一种自适应自反馈的虚拟资产异常发现系统及实现方法
【技术领域】
[0001] 本发明属于网络与信息安全领域，具体涉及一种自适应自反馈的虚拟资产异常发 现系统及实现方法。
【背景技术】
[0002] 虚拟资产是指在网络空间中存在的具有竞争性、持久性以及可以交换或者买卖的 物品，包括网上银行、网络帐号、网游装备武器、虚拟货币等。随着社交网络、电子商务和网 络游戏等互联网应用的快速发展，网民的日常工作、生活、学习已从传统的物理空间延伸至 网络空间。截至2014年12月，我国网民规模达6. 49亿，其中网络游戏、网络购物、网上支 付等应用的网民使用率分别达到了56.4%、55.7%、46.9%(详见文献[1])。由此可见， 虚拟资产的使用已渗透到网络空间的方方面面，并已经成为一种重要的市场行为和生活方 式。在移动互联网的推动下，未来我国网民规模和互联网应用使用率将继续呈现增长趋势， 虚拟资产在网络空间中的重要地位也将进一步凸显。
[0003] 目前，异常发现的应用非常广泛，包括欺诈检测、医疗处理、公共安全和入侵检测 等。异常发现是找出其行为很不同于预期对象的过程，这种对象称为异常，它不同于噪声数 据。噪声是被观测变量的随机误差或方差，而异常是产生它们的机制不同于产生其他数据 的机制。一般而言，异常可以分为三类：全局异常、情境（或条件）异常和集体异常（详见 文献[2])。全局异常是指在给定的数据集中，一个数据对象显著地偏离数据集中的其余对 象；情境异常是指在给定的数据集中，一个数据对象在特定情境下显著地偏离数据集中的 其余对象；集体异常是指给定一个数据集，数据对象的一个子集作为整体显著地偏离整个 数据集。总之，数据集可能有多种类型的异常，而一个对象也可能属于多种类型的异常。全 局异常发现最简单，情境异常发现需要背景知识来确定情境属性和情境，集体异常发现需 要背景信息来对对象之间的联系建模，以便找出异常组群。
[0004] 虚拟资产的使用虽然为互联网给人们提供强大服务功能提供了便利，但与之相关 的网络安全问题也给人们造成了巨大的财产损害，加重了人们在网络世界中的不信任度， 给互联网经济带来了严重的打击。2014年，总体网民中有46. 3%的网民遭遇过网络安全问 题，我国个人互联网使用的安全状况不容乐观；其中，帐号或密码被盗、消费欺诈以及信息 泄露等虚拟资产相关安全事件的曝光，严重影响到网民的网络安全感知。例如，网购时发生 上述安全事件，给购物者造成损失的同时，也扰乱了网上购物秩序，影响网络购物行业的健 康发展。当网民的虚拟资产出现异常时，一般通过登录相应平台的客服中心进行申诉维权， 人工处理的低效率性和单个平台的局限性导致难以及时发现异常并采取有效措施。为了 构建良好的虚拟资产使用环境，相关部门围绕电子认证、网络购物等主题，出台了一系列政 策、规章和标准规范，但是面对复杂和海量的虚拟资产数据，需要采用自动化的异常发现方 法保护和管理虚拟资产。
[0005] 然而，在虚拟化的网络空间中，同一用户可以拥有多个不同的虚拟身份，即网络账 号。用户在不同应用平台可以利用相应虚拟身份对虚拟资产进行获取、转让和交易等跨平 台的操作，这加大了虚拟资产异常发现的难度。eID是以密码技术为基础、以智能芯片为 载体、由"公安部公民网络身份识别系统"签发给公民的网络身份标识，能够在不泄露身份 信息的前提下在线远程识别身份，其虚拟身份关联技术可以有效解决上述问题（详见文献 [3])。用户将网络空间中的多重虚拟身份与eID进行绑定，由于它具有唯一性，可以快速定 位到不同应用平台下用户的真实身份，因此可以为跨平台的虚拟资产异常发现方法提供技 术支撑。
[0006] 国内外已有大量关于异常发现的研究，根据用于分析的数据样本是否具有领域专 家提供的、可以用来构建异常方法模型的标号，异常发现方法分为监督方法、半监督方法和 无监督方法；根据对正常对象和异常对象的不同假定，异常发现方法又可分为统计方法、基 于邻近性的方法和基于聚类的方法（详见文献[4] [5])。但是，现有方法都是针对具体领域 或特定类型的异常，为了保证算法精度和运行效率，实际应用需要满足一定的条件。例如， 监督方法需要领域专家提供的样本集学习可以识别异常的分类器；无监督方法要求正常数 据和异常数据之间的边界清晰；统计方法假定数据集中的正常对象由一个随机过程产生； 基于聚类的方法假定正常数据实例均属于一个簇，而异常数据不属于任何一个簇。文献[4] [5]详细分析了上述异常发现方法的优势，有些方法侧重于改善运行时间，有些方法侧重于 提高精度，还有方法侧重于细化异常发现的粒度。
[0007] 虚拟资产数据结构多样，既有结构化的虚拟资产描述数据，又有半结构化的日志 数据以及非结构化的操作数据；虚拟资产使用环境复杂多变，既有用户对虚拟资产操作的 不确定性又存在结构不一的虚拟资产应用平台。因此，采用单一化的方法难以及时准确的 发现不同类型的虚拟资产相关异常。此外，网络空间中用户的交互模式不断发生变化，同时 也促进了虚拟资产数据及其属性的演化。因此，需要实时更新和完善虚拟资产异常模式库， 本发明充分考虑了以上因素。
[0008] 参考文献：
[0009] [1]中国互联网络信息中心（CNNIC).第35次中国互联网络发展状况统计报告 [EB/OL]. http://www. cnnic. cn/hlwfzyj/hlwxzbg/201502/P020150203551802054676. pdf
[0010] [2]Han J, Kamber M, Pei J. Data mining:concepts and techniques: concepts and techniques[M]. Elsevier, 2011.
[0011] [3]http: //eid. cn/.
[0012] [4] Chandola V1Banerjee A1Kumar V. Anomaly detection:A survey [J]. ACM computing surveys (CSUR), 2009, 41(3):15.
[0013] [5] Chandola V, Banerjee A, Kumar V. Anomaly detection for discrete sequences : A survey[J]. Knowledge and Data Engineering,IEEE Transactions on, 2012, 24(5) :823-839.
【发明内容】
[0014] 为解决上述技术问题，本发明充分考虑了虚拟资产数据海量和结构复杂、网络用 户虚拟身份不唯一以及单个异常发现方法低效等特点，提出了一种自适应自反馈的虚拟资 产异常发现系统及实现方法。具体技术方案如下：
[0015] -种自适应自反馈的虚拟资产异常发现系统，包括数据采集模块、异常发现模块、 自适应学习模块、自反馈调节模块；所述数据采集模块连接异常发现模块，所述异常发现模 块分别与自适应学习模块和自反馈调节模块连接，所述自反馈调节模块与自适应学习模块 连接；其中，数据采集模块负责搜集并存储网络空间中应用平台产生的虚拟资产数据；所 述数据采集模块将虚拟资产数据传递至异常发现模块；异常发现模块负责构建异常模式库 以及对虚拟资产数据进行异常检测，并将异常检测结果传递至自适应学习模块；自适应学 习模块根据异常检测结果动态调整异常发现方法的权重系数；自反馈调节模块负责反馈修 正异常模式库及配置异常发现模块和自适应学习模块中的相关参数。
[0016] 所述虚拟资产数据包括数据操作日志、用户操作日志和系统活动运行日志；虚拟 资产应用平台提供两种数据接口：一种是数据转换接口，用于将应用平台产生的数据转换 成格式统一的虚拟资产数据；一种是数据传输接口，用于将应用平台产生的格式统一的虚 拟资产数据传输至虚拟资产数据库。
[0017] 本发明还提供了一种自适应自反馈的虚拟资产异常发现系统实现方法，采用上述 的自适应自反馈的虚拟资产异常发现系统，包括以下步骤：
[00