地基于所述日志记录集合中的每个相应日志记录中包括哪些文本标记来为所述...

【技术特征摘要】
【国外来华专利技术】

1.一个或多个非暂态计算机可读介质，存储指令，所述指令在由一个或多个硬件处理器执行时，使得：

2.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，训练所述机器学习模型以识别网络攻击包括将所述第一文本标记集合转换成数值。

3.如权利要求2所述的一个或多个非暂态计算机可读介质，其中，所述数值至少部分地基于文本标记在各个日志记录中的第一频率以及文本标记跨多个日志记录的逆频率。

4.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，训练所述机器学习模型以识别网络攻击包括：至少部分地基于所述日志记录集合中的每个相应日志记录中包括哪些文本标记来为所述相应日志记录生成分数。

5.如权利要求4所述的一个或多个非暂态计算机可读介质，其中，为每个相应日志记录生成分数包括：聚合分配给所述相应日志记录中包括的文本标记的各个分数的集合。

6.如权利要求1所述的一种或多种非暂态计算机可读介质，其中，所述机器学习模型包括一个或多个决策树；其中训练所述机器学习模型包括至少部分地基于与所述文本标记集合相关联的分数从所述日志记录集合中分割训练示例。

7.如权利要求6所述的一个或多个非暂态计算机可读介质，其中，所述指令还使得：至少部分地基于与所述文本标记集合相关联的分数来修剪所述一个或多个决策树。

8.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，所述指令还使得：调整至少一个模型超参数以在所述机器学习模型的查准率与查全率之间取得平衡。

9.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，所述指令还使得：其中所述文本标记集合包括识别以下项的值：与对用于访问网络服务的账户的登录尝试相关联的网络地址、语言、浏览器和地点。

10.如权利要求1所述的一个或多个非暂态计算机可读介质，其中，所述新日志记录是基于对所述账户的登录...

【专利技术属性】
技术研发人员：V·哥帕拉克里希南，J·斯泰尔巴，M·B·N·拉姆，薛云皎，N·雷，E·C·程，H·I·C·韦尔彻，J·B·韦斯特，Q·W·曹，
申请(专利权)人：甲骨文国际公司，
类型：发明
国别省市：