刘 炜，王邦礼，周 萌

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引 言

当前，安全行业开展异常行为分析检测相关研究，一方面利用黑白名单机制、自学习的端点静态防御技术来防御安全威胁，另一方面通过威胁情报、机器学习、异常行为分析、攻击指示器等方式，主动发现来自外部或内部的各类安全威胁[1]，为提升终端应对已知和未知恶意代码攻击的能力，以及在发生安全威胁之后的应急响应能力，提供了快速、有效的手段和方法。

国内安全企业现已快速跟进终端异常行为分析的研究和产品布局，融入端点行为监测、威胁情报、大数据安全分析等一系列检测方法，可实时检测用户端点的异常行为和漏洞，通过与威胁情报对比，能够及时发现威胁，做出木马隔离和漏洞修补的安全响应[1]。

随着信息系统的迅速发展，网络规模日渐庞大，用户需求不断增加，导致业务应用系统日益复杂。而网络安全事件的层出不穷，也使得信息系统面临着越来越严峻的安全形势，仅依靠安全防御检测手段已无法满足信息系统的安全需求。实体异常行为分析作为审计分析、威胁分析的重要补充，通过对网络行为数据的深层融合、关联分析等处理，实现从各实体上动态反映网络安全状况，从而为增强网络安全性提供可靠的参照依据。

1 系统架构

网络信息实体异常行为分析研究需要立足信息网络现实状况，以解决实际问题为研究目标，针对网络实体异常行为检测分析存在的缺陷与短板，整合相关数据挖掘分析、安全防护技术，提出网络实体异常行为分析的技术方案与实现方法，提升网络实体防护安全性，降低潜在安全风险。……