行为安全基线融合学习方法、装置、电子设备及存储介质与流程

1.本发明涉及网络安全技术领域，尤其涉及一种行为安全基线融合学习方法方法、装置、电子设备及存储介质。


背景技术：

2.随着技术的发展和知识的扩散，网络攻击方法和数量也随之大幅增加，各种新攻击手段层出不穷，给安全分析人员和产品带来了很大的挑战和压力。传统的安全分析和检测手段是基于先验知识，采用特征的方式来对网络数据和日志进行安全检测，这种方式可以应对已知攻击方法，但是对未知和新的攻击方法的检测效率较低，无法适应当前严峻的网络安全态势。近年来随着机器学习的发展和实时计算框架的兴起，基于行为的安全分析方法开始越来越多的应用于各类安全产品中。
3.相关技术中，基于行为的安全分析方法采用机器学习的方法，通过对网络数据和日志进行学习，统计和归纳出用户和实体的行为特点，通过学习出的行为安全基线，能很好的用于异常行为分析和检测，完成很多基于特征的方式无法达到的效果。但是，行为安全基线学习的数据并不完整，影响行为安全基线学习的数据完整性，导致行为安全基线的准确性低，误报率高。


技术实现要素：

4.针对相关技术存在的行为安全基线的准确性低，误报率高等问题，本发明提供一种行为安全基线融合学习方法、装置、电子设备及存储介质。
5.本发明提供一种行为安全基线融合学习方法，方法包括：
6.获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；
7.根据所述行为安全基线规则，确定行为安全基线学习方法；
8.根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
9.根据本发明提供的一种行为安全基线融合学习方法，所述规则参数包括以下至少一项：时间窗口、历史行为数据存储地址及实时行为数据队列地址。
10.根据本发明提供的一种行为安全基线融合学习方法，所述行为安全基线学习方法包括以下至少一项：
11.历史行为数据学习方法；其中，所述历史行为数据学习方法的参数包括：所述历史行为数据存储地址及第一时间范围；所述第一时间范围包括t1至t2；t1为行为安全基线的开始学习时间，t2为行为安全基线的结束学习时间；
12.实时行为数据学习方法；其中，所述实时行为数据学习方法的参数包括：所述实时行为数据队列地址及第一时间范围；
13.混合行为数据学习方法；其中，所述混合行为数据学习方法的参数包括：所述历史行为数据存储地址及第二时间范围；所述实时行为数据队列地址及第三时间范围；所述第
二时间范围包括t1至t3；所述第三时间范围包括t3至t2；t3为实时行为数据的开始时间。
14.根据本发明提供的一种行为安全基线融合学习方法，所述根据所述行为安全基线规则，确定行为安全基线学习方法，包括：
15.根据所述时间窗口，计算所述行为安全基线的开始学习时间和所述行为安全基线的结束学习时间；
16.根据所述历史行为数据存储地址探测历史行为数据的时间范围；
17.判断所述行为安全基线的结束学习时间是否早于所述历史行为数据的终止时间；
18.在所述行为安全基线的结束学习时间早于所述历史行为数据的终止时间的情况下，将所述历史行为数据学习方法，确定为所述行为安全基线学习方法；
19.在所述行为安全基线的结束学习时间晚于所述历史行为数据的终止时间的情况下，根据所述实时行为数据队列地址探测实时行为数据时间范围；判断所述行为安全基线的开始学习时间是否晚于所述实时行为数据的开始时间；在所述行为安全基线的开始学习时间晚于所述实时行为数据的开始时间的情况下，将所述实时行为数据学习方法，确定为所述行为安全基线学习方法；
20.在所述行为安全基线的开始学习时间早于所述实时行为数据的开始时间的情况下，将所述混合行为数据学习方法，确定为所述行为安全基线学习方法。
21.根据本发明提供的一种行为安全基线融合学习方法，在所述行为安全基线学习方法是所述历史行为数据学习方法的情况下，根据所述历史行为数据学习方法到对应的所述历史行为数据存储地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
22.在所述行为安全基线学习方法是所述实时行为数据学习方法的情况下，根据实时行为数据学习方法到对应的所述实时行为数据队列地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
23.在所述行为安全基线学习方法是所述混合行为数据学习方法的情况下，分阶段执行所述混合行为数据学习方法，得到行为安全基线。
24.根据本发明提供的一种行为安全基线融合学习方法，所述分阶段执行所述混合行为数据学习方法，得到行为安全基线，包括：
25.执行所述历史行为数据学习方法，到对应的所述历史行为数据存储地址中读取所述第二时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习；
26.执行所述实时行为数据学习方法，到对应的所述实时行为数据队列地址中读取所述第三时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线。
27.本发明还提供一种行为安全基线融合学习装置，所述装置包括：
28.获取模块，用于获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；
29.确定模块，用于根据所述行为安全基线规则，确定行为安全基线学习方法；
30.生成模块，用于根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
31.本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理
器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述行为安全基线融合学习方法的步骤。
32.本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述行为安全基线融合学习方法的步骤。
33.本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述行为安全基线融合学习方法的步骤。
34.本发明提供的行为安全基线融合学习方法，通过获取行为安全基线规则，根据行为安全基线规则确定行为安全基线学习方法；再根据根据行为安全基线学习方法及行为安全基线规则，对规则参数对应的行为数据进行学习，得到行为安全基线，实现行为安全基线学习的数据完整性，提升行为安全基线的准确性，降低误报率。
附图说明
35.为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
36.图1是本发明提供的行为安全基线融合学习方法的流程示意图之一；
37.图2是本发明提供的行为安全基线融合学习方法的时间周期示意图之一；
38.图3是本发明提供的行为安全基线融合学习方法的时间周期示意图之二；
39.图4是本发明提供的行为安全基线融合学习方法的时间周期示意图之三；
40.图5是本发明提供的行为安全基线融合学习方法的流程示意图之二；
41.图6是本发明提供的行为安全基线融合学习方法的架构图；
42.图7是本发明提供的融合学习计算器计算流程示意图；
43.图8是本发明提供的行为安全基线学习器计算流程示意图；
44.图9是本发明提供的行为安全基线融合学习装置的结构示意图；
45.图10是本发明提供的电子设备的结构示意图。
具体实施方式
46.为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
47.下面结合附图，通过一些实施例及其应用场景对本发明提供的行为安全基线融合学习方法进行详细地说明。
48.本发明提供一种行为安全基线融合学习方法，该行为安全基线融合学习方法可适用于应对网络攻击的安全分析和检测的场景中，通过获取行为安全基线规则，根据行为安全基线规则确定行为安全基线学习方法；再根据行为安全基线学习方法及行为安全基线规则，对规则参数对应的行为数据进行学习，得到行为安全基线，实现行为安全基线学习的数据完整性，提升行为安全基线的准确性，降低误报率。
49.图1是本发明提供的行为安全基线融合学习方法的流程示意图之一，如图1所示，该方法包括步骤101-步骤103，其中：
50.步骤101，获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；
51.步骤102，根据所述行为安全基线规则，确定行为安全基线学习方法；
52.步骤103，根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
53.需要说明的是，本发明提供的行为安全基线融合学习方法可适用于应对网络攻击的安全分析和检测的场景中。该方法的执行主体可以为行为安全基线融合学习装置，例如电子设备、或者该行为安全基线融合学习装置中的用于执行行为安全基线融合学习方法的控制模块。
54.可选地，所述规则参数包括以下至少一项：时间窗口、历史行为数据存储地址及实时行为数据队列地址。
55.具体地，时间窗口，用于计算行为安全基线的学习周期参数；历史行为数据存储地址，用于探测历史行为数据时间范围；实时行为数据队列地址，用于探测实时行为数据时间范围。
56.需要说明的是，在存储历史行为数据和实时行为数据的过程中，每存储一个行为数据，该行为数据的存储地址对应一个存储时间，因此，历史行为数据存储地址和实时行为数据队列地址分别对应具体的存储时间，从而根据历史行为数据存储地址可以探测历史行为数据范围，根据实时行为数据队列地址可以探测实时行为数据范围。
57.可选地，所述行为安全基线学习方法包括以下至少一项：
58.历史行为数据学习方法；其中，所述历史行为数据学习方法的参数包括：所述历史行为数据存储地址及第一时间范围；所述第一时间范围包括t1至t2；t1为行为安全基线的开始学习时间，t2为行为安全基线的结束学习时间；例如，开始学习时间可以使用learnstart表示，结束学习时间可以使用learnend表示，则第一时间范围可以表示为《learnstart，learnend》。
59.图2是本发明提供的行为安全基线融合学习方法的时间周期示意图之一，如图2所示：
60.第一时间范围包括：t1至t2；
61.第四时间范围包括：t5至t6；其中：
62.t1为行为安全基线的开始学习时间；
63.t2为行为安全基线的结束学习时间；
64.t5为历史行为数据的开始时间；
65.t6为历史行为数据的结束时间。
66.例如，历史行为数据的开始时间使用historydatastart表示，历史行为数据的结束时间使用historydataend表示，则第一时间范围可以表示为《historydatastart，historydataend》。
67.2)实时行为数据学习方法；其中，所述实时行为数据学习方法的参数包括：所述实时行为数据队列地址及第一时间范围。
68.图3是本发明提供的行为安全基线融合学习方法的时间周期示意图之二，如图3所
示：
69.第一时间范围包括：t1至t2；
70.第五时间范围包括：t3至t4；其中：
71.t1为行为安全基线的开始学习时间；
72.t2为行为安全基线的结束学习时间；
73.t3为实时行为数据的开始时间；
74.t4为实时行为数据的结束时间。
75.例如，实时行为数据的开始时间使用realtimedatastart表示，历史行为数据的结束时间使用realtimedataend表示，则第五时间范围可以表示为《realtimedatastart，realtimedataend》。
76.3)混合行为数据学习方法；其中，所述混合行为数据学习方法的参数包括：所述历史行为数据存储地址及第二时间范围；所述实时行为数据队列地址及第三时间范围；所述第二时间范围包括t1至t3；所述第三时间范围包括t3至t2；t3为实时行为数据的开始时间；例如，实时行为数据的开始时间可以使用realtimedatastart表示，则第二时间范围可以表示为《learnstart，realtimedatastart》，第三时间范围可以表示为《realtimedatastart，learnend》。
77.图4是本发明提供的行为安全基线融合学习方法的时间周期示意图之三，如图4所示：
78.第一时间范围包括：t1至t2；
79.第二时间范围包括：t1至t3；
80.第三时间范围包括：t3至t2；其中：
81.t1为行为安全基线的开始学习时间；
82.t2为行为安全基线的结束学习时间；
83.t3为实时行为数据的开始时间，或者为历史行为数据的结束时间；
84.t4为实时行为数据的结束时间。
85.需要说明的是，根据行为安全基线的开始学习时间和结束学习时间，可以对应在历史行为数据存储地址和实时行为数据队列地址中确定行为安全基线的学习方法，从而提升行为安全基线学习方法的准确性。
86.本发明提供的行为安全基线融合学习方法，通过获取行为安全基线规则，根据行为安全基线规则确定行为安全基线学习方法；再根据行为安全基线学习方法及行为安全基线规则，对规则参数对应的行为数据进行学习，得到行为安全基线，实现行为安全基线学习的数据完整性，提升行为安全基线的准确性，降低误报率。
87.基于上述描述的实施例，下面对本发明提供的根据行为安全基线规则，确定行为安全基线学习方法的实现方式进行说明。
88.可选地，根据所述行为安全基线规则，确定行为安全基线学习方法，包括：
89.1)根据所述时间窗口，计算所述行为安全基线的开始学习时间 t1和所述行为安全基线的结束学习时间t2；
90.2)根据所述历史行为数据存储地址探测历史行为数据的时间范围(t5至t6)；
91.3)判断所述行为安全基线的结束学习时间t2是否早于所述历史行为数据的终止
时间t6；
92.在所述行为安全基线的结束学习时间t2早于所述历史行为数据的终止时间t6的情况下，将所述历史行为数据学习方法，确定为所述行为安全基线学习方法。此时，所述历史行为数据学习方法的参数包括：所述历史行为数据存储地址及第一时间范围(t1至t2)；
93.或者，在所述行为安全基线的结束学习时间t2晚于所述历史行为数据的终止时间t6的情况下，根据所述实时行为数据队列地址探测实时行为数据时间范围(t3至t4)；判断所述行为安全基线的开始学习时间t1是否晚于所述实时行为数据的开始时间t3；在所述行为安全基线的开始学习时间t1晚于所述实时行为数据的开始时间t3的情况下，将所述实时行为数据学习方法，确定为所述行为安全基线学习方法。此时，所述实时行为数据学习方法的参数包括：所述实时行为数据队列地址及第一时间范围(t1至t2)；
94.4)在所述行为安全基线的开始学习时间t1早于所述实时行为数据的开始时间t3的情况下，将所述混合行为数据学习方法，确定为所述行为安全基线学习方法。此时，所述混合行为数据学习方法的参数包括：所述历史行为数据存储地址及第二时间范围(t1至t3)和所述实时行为数据队列地址及第三时间范围(t3至t2)。
95.需要说明的是，将行为安全基线的结束学习时间与历史行为数据的终止时间进行对比，可以确定行为安全基线学习方法是否为历史行为数据学习方法；在行为安全基线学习方法不是历史行为数据学习方法的情况下，将行为安全基线的开始学习时间与实时行为数据的开始时间进行对比，可以确定行为安全基线学习方法是否在实时行为数据学习方法；当行为安全基线的开始学习时间晚于实时行为数据的开始时间，及行为安全基线的结束学习时间早于实时行为数据的结束时间时，可以确定行为安全基线学习方法是混合行为数据学习方法，为后续行为数据根据行为安全基线学习方法学习进而生成行为安全基线，提供准确的学习方法。
96.下面对本发明提供的根据行为安全基线学习方法及行为安全基线规则，对规则参数对应的行为数据进行学习，生成行为安全基线的实现方式进行说明。
97.可选地，根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线，包括：
98.方式1，在所述行为安全基线学习方法是所述历史行为数据学习方法的情况下，根据所述历史行为数据学习方法到对应的所述历史行为数据存储地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
99.方式2，在所述行为安全基线学习方法是所述实时行为数据学习方法的情况下，根据实时行为数据学习方法到对应的所述实时行为数据队列地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
100.方式3，在所述行为安全基线学习方法是所述混合行为数据学习方法的情况下，分阶段执行所述混合行为数据学习方法，得到行为安全基线。
101.其中，上述方式3中分阶段执行混合行为数据学习方法，得到行为安全基线的实现方式可以包括两个阶段：
102.阶段1，执行所述历史行为数据学习方法，到对应的所述历史行为数据存储地址中读取所述第二时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习；
103.阶段2，执行所述实时行为数据学习方法，到对应的所述实时行为数据队列地址中
读取所述第三时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线。
104.图5是本发明提供的行为安全基线融合学习方法的流程示意图之二，参见图5，该方法包括步骤501-步骤504，其中：
105.步骤501，输入《行为安全基线规则》；
106.步骤502，融合学习计算器根据行为安全基线规则的规则参数《 时间窗口，历史数据源，实时数据源》计算行为数据学习方法；
107.步骤503，行为安全基线学习器根据融合学习计算器计算的行为数据学习方法开始行为安全基线的学习；
108.步骤504，输出《行为安全基线》。
109.图6是本发明提供的行为安全基线融合学习方法的架构图，如图 6所示，包括融合学习计算器、行为安全基线学习器；其中，
110.当输入行为安全基线规则时，融合学习计算器根据行为安全基线规则的规则参数《时间窗口，历史行为数据存储地址，实时行为数据队列地址》开始计算行为安全基线学习方法。
111.行为安全基线学习器根据融合学习计算器计算的行为安全基线学习方法，从历史行为数据存储地址和实时行为数据队列地址中分别探测历史行为数据和实时行为数据，并对探测的行为数据进行行为安全基线的学习；当行为数据学习完成之后，输出行为安全基线。
112.下面结合附图7和附图8，分别对融合学习计算器、行为安全基线学习器的计算方法进行说明。
113.图7是本发明提供的融合学习计算器计算流程示意图，如图7所示，包括步骤701-步骤709，其中：
114.步骤701，输入《行为安全基线规则》；
115.步骤702，根据行为安全基线规则的时间窗口length参数计算数据学习周期参数《learnstart，learnend》；
116.步骤703，根据行为安全基线规则的历史行为数据存储地址参数探测历史行为数据时间范围《historydatastart，historydataend》；
117.步骤704，判断参数learnend《＝historydataend？如果是，则执行步骤705；如果不是，则执行步骤706；
118.步骤705，使用历史行为数据学习行为安全基线，输出历史行为数据学习方法：《历史行为数据存储地址，待学习行为数据时间范围 [learnstart，learnend]》；
[0119]
步骤706，根据行为安全基线规则的实时行为数据队列地址参数探测实时行为数据时间范围《realtimedatastart，realtimedataend》；
[0120]
步骤707，判断参数learnstart》＝realtimedatastart？如果是，则执行步骤708；如果不是，则执行步骤709；
[0121]
步骤708，使用实时行为数据学习行为安全基线，输出实时行为数据学习方法：《实时行为数据队列地址，待学习行为数据时间范围 [learnstart，learnend]》；
[0122]
步骤709，使用混合行为数据学习行为安全基线，输出混合行为数据学习方法：《历
史行为数据存储地址，待学习行为数据时间范围 [learnstart，realtimedatastart]》 《实时行为数据队列地址，待学习行为数据时间范围[realtimedatastart，learnend]》。
[0123]
图8是本发明提供的行为安全基线学习器计算流程示意图，如图 8所示，包括步骤801-步骤809，其中：
[0124]
步骤801，输入《行为安全基线学习方法，行为安全基线规则》；
[0125]
步骤802，判断行为安全基线学习方法是否为历史行为数据学习方法？如果是，则执行步骤803；如果不是，则执行步骤804；
[0126]
步骤803，根据历史行为数据学习方法《历史行为数据存储地址，待学习行为数据时间范围[learnstart，learnend]》到对应历史行为数据存储地址中读取时间范围[learnstart，learnend]的行为数据，按照行为安全规则配置进行行为安全基线学习，学习完成后执行步骤809；
[0127]
步骤804，判断行为安全基线学习方法是否为实时行为数据学习方法？如果是，则执行步骤805；如果不是，则执行步骤806；
[0128]
步骤805，根据实时行为数据学习方法《实时行为数据队列地址，待学习行为数据时间范围[learnstart，learnend]》到对应实时行为数据队列地址中读取时间范围[learnstart，learnend]的行为数据，按照行为安全规则配置进行行为安全基线学习，学习完成后执行步骤809；
[0129]
步骤806，分阶段执行混合学习方法《历史行为数据存储地址，待学习行为数据时间范围[learnstart，realtimedatastart]》 《实时行为数据队列地址，待学习行为数据时间范围[realtimedatastart， learnend]》；
[0130]
步骤807，执行历史行为数据学习方法《历史行为数据存储地址，待学习行为数据时间范围[learnstart，realtimedatastart]》，到对应历史行为数据存储地址中读取时间范围[learnstart，realtimedatastart] 的行为数据，按照行为安全规则配置进行行为安全基线学习；
[0131]
步骤808，在步骤807的学习基础上再执行实时行为数据学习方法《实时行为数据队列地址，待学习行为数据时间范围 [realtimedatastart，learnend]》，到对应实时行为数据队列地址中读取时间范围[realtimedatastart，learnend]的行为数据，按照行为安全规则配置进行行为安全基线学习，学习完成后执行步骤809；
[0132]
步骤809，输出《行为安全基线》。
[0133]
下面对本发明提供的行为安全基线融合学习装置进行描述，下文描述的行为安全基线融合学习装置与上文描述的行为安全基线融合学习方法可相互对应参照。
[0134]
图9为本发明提供的行为安全基线融合学习装置的结构示意图，如图9所示，该行为安全基线融合学习装置900包括：获取模块901、确定模块902和生成模块903；其中，
[0135]
获取模块901，用于获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；
[0136]
确定模块902，用于根据所述行为安全基线规则，确定行为安全基线学习方法；
[0137]
生成模块903，用于根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
[0138]
本发明提供的行为安全基线融合学习装置，通过获取获取行为安全基线规则，根
据行为安全基线规则确定行为安全基线学习方法；再根据行为安全基线学习方法及行为安全基线规则，对规则参数对应的行为数据进行学习，得到行为安全基线，实现行为安全基线学习的数据完整性，提升行为安全基线的准确性，降低误报率。
[0139]
可选地，所述规则参数包括以下至少一项：时间窗口、历史行为数据存储地址及实时行为数据队列地址。
[0140]
可选地，所述行为安全基线学习方法包括以下至少一项：
[0141]
历史行为数据学习方法；其中，所述历史行为数据学习方法的参数包括：所述历史行为数据存储地址及第一时间范围；所述第一时间范围包括t1至t2；t1为行为安全基线的开始学习时间，t2为行为安全基线的结束学习时间；
[0142]
实时行为数据学习方法；其中，所述实时行为数据学习方法的参数包括：所述实时行为数据队列地址及第一时间范围；
[0143]
混合行为数据学习方法；其中，所述混合行为数据学习方法的参数包括：所述历史行为数据存储地址及第二时间范围；所述实时行为数据队列地址及第三时间范围；所述第二时间范围包括t1至t3；所述第三时间范围包括t3至t2；t3为实时行为数据的开始时间。
[0144]
可选地，确定模块902，具体用于：
[0145]
根据所述时间窗口，计算所述行为安全基线的开始学习时间和所述行为安全基线的结束学习时间；
[0146]
根据所述历史行为数据存储地址探测历史行为数据的时间范围；
[0147]
判断所述行为安全基线的结束学习时间是否早于所述历史行为数据的终止时间；
[0148]
在所述行为安全基线的结束学习时间早于所述历史行为数据的终止时间的情况下，将所述历史行为数据学习方法，确定为所述行为安全基线学习方法；
[0149]
在所述行为安全基线的结束学习时间晚于所述历史行为数据的终止时间的情况下，根据所述实时行为数据队列地址探测实时行为数据时间范围；判断所述行为安全基线的开始学习时间是否晚于所述实时行为数据的开始时间；在所述行为安全基线的开始学习时间晚于所述实时行为数据的开始时间的情况下，将所述实时行为数据学习方法，确定为所述行为安全基线学习方法；
[0150]
在所述行为安全基线的开始学习时间早于所述实时行为数据的开始时间的情况下，将所述混合行为数据学习方法，确定为所述行为安全基线学习方法。
[0151]
可选地，生成模块903，具体用于：
[0152]
在所述行为安全基线学习方法是所述历史行为数据学习方法的情况下，根据所述历史行为数据学习方法到对应的所述历史行为数据存储地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
[0153]
在所述行为安全基线学习方法是所述实时行为数据学习方法的情况下，根据实时行为数据学习方法到对应的所述实时行为数据队列地址中读取所述第一时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线；
[0154]
在所述行为安全基线学习方法是所述混合行为数据学习方法的情况下，分阶段执行所述混合行为数据学习方法，得到行为安全基线。
[0155]
可选地，生成模块903，具体用于：
[0156]
执行所述历史行为数据学习方法，到对应的所述历史行为数据存储地址中读取所
述第二时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习；
[0157]
执行所述实时行为数据学习方法，到对应的所述实时行为数据队列地址中读取所述第三时间范围的行为数据，按照行为安全规则配置进行行为安全基线学习，得到行为安全基线。
[0158]
图10是本发明提供的电子设备的结构示意图，如图10所示，该电子设备1000，可以包括：处理器(processor)1010、通信接口 (communications interface)1020、存储器(memory)1030和通信总线1040，其中，处理器1010，通信接口1020，存储器1030通过通信总线1040完成相互间的通信。处理器1010可以调用存储器1030 中的逻辑指令，以执行行为安全基线融合学习方法，该方法包括：获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；根据所述行为安全基线规则，确定行为安全基线学习方法；根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
[0159]
此外，上述的存储器1030中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。
[0160]
另一方面，本发明还提供一种计算机程序产品，计算机程序产品包括计算机程序，计算机程序可存储在非暂态计算机可读存储介质上，计算机程序被处理器执行时，计算机能够执行上述各方法所提供的行为安全基线融合学习方法，该方法包括：获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；根据所述行为安全基线规则，确定行为安全基线学习方法；根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
[0161]
又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法提供的行为安全基线融合学习方法，该方法包括：获取行为安全基线规则；其中，所述行为安全基线规则包括规则参数；根据所述行为安全基线规则，确定行为安全基线学习方法；根据所述行为安全基线学习方法及所述行为安全基线规则，对所述规则参数对应的行为数据进行学习，生成所述行为安全基线。
[0162]
以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
[0163]
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上
述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。
[0164]
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。