一种基于时序异构证据图的网络违法行为识别方法及系统与流程

本技术属于网络安全数据处理，具体为一种基于时序异构证据图的网络违法行为识别方法及系统。

背景技术：

1、现有网络违法行为识别过程中，可以将账号、设备、网络地址、通信对象、交易对象等作为不同类型实体，并根据登录、访问、通信或者交易过程中形成的关联关系构建具有时间信息的网络证据图。网络安全分析设备可以沿不同实体之间的关联关系扩展网络证据，以形成用于识别网络行为的证据路径。

2、在上述处理方式中，同一设备标识、账号标识、网络地址或者云主机标识通常对应图中的同一节点。当不同时间产生的网络证据均与该节点建立关联时，网络安全分析设备可以经由所述节点继续读取与其连接的其他历史关联关系。

3、但是，实际网络环境中，网络标识与控制主体之间并不一定保持长期固定的对应关系。例如，设备转让、账号租用、账号交接、云主机租户切换或者终端多人使用，均可能使同一网络标识在不同时间分别对应不同主体。此时，虽然网络标识本身没有发生变化，但是该网络标识在前后不同时间所表征的实际控制关系已经发生改变。

4、现有网络证据图如果仍将所述网络标识作为贯穿多个历史时段的同一连续节点，则在沿图中关联关系进行证据扩展时，前一主体形成的历史网络证据与后一主体形成的网络证据可能经由所述同一节点发生连续传播。由此，后一主体形成的访问、通信或者交易证据可能进入前一主体对应的证据路径，前一主体形成的历史证据也可能进入后一主体对应的识别过程，使最终用于网络行为识别的证据范围与网络标识在相应时间实际对应的控制主体不一致。

5、例如，主体甲上午使用设备d进行正常网络活动，中午以后设备d转由主体乙使用，主体乙下午利用设备d形成异常访问、通信或者交易记录。如果网络证据图仅根据设备标识d相同而连续读取其全部历史关联关系，则主体乙下午形成的网络证据可能经设备d进入主体甲上午对应的证据路径；相应地，主体甲上午形成的网络证据也可能进入主体乙下午对应的识别过程。

6、因此，现有技术需要解决的问题是：在同一可复用网络标识能够随时间对应不同主体的情况下，如何避免不同控制时期形成的网络证据经由所述可复用网络标识发生跨时期错误传播，使网络行为识别所使用的证据能够与对应主体实际控制所述可复用网络标识的时间范围相匹配。

技术实现思路

1、针对现有网络违法行为识别过程中，同一可复用网络标识在不同时间对应不同控制主体时，不同控制时期形成的网络证据容易经由同一网络标识发生跨时期传播，导致用于网络行为识别的证据范围与相应控制主体的实际控制时期不一致的问题，本技术提供一种基于时序异构证据图的网络违法行为识别方法及系统，通过具有时间信息的关联证据确定可复用网络标识对应控制关系的变化，并据此限制不同控制时期之间的证据传播范围，使后续网络行为识别能够基于与相应控制时期对应的目标证据链进行。

2、为实现上述目的，本技术采用的技术方案是：

3、第一方面，本技术提供一种基于时序异构证据图的网络违法行为识别方法，包括：

4、获取具有时间信息的多源网络证据，根据所述多源网络证据中的主体标识、可复用网络标识及关联关系构建时序异构证据图；针对所述时序异构证据图中在不同时间关联于不同主体的所述可复用网络标识，根据围绕所述可复用网络标识形成的关联证据随时间的连续性变化，确定控制关系切换位置；根据所述控制关系切换位置，将所述可复用网络标识对应的历史关联关系划分为多个控制阶段，并按照所述控制阶段限定证据传播边界，得到阶段化证据图；从所述阶段化证据图中提取同一控制阶段内连续承接的目标证据链，根据所述目标证据链确定网络违法行为识别结果。

5、在一种可能的实施方式中，所述构建时序异构证据图，包括：

6、获取登录、访问、通信或者交易过程中形成的网络证据记录，从各所述网络证据记录中提取事件时间、实体类型、实体标识及实体之间的关联关系；将不同类型实体作为异构节点，将具有所述事件时间的所述关联关系作为时序关联边，并由所述异构节点和所述时序关联边形成所述时序异构证据图。

7、在一种可能的实施方式中，所述可复用网络标识包括能够在不同时间对应不同主体的设备标识、账号标识、网络地址或云主机标识中的至少一种；按照事件时间顺序读取与同一所述可复用网络标识连接的各所述时序关联边，根据各所述时序关联边对应的主体标识和事件时间形成主体关联证据，并按照所述事件时间对各所述主体关联证据排序，得到用于确定所述控制关系切换位置的主体关联时序。

8、在一种可能的实施方式中，所述确定控制关系切换位置，包括：

9、按照时间顺序遍历所述主体关联时序，将相邻主体关联证据对应的主体标识由第一主体变化为不同于所述第一主体的第二主体的位置确定为候选切换位置；分别向所述候选切换位置之前和之后连续读取对应于所述第一主体和所述第二主体的主体关联证据，得到前向连续证据段和后向连续证据段；当所述前向连续证据段和所述后向连续证据段的证据数量，均不小于预设最小连续证据数量时，将所述候选切换位置确定为所述控制关系切换位置。

10、在一种可能的实施方式中，所述预设最小连续证据数量的确定，包括：

11、获取具有已确认控制关系切换位置的历史证据样本；针对各所述历史证据样本，分别统计紧邻所述已确认控制关系切换位置之前和之后的连续主体关联证据数量，并将两个连续主体关联证据数量中的较小值，确定为对应历史证据样本的样本连续证据数量；将各所述样本连续证据数量中的最小值确定为所述预设最小连续证据数量。

12、在一种可能的实施方式中，将所述可复用网络标识对应的历史关联关系划分为多个控制阶段，包括：

13、将所述控制关系切换位置确定为相邻控制阶段之间的阶段分界；以相邻两个所述控制关系切换位置之间、首个所述控制关系切换位置之前以及末个所述控制关系切换位置之后的时间范围分别形成控制阶段；将与所述可复用网络标识直接连接且事件时间位于对应时间范围内的历史关联关系归入对应控制阶段。

14、在一种可能的实施方式中，按照所述控制阶段限定证据传播边界，包括以下任一种方式：

15、为归入各所述控制阶段的历史关联关系写入对应的控制阶段标识，在证据传播到达所述可复用网络标识时，仅沿控制阶段标识与当前控制阶段一致的时序关联边继续扩展；或者，按照不同所述控制阶段将同一所述可复用网络标识，形成多个相互隔离的阶段节点，将各所述历史关联关系连接至与其控制阶段对应的阶段节点，使不同控制阶段对应的历史关联关系不能经同一阶段节点连续传播；根据限定后的所述历史关联关系得到所述阶段化证据图。

16、在一种可能的实施方式中，从所述阶段化证据图中提取同一控制阶段内连续承接的目标证据链，包括：

17、以待识别主体对应的主体节点作为起始节点，确定对应控制阶段的时间范围，并从与所述主体节点连接的时序关联边开始扩展；每次扩展时，筛选事件时间位于所述时间范围内，且不早于当前证据路径末端事件时间的时序关联边；当存在多条满足条件的时序关联边时分别形成扩展分支，并在各所述扩展分支结束后，将各扩展分支对应的证据路径共同组成所述目标证据链。

18、在一种可能的实施方式中，根据所述目标证据链确定网络违法行为识别结果，包括：

19、读取所述目标证据链中的主体标识、控制阶段标识、事件时间、关联对象及网络行为信息，按照所述主体标识和所述控制阶段标识形成阶段化识别输入；将所述阶段化识别输入提供给网络行为识别模块，接收所述网络行为识别模块输出的网络行为识别结论；将所述网络行为识别结论与对应的主体标识、控制阶段标识及目标证据链建立关联，得到所述网络违法行为识别结果。

20、第二方面，本技术提供一种基于时序异构证据图的网络违法行为识别系统，实施所述的一种基于时序异构证据图的网络违法行为识别方法，包括：

21、证据图构建模块，用于获取具有时间信息的多源网络证据，根据所述多源网络证据中的主体标识、可复用网络标识及关联关系构建时序异构证据图；切换确定模块，用于针对所述时序异构证据图中在不同时间关联于不同主体的所述可复用网络标识，根据围绕所述可复用网络标识形成的关联证据随时间的连续性变化，确定控制关系切换位置；阶段处理模块，用于根据所述控制关系切换位置，将所述可复用网络标识对应的历史关联关系划分为多个控制阶段，并按照所述控制阶段限定证据传播边界，得到阶段化证据图；行为识别模块，用于从所述阶段化证据图中提取同一控制阶段内连续承接的目标证据链，根据所述目标证据链确定网络违法行为识别结果。

22、与相关技术相比，本技术具有如下有益效果：

23、通过获取具有时间信息的多源网络证据，并基于主体标识、可复用网络标识及关联关系构建时序异构证据图，使可复用网络标识与不同主体之间的关联关系能够按照事件时间进行区分；进一步通过围绕所述可复用网络标识形成的关联证据随时间的连续性变化，确定控制关系切换位置，使同一可复用网络标识对应控制主体发生变化的位置，能够由实际网络证据的时序关联状态确定，而不是仅根据网络标识是否曾关联多个主体进行判断；在此基础上，根据所述控制关系切换位置将历史关联关系划分为多个控制阶段，并按照所述控制阶段限定证据传播边界，使不同控制时期形成的历史关联关系，不能仅因对应相同的可复用网络标识而继续跨阶段传播；进一步从阶段化证据图中提取同一控制阶段内连续承接的目标证据链，使进入网络行为识别过程的网络证据受到对应控制阶段及事件时间关系的共同约束，从而减少可复用网络标识控制主体变化前后的网络证据相互串入，使网络违法行为识别结果所依据的目标证据链，与对应主体在相应控制阶段形成的网络活动保持对应，提高网络证据关联结果的可靠性和可追溯性。