一种基于多维特征提取与聚类的企业上网行为管理方法及系统与流程

本发明涉及网络安全，尤其涉及一种对企业内部员工上网行为进行智能分析、管控和响应的方法及系统。

背景技术：

1、随着互联网技术的发展和企业数字化转型的深入，员工通过互联网开展工作已成为常态。然而，开放的互联网环境也带来了诸多安全风险和管理挑战，如访问恶意网站、泄露敏感数据、滥用网络资源、感染病毒木马等。因此，对企业上网行为进行有效管理至关重要。

2、传统的企业上网行为管理技术主要依赖于以下几种方式：

3、url/ip黑名单库： 通过维护一个庞大的不良网站或ip地址黑名单，对员工的访问请求进行匹配和阻断。这种方式简单直接，但存在明显缺陷：黑名单更新滞后，无法覆盖新生成的恶意网站；对于https加密流量，如果不进行解密则无法获取url，导致失效。

4、应用层协议识别（dpi/dfi）： 通过深度包检测（dpi）或深度流检测（dfi）技术识别网络流量所属的应用程序（如视频、游戏、社交软件等）。这种方式在应对非加密或已知协议的应用时较为有效，但对于私有协议、加密流量或新型应用，识别准确率会大幅下降。

5、静态规则策略： 管理员预设固定的访问控制策略，如“禁止访问某类网站”、“限制某应用带宽”等。这种策略缺乏灵活性，无法根据用户行为的动态变化和实际风险进行调整，容易产生误判和漏判，管理效率低下。

6、综上所述，现有技术普遍存在识别准确率低、对加密流量和新型应用处理能力弱、策略静态固化、响应滞后等问题，难以满足现代企业对精细化、智能化、实时化网络安全管理的需求。因此，亟需一种更先进、更智能的企业上网行为管理方案。

技术实现思路

1、本发明的主要目的在于克服现有技术的不足，提供一种基于多维特征提取与聚类的企业上网行为管理方法及系统，以解决传统上网行为管理技术存在的识别率低、响应滞后、策略固化、无法适应动态网络威胁环境等问题。

2、一种基于多维特征提取与聚类的企业上网行为管理方法，包括以下步骤：

3、步骤s1. 实时流量采集：采集实时流量数据，对网络中的http/https、dns、tcp/ip数据包进行无感知实时捕获和预处理；

4、步骤s2. 行为特征提取：对预处理后的流量数据进行会话重组，针对每个一级域名对应的流量数据提取包括会话时长、访问频次、通信五元组信息、数据包大小分布、dns查询模式在内的多维特征，将所述多维特征转化为每个一级域名对应的高维行为向量；

5、步骤s3. 智能智能分析：将所述高维行为向量输入至预先训练的智能分析模型中，所述智能分析模型包括cnn+lstm混合模型和dbscan聚类模型；其中，所述cnn+lstm混合模型用于对输入的高维行为向量进行分类，输出访问类型标签和风险评分和置信度,若行为向量的置信度低于预设阈值，判则定为低置信度行为向量并送入dbscan模型，若置信度高于或等于预设阈值，则判定为高置信度行为向量，将高置信度行为向量及其访问类型标签和风险评分输入到策略引擎模块；所述dbscan聚类模型用于对低置信度行为向量进行聚类，判断是否存在不属于任何一个聚类的异常点，若存在则判断存在未知异常行为，对异常行为触发告警并对关联的ip或账号实施网络隔离；

6、步骤s4. 动态策略执行：策略引擎模块接收行为向量的访问类型标签和风险评分，结合企业预设的策略库，动态生成允许、限速、告警或阻断的访问控制规则，并通过北向api接口将所述规则下发至边缘防火墙或智能网关等网络设备进行执行；

7、步骤s5. 闭环反馈与自适应：执行反馈模块收集网络设备对访问控制规则的执行日志，并将包含执行结果的反馈信息回传至所述智能分析模型，触发所述智能分析模型的在线增量训练，实现策略与模型的双向自适应优化。

8、进一步的，所述步骤s1中，流量采集模块通过旁路镜像方式获取流量。

9、进一步的，所述步骤s2中，所述通信五元组信息包括源ip地址、目的ip地址、源端口、目的端口和传输层协议；所述dns查询模式包括查询域名频次、域名类型分布和查询响应时间。

10、进一步的，所述步骤s3中，所述cnn+lstm混合模型中，卷积神经网络cnn用于从行为向量的序列中提取局部空间特征，长短期记忆网络lstm用于捕捉行为在时间维度上的依赖关系和动态变化模式。

11、进一步的，所述步骤s3中，所述智能分析模型采用收集的大规模企业实际流量数据进行预先训练。

12、进一步的，所述步骤s4中，策略引擎模块支持与现有身份认证体系对接，将访问控制规则与具体用户或用户组进行绑定。

13、进一步的，还包括步骤s6. 可视化报表与预警：系统每日定时根据智能分析结果和策略执行情况，生成包含风险分布、事件趋势、用户行为画像的可视化报表，并通过邮件、短信或即时通讯工具向安全团队推送高风险事件预警。

14、一种基于多维特征提取与聚类的企业上网行为管理系统，包括：

15、流量采集模块，部署在企业核心交换机旁路端口，用于实时捕获http/https、dns、tcp/ip数据包；

16、特征提取模块，与所述流量采集模块连接，用于从流量数据中提取多维特征并转化为行为向量；

17、智能分析模块，与所述特征提取模块连接，内置cnn+lstm混合模型和dbscan聚类模型，用于对行为向量进行分类和异常检测，输出访问类型标签和风险评分；

18、策略引擎模块，与所述智能分析模块连接，用于根据智能分析结果和预设策略库生成动态访问控制规则；

19、执行接口模块，与所述策略引擎模块连接，用于通过北向api将访问控制规则下发至网络设备；

20、执行反馈模块，与所述执行接口模块和智能分析模块连接，用于收集执行日志并回传至智能分析模块，触发其在线增量训练。

21、进一步的，还包括可视化报表模块，与所述智能分析模块和执行反馈模块连接，用于生成可视化报表和推送预警信息。

22、进一步的，所述系统采用模块化设计，可无缝对接现有网络设备和身份认证体系。

23、本发明具有以下有益效果：

24、高精度识别： 采用cnn+lstm混合模型，能够深度挖掘流量数据在空间和时间维度的复杂特征，结合dbscan聚类算法，不仅对已知应用和风险行为有超过99%的识别率，还能有效发现未知的、潜在的异常行为，大幅降低了漏报率和误报率。

25、实时响应与自适应： 从流量采集到策略执行的整个流程高度自动化，响应时间缩短至分钟级。更重要的是，通过闭环反馈机制，系统能够根据执行结果进行在线增量学习，使智能模型和管理策略能够动态适应网络环境和威胁的变化，实现“越用越聪明”的自适应进化。

26、无感部署与兼容性强：采用旁路部署模式，无需改变现有网络拓扑，对业务网络“零侵入、零影响”。模块化设计使其能够与主流的防火墙、网关、身份认证系统无缝对接，保护企业已有投资。

27、智能化与可视化： 将智能深度应用于上网行为分析，将管理员从繁琐的规则维护中解放出来。丰富的可视化报表和预警机制，让安全态势一目了然，为管理决策提供了有力的数据支撑。

28、下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。