CN115114484B 异常事件检测方法、装置、计算机设备和存储介质 （腾讯科技（深圳）有限公司）

本申请涉及一种基于人工智能的异常事件2获取待检测事件图和查询图；所述待检测事件图和所述查询图均包括多个节点和边，将所述查询图的节点和所述待检测事件图的节点进行匹配处理，得到多个候选节点对多个所述候选节点对中的每个节点分别进行特征提取，得到每个所对于各所述候选节点对，根据相应候选节点对中各节点的节点表示，对于各所述目标进程节点对，按照所述目标进程节点对中第二进对于每种节点距离下的各目标邻居节点对，从相应节点距离所对应的节点对中选取满足关联条件的目标邻居节点对中的基于在每种节点距离下所选取的第二邻居节点和相匹配的第二进程节点在所述待检对于各所述目标进程节点对，将相应目标进程节点对中第一进程节基于各所述目标进程节点对和各所述目标邻居节点对，对所述待检选节点对中各节点的节点表示，从各所述候选节点对中筛选出满足匹配条件的目标节点对于各所述候选进程节点对，确定相应候选进程节点对中第一进程节第二进程节点的节点表示之间的相似度，得到每个所述候选进程节点对分别对应的相似3对于每个所述第一进程节点，基于相应第一进程节点所属的各个候选进程节目标进程节点对中第一进程节点的第一邻居节点与第二进程节点的第二邻居节点进行匹配处理，得到每个所述第一邻居节点与相匹配的第二邻居节点所形成的目标邻居节点对，对于各所述目标进程节点对，确定相应目标进程节点对中第一进程节对于每个所述第一邻居节点，根据相应第一邻居节点分别与每个所应目标进程节点对中第一进程节点的每个第一邻居节点分别与第二进程节点的每个第二对于各所述目标进程节点对，确定相应目标进程节点对中第一进程节点确定在每种节点距离下的每个第一邻居节点分别与相应节点距离下的每个第二邻居所述对于每个所述第一邻居节点，根据相应第一邻居节点分别与每个对于每种节点距离，根据相应节点距离下的各所述第一邻居节点分别从各所述目标进程节点对中选取相似度最大的目标进程按照所选取的目标进程节点对中第二进程节点与相匹配的第二邻居节点之间的节点所述基于在每种节点距离下所选取的第二邻居节点和相匹配的第二进程节点在所述基于所选取的第二进程节点和在每种节点距离下所选取的第二邻居节点在所述待检从未被选取的各个所述目标进程节点对中选取相似度最大的目标进程节4所述按照所选取的目标进程节点对中第二进程节点与相匹配的第二邻居节点之间的节点选节点对中各节点的节点表示，从各所述候选节点对中筛选出满足匹配条件的目标节点对于各所述候选节点对，确定相应候选节点对中各节点9.根据权利要求1至8任意一项所述的方法，其特征从所述待检测事件图和所述查询图中采集多个节点和边构建根据多个所述三元组所对应的初始化节点表示、待求解节点表示和初始化特征表示，基于所述目标损失函数进行迭代求解，直至迭代停止时得到每根据多个所述三元组所对应的初始化节点表示、待求解节点表示和初始化特征表示，确定所述待检测事件图和所述查询图中每个进程节点分别对应的初基于每个所述进程节点对应的待求解节点表示和对应的初始化上下文根据所述第一损失函数和所述第二损失函数构获取模块，用于获取待检测事件图和查询图；所述待检测事节点匹配模块，用于将所述查询图的节点和所述待检测事件图的节点进行匹配处理，提取模块，用于对多个所述候选节点对中的每个节点分别进行特征提取5点对和目标邻居节点对；所述目标邻居节点对包括相匹配的第一进程节点和第二进程节子图匹配模块，用于对于各所述目标进程节点对，按照所述距离所对应的各所述目标邻居节点对中选取满足关联条件的目标邻居节点对中的第二邻述第一进程节点和所述第二进程节点进行匹配处理所得到的候选进别对应的第一邻居节点，以及第二进程节点在每种节点距离下分别对应的第二邻居节点；确定在每种节点距离下的每个第一邻居节点分别与相应节点距离下的每个第二邻居节点6返回所述按照所选取的目标进程节点对中第二进程节点与相匹配的第二邻居节点之间的被处理器执行时实现权利要求1至10中任一7的数据。在许多应用领域中信息挖掘的问题都可以通过图的相关理论和相应技术来解决，8标进程节点对中第一进程节点的每个第一邻居节点分别与第二进程节点的每个第二邻居到每个所述第一邻居节点与相匹配的第二邻居节点形成的目标邻居一邻居节点与相匹配的第二邻居节点所形成的目标邻居9[0049]图3为一个实施例中确定每个第一邻居节点与相匹配的第二邻居节点形成的目标[0050]图4为一个实施例中基于各目标进程节点对和各目标邻居节点对，对待检测事件[0055]图9为一个实施例中根据多个三元组所对应的初始化节点表示、待求解节点表示102和服务器104均可单独执行本申请实施例中提供的异常事件检测方法。终端102和服务器104也可协同用于执行本申请实施例中提供的异常事件检测方法。当终端102和服务器104协同用于执行本申请实施例中提供的异常事件检测方法时，终端102获取待检测事件104根据相应候选节点对中各节点的节点表示，从各候选节点对中筛选出满足匹配条件的件图中与查询图相匹配的目标子图；该目标子图用于描述待检测事件图中存在的异常事以及服务器104可以通过有线或无线通信方式进行直接或间接地连接，本申请在此不做限[0067]待检测事件图和查询图中的多个节点包括进程节点和每个进描述异常事件的时序和关系的图结构。计算机设备可预先从异常事件报告中确定各个对[0075]在一个实施例中，计算机设备可确定待检测事件图中各节点分别对应的类型标进程节点间接连接的邻居节点，间接邻居节点与进程节点之间至少间隔了一个邻居节点，程节点的各个邻居节点划分到相应节点距离所对应的邻居节点[0085]其中，候选节点对是指查询图的节点和待检测事件图的节点匹配所形成的节点[0087]本实施例中，计算机设备可确定查询图和待检测事件图对应相同类型标签的节[0090]其中，节点表示表征节点的关键信息以及节点在图中的相关拓扑结构信息的融图中每个节点分别对应的节点表示，并得到待检测事件图中每个节点分别对应的节点表成模型对查询图的每个节点进行特征提取，得到查询图的每个节点分别对应的节点表示。以是选择同一节点所属的各个候选节点对中相似度最高的候节点对中的各节点之间的相似度，将所计算出的相似度作为该候选节点对所对应的相似[0101]计算机设备可获取匹配条件，将各候选节点对对应的相似度与匹配条件进行匹该同一节点所属的各个候选节点对中筛选出相似度最高的候选节点各进程节点的节点表示，从各候选进程节点对中筛选出满足匹配条件的目标进程节点对。图相匹配的目标子图，从而能够通过目标子图准确描述待检测事件图中存在的异常事件，[0121]在一个实施例中，该查询图的多个节点包括每个第一进[0123]具体地，该查询图的多个节点包括每个第一进程节点分待检测事件图的多个节点包括每个第二进程节点分别对应的第候选进程节点对。计算机设备对多个候选进程节点对中的每个进程节点分别进行特征提[0125]计算机设备可确定目标进程节点对中的第一进程节点对居节点分别与第二进程节点的每个第二邻居节点之间的相似度；对于每个第一邻居节点，[0134]对目标进程节点对中第一进程节点的第一邻居节点与第二进程节点的第二邻居准确地从待检测事件图中确定与查询图相匹配中筛选出满足第二匹配条件的目标邻居节点对。第一匹配条件与第一匹配条件可以相同，[0142]本实施例中，满足匹配条件具体可以是候选进程节点对的相似度大于相似度阈属的各个候选进程节点对中相似度最高的候选进居节点分别与第二进程节点的每个第二邻居节点之间的相似度；对于每个第一邻居节点，节点的每个第一邻居节点分别与第二进程节点的每个第二邻居节点之间的相似度，包括：对中第二进程节点与相匹配的各第二邻居节点之间的节点距离；对于各目标邻居节点对，到每个第二进程节点在每种节点距离下分别对应的目标邻居节中第一进程节点的每个第一邻居节点分别与第二进程节点的每个第二邻居节点之间的相[0159]具体地，查询图中的第一进程节点和多个第一邻居节点之间的节点距离可不相不同节点距离的第一邻居节点和第二邻居节点之[0168]对于每种节点距离下的第一邻居节点进行相同的处理，可得到在每种节点距离[0169]例如，目标进程节点对A中的第一进程节点在节点距离为1时有2个第一邻居节点的处理方式相同，则可得到该第一进程节点在节点距离为2的情况下所对应的各个目标邻在每种节点距离下的每个第一邻居节点分别与相应节点距离下的每个第二邻居节点之间分别与每个第二邻居节点之间的相似度，确定与每个第一邻居节点相匹配的第二邻居节各目标邻居节点对中选取满足关联条件的目[0186]该关联关系可以根据第二进程节点和各个第二邻居节点在该待检测事件图中的标进程节点对的卡方值基于目标进程节点对的相成的目标邻居节点对，即得到第二进程节点在每种节点距离下分别对应的目标邻居节点[0199]基于在每种节点距离下所选取的第二邻居节点和相匹配的第二进程节点在待检后，可根据第二进程节点以及所选取的各个第二邻居节点在该待检测事件图中的关联关对应的目标邻居节点对的步骤并继续执行，以生成本次选取的第二进程节点所对应的子[0206]计算机设备可将每个子图作为目标子图，也可以从各个子图中筛选出目标子一进程节点M1的节点距离为2的第一邻居剩余2对目标邻居节点对中选取相似度最大的目标邻居节点对，将所选取的目标邻居节点取的目标邻居节点对中的第二邻居节点与第二进程节点N1通过两者在待检测事件图中的中的第二邻居节点与第二进程节点N1通过在待检测事件图中的边连接，得到如图7中虚线于所选取的第二进程节点和在每种节点距离下所选取的第二邻居节点在待检测事件图中件，从而能够通过子图描述所选取的第二进程节点和相应的邻居节点之间发生的异常事按照所选取的目标进程节点对中第二进程节点与相匹配的第二邻居节点之间的节点距离，确定所选取的目标进程节点对中第二进程节点在每种节点距离下分别对应的目标邻居节点对的步骤并继续执行，直至生成每个目标进程节点对中第二进程节点对应的子图时停[0220]计算机设备可获取匹配条件，将各候选节点对对应的相似度与匹配条件进行匹[0222]本实施例中，满足匹配条件具体可以是按照相似度选择预设数量的候选节点[0228]具体地，计算机设备可为待检测事件图中的每个节点分之间的关联关系构成正样本的三元组。计算机设备可从样本图中采集不相邻的两个节点，的节点对应的梯度，并通过梯度下降的方式对当前的节点表示和当前的特征表示进行更[0236]在本实施例中，梯度下降的方式可以是批量梯度下降法(BatchGradient得到的结果更准确可靠，即由大批量的样本迭代求解所确定的节点表示和特征表示更准每个节点分别对应的节点表示和每条边对应的特所使用的初始化特征表示即为上一次迭代更新所得到的特表示作为待求解的参数，使得基于目标损失函数对该待求解的参数一步步进行迭代求解，[0243]并且，本实施例中通过三元组中某一节点的节点表示和关联关系对应的特征表征表示，来预测另一节点的节点表示，能够使用无监督图表示学习(Unsupervised元组中一个节点的节点表示被设置为待求解节点表示，分母中除了分子对应的三元组以边对应的初始化特征表示、以及该进程节点与下一邻居节点的边对应的初始化特征表示，定义该进程节点的上下文对应的初始化上下[0257]进一步地，计算机设备还可以预先定义每个进程节点分别对应的初始化节点表[0258]步骤S906，基于每个进程节点对应的待求解节点表示和对应的初始化上下文表初始化节点表示，可根据每次迭代的需求将部分进程节点所对应的节点表示设置为待求二样本，则被使用的第二样本中的进程节点所对应的节点表示可设置为待求解节点表示，[0263]进一步地，计算机设备可确定单个第二样本对应的乘积通过进程节点和进程节点的上下文表示构建第二损失函数，使用了更丰富的拓扑结构信[0288]确定在每种节点距离下的每个第一邻居节点分别与相应节点距离下的每个第二进程节点对在每种节点距离下分别对应的目标邻居确定所选取的目标进程节点对在每种节点距离下分别对应的目标邻居节点对的步骤并继[0295]对目标进程节点对中第一进程节点的第一邻居节点与第二进程节点的第二邻居确定所选取的目标进程节点对在每种节点距离下分别对应的目标邻居节点对的步骤并继通过异常事件检测方法检测系统中存在的高级持续性威胁(APT)。高级持续性威胁是指隐[0301]计算机设备从系统日志中抽象出用于描述系统事件的时序和系统事件之间关系合到邻居集合中，将与每个进程节点的节点距离为2的邻居节点聚合到邻居集合N2(q)中，以得到与每个进程节点的节点距离为m的邻居集合N"(q)。查询图中的进程节点合到邻居集合n'()中，将与每个进程节点的节点距离为2的邻居节点聚合到邻居集合w2()中，以得到与每个进程节点的节点距离为m的邻居集合N(v).查询图中的进程节点称为第二进程节点。神经网络GNN模型。该生成模型可直接用于产生系统事件图和查询图中各节点对应的节点[0310](1)节点层面自监督任务——节点表示预测：可将系统事件图和查询图连接形成[0312]可将异构图G中实际观测到的三元组作为正样本，负样本则从如下集合中进行采上下文描述了进程节点u的各种性质信息。该区域层面自监督任务就是根据上下文来预测本来进行对比学习。从异构图G中实际观测到的进程节点和进程节点对应的上下文作为正[0323]这里u-为一个在异构图G中与u类型标签相同的任意进程节点，表示xu[0327]cu=pool(fen⃞),对高层特征进[0335]进程节点之间的相似度评分：对于匹配∈Q>，可计算候选进程节点对中的进程节点所对应的节点表示之间的相似度评分sim(v,节点对属于节点匹配子集VP*中，表示与进程节点v距离为1的邻居节点的集合，表示与进程节点q距离为1的邻居节点的集[0339]当与进程节点v(或q)的节点距离为1的邻居节点之间相似度完成比较后，将中筛选出与邻居节点匹配程度最好的邻居节点，并将筛选出的邻居节点和邻居节点直到查询图中所有节点都被标注为已匹配为止，即将中与s2(a)中匹配程度最好大根堆max-heap-1。将中涉及的所有节点对及其z2值放入大根堆max-heap-(m+[0343]先从VP中选择相似度最大的进程节点对<v,对<v,q>中进程节点v对应的多个邻居节点列表VPNW。从节点距离为1的邻居集合开始，从中选择相似度最大的邻居节点与进程节点v连接，然后从中选择相似进入下一个子图的生成，即选择此时VP中选择相似度最大的<v,q>....按照上述处理继续[0350]节点匹配模块1104，用于将查询图的节点和待检测事件图相匹配的目标子图，从而能够通过目标子图准确描述待检测事件图中存在的异常事件，到每个第一邻居节点与相匹配的第二邻居节点所形成的目标邻居节点对；子图匹配模块，[0360]对目标进程节点对中第一进程节点的第一邻居节点与第二进程节点的第二邻居准确地从待检测事件图中确定与查询图相匹配程节点对中第一进程节点的每个第一邻居节点分别与第二进程节点的每个第二邻居节点居节点与相匹配的第二邻居节点形成的目标邻在每种节点距离下的每个第一邻居节点分别与相应节点距离下的每个第二邻居节点之间点对应的子图；从未被选取的各个目标进程节点对中选取相似度最大的目标进程节点对，并返回按照所选取的目标进程节点对中第二进程节点与相匹配的第二邻居节点之间的节