(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211050202.8 (22)申请日 2022.08.30 (71)申请人 中国工商银行股份有限公司 地址 100140 北京市西城区复兴门内大街 55号 申请人 工银科技有限公司 (72)发明人 祝萍　王贵智　严晓娇　刘赫德　 (74)专利代理 机构 中科专利商标代理有限责任 公司 11021 专利代理师 张琛 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/147(2022.01) (54)发明名称 异常设备识别方法、 装置、 设备、 介质和程序 产品 (57)摘要 本公开提供了一种异常设备识别方法， 可以 应用于人工智能技术领域。 该方法包括： 提取与 待检测设备对应的网络流量数据； 判断第i台设 备是否属于 白名单设备或黑名单设备； 当第i台 设备不属于白名单设备或黑名单设备， 基于与第 i台设备对应的网络流量数据提取与第i台设备 对应的异常识别特征信息； 将与第i台设备对应 的异常识别特征信息输入网络流量时序预测模 型， 获取网络流量时序预测结果； 以及计算所述 网络流量时序预测结果与同时点的网络流量观 测值的相似度， 当相似度小于第一阈值的时点数 大于第二阈值时， 判定所述第i台设备为可疑异 常设备。 本公开还提供了一种异常设备识别装 置、 设备、 存 储介质和程序 产品。 权利要求书2页 说明书12页 附图9页 CN 115426161 A 2022.12.02 CN 115426161 A 1.一种异常 设备识别方法， 其特 征在于， 包括： 提取与待检测设备对应的网络流量数据， 所述待检测设备的数量为m， m为大于或等于1 的整数； 判断第i台设备 是否属于白名单设备或黑名单设备， 其中， i满足 1≤i≤m且i 为整数； 当所述第 i台设备不属于白名单设备或黑名单设备， 基于与所述第i台设备对应的网络 流量数据提取与所述第i台设备对应的异常识别特 征信息； 将所述与所述第i台设备对应的异常识别特征信息输入网络流量时序预测模型， 获取 网络流量时序预测结果， 所述网络流量时序预测结果包括对应于n个时点的预测结果， n为 大于或等于2的整数； 以及 计算所述网络流量 时序预测结果与同时点的网络流量观测值的相似度， 当相似度小于 第一阈值的时点数 大于第二阈值时， 判定所述第i台设备为可疑异常 设备。 2.一种根据权利要求1所述的方法， 其中， 当判定所述第 i台设备为可疑异常设备后， 所 述方法还 包括： 将所述第i台设备加入黑名单， 阻断设备访问。 3.一种根据权利要求1所述的方法， 其中， 所述方法还 包括： 当所述第i台设备属于白名单设备时， 判定所述第i台设备为 正常设备， 允许设备访问； 和/或， 当所述第i台设备属于黑名单设备时， 判定所述第i台设备为异常 设备， 阻断设备访问。 4.一种根据权利要求1所述的方法， 其中， 所述网络流量数据包含访 问时间信息， 访 问 目标信息和访问目标 数据包信息； 和/或， 所述异常识别特 征信息包括： 访问目标信息和访问目标 数据包信息 。 5.一种根据权利要求1所述的方法， 其中， 基于余弦相似度算法计算所述网络流量 时序 预测结果与同时点的网络流 量观测值的相似度。 6.一种根据权利要求1所述的方法， 其中， 所述网络流量 时序预测模型基于长短期记忆 神经网络训练得到， 其中， 基于AutoML模型参数调优法调整训练过程中的超参数。 7.一种根据权利要求6所述的方法， 其中， 基于AutoML模型参数调优法调整的超参数包 括长短期记 忆神经网络的层数和模型训练迭代次数。 8.一种异常识别装置， 包括： 数据采集模块， 配置为提取与待检测设备对应的网络流量数据， 所述待检测设备的数 量为m， m为大于或等于1的整数； 判断模块， 配置为判断第i台设备是否属于白名单设备或黑名单设备其中， i满足1≤i ≤m且i为整数； 特征提取模块， 配置为当所述第 i台设备不属于白名单设备或黑名单设备时， 基于与所 述第i台设备对应的网络流 量数据提取与所述第i台设备对应的异常识别特 征信息； 模型预测模块， 配置为将所述与所述第i台设备对应的异常识别特征信息输入网络流 量时序预测模型， 获取网络流量时序预测结果， 所述网络流量时序预测结果包括对应于n个 时点的预测结果， n 为大于或等于2的整数； 以及 异常判定模块， 配置为计算所述网络流量 时序预测结果与同时点的网络流量观测值的 相似度， 当相似度小于第一阈值的时点数大于第二阈值时， 判定所述第i台设备为可疑异常权　利　要　求　书 1/2 页 2 CN 115426161 A 2设备。 9.一种电子设备， 包括： 一个或多个处 理器； 存储装置， 用于存 储一个或多个程序， 其中， 当所述一个或多个程序被所述一个或多个处理器执行时， 使得所述一个或多个 处理器执行根据权利要求1～7中任一项所述的方法。 10.一种计算机可读存储介质， 其上存储有可执行指令， 该指令被处理器执行时使处理 器执行根据权利要求1～7中任一项所述的方法。 11.一种计算机程序产品， 包括计算机程序， 所述计算机程序被处理器执行时实现根据 权利要求1～7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115426161 A 3