基于图分析和支持向量机的企业网异常用户检测

来源：计算机应用杂志2018年第2期北京时间：

作者：徐兵, 郭渊博, 叶子维, 胡永进

单位：1. 信息工程大学, 郑州 450001;2. 数学工程与先进计算国家重点实验室, 郑州 450001

摘要：在企业网络中，若其内部的攻击者获得了用户的身份认证信息，其行为与正常用户将很难区分；而目前研究对于企业网中的异常用户检测方法比较单一，召回率不高。用户的认证活动信息直接反映了用户在网络中与各类资源或人员的交互，基于此，提出一种利用用户认证活动信息来检测网络中异常用户的方法。该方法利用用户的认证活动生成用户认证图，之后基于图分析方法提取认证图中的属性，如图的最大连通组件的大小、孤立认证的数量等，这些属性反映了用户在企业网中的认证行为特征。最后利用有监督的支持向量机（SVM）对提取到的图属性进行建模，以此来间接识别和检测网络中的异常用户。在提取了用户图向量之后，具体对训练集和测试集、惩罚参数、核函数取不同值的情况进行了分析。通过对这些参数的调节，召回率、精确率和F1-Score均达到80%以上。实验数据表明，该方法能够有效检测企业网络中的异常用户。

关键词：用户认证,异常检测,图分析,支持向量机,认证图

基金资助：国家自然科学基金资助项目（61602515）。