一种基于网络日志流数据的网络空间异常行为检测方法技术

本公开提供一种网络日志异常行为检测方法。包括五个步骤：步骤1：将网络日志数据流计算主成分，保留参照窗口矩阵略图；步骤2：对数据流中后续到来的每个向量,通过滑动窗口上的最优矩阵略图算法更新相应的测试窗口的矩阵略图；步骤3：通过变化打分函数MGKL散度，对参照窗口的概率密度估计与测试窗口的的概率密度估计计算量化差异分数；步骤4：若差异分数大于阈值，则报告一次异常检测事件，并将当前测试窗口的矩阵略图作为新的参照窗口矩阵略图；步骤5：通过步骤2继续处理数据流中新的输入。可以实现挖掘发生主要变化的属性和特征，分析可能的异常行为发生的原因，同时在资源受限的场景下自适应地实现计算资源与近似精度的折衷。

【技术实现步骤摘要】

本公开涉及计算机网络领域，更具体地讲，涉及一种网络日志异常行为检测方法。

技术介绍

1、在现有技术中，论文《apca-based change detection framework formultidimensional data streams》公开的一种滑动窗口上的高维数据异常检测算法pca-based change detection。pca-based change detection方法的核心特征是设定一个固定的参照窗口wr，通过主成分分析得到参照窗口特征值较大的特征向量作为主成分s1，在数据流中的数据源源不断输入的过程中维护由最近n个向量组成的测试窗口wt，计算测试窗口wt在主成分s1上的投影s2，并通过变化打分函数量化测试窗口wt相对于参照窗口wr的异常变化值，若超出提前设定的阈值θ，则报告一次异常检测。该方法有以下两项缺点：

2、1、参照窗口wt是固定的，没有随着高维数据流输入分布的变化而自适应地调整和更新。2、需要计算和保存每个输入元素在主成分s1上的投影。如果的数据流的输入速率很大，计算和存储资源开销将变得很高甚至不可接受本文档来自技高网...

【技术保护点】

1.一种网络日志异常行为检测方法，其特征在于，包括五个步骤：

2.如权利要求1所述的一种网络日志异常行为检测方法，其特征在于，所述步骤2中通过滑动窗口上的最优矩阵略图算法更新相应的测试窗口的矩阵略图S2的方法包括步骤2.1-2.5：

3.如权利要求2所述的一种网络日志异常行为检测方法，其特征在于，所述步骤2.5中更新矩阵略图的方法具体为：

4.如权利要求1所述的一种网络日志异常行为检测方法，其特征在于，所述步骤3中所述差异分数的计算方法为，采用矩阵略图估计概率密度分布估计的参数均值向量μ1、协方差矩阵K1以及概率密度分布估计的参数均值向量μ2、协方差矩...

【技术特征摘要】

1.一种网络日志异常行为检测方法，其特征在于，包括五个步骤：

2.如权利要求1所述的一种网络日志异常行为检测方法，其特征在于，所述步骤2中通过滑动窗口上的最优矩阵略图算法更新相应的测试窗口的矩阵略图s2的方法包括步骤2.1-2.5：

3.如权利要求2所述的一种网络日志异常行为检测方法，其特征在于，所述步骤2.5中更新矩阵略图的方法具体为：

4.如权利要求1所述的一种网络日志异常行为检测方法，其特征在于，所述步骤3中所述差异分数的计算方法为，...

【专利技术属性】
技术研发人员：魏哲巍，尹涵燕，文东勰，李家郡，张骁，
申请(专利权)人：中国人民大学，
类型：发明
国别省市：