(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111624580.8 (22)申请日 2021.12.28 (71)申请人 尚承科技股份有限公司 地址 中国台湾新竹县竹北市自强 五路279 号1楼 (72)发明人 赖育承　 (74)专利代理 机构 长春市吉利专利事务所(普 通合伙) 22206 专利代理师 李晓莉　王显文 (51)Int.Cl. H04L 9/40(2022.01) H04L 69/22(2022.01) G06N 20/00(2019.01) (54)发明名称 学习网络行为特征的网络设备、 处理系统与 方法 (57)摘要 本发明是一种学习网络行为特征的网络设 备、 处理系统与方法， 其包括用户端、 服务器端与 网络设备。 网络设备接收用户端传输至服务器端 的多个网络封包， 用于训练网络设备的待学习模 型。 网络设备执行 以下步骤： 将行为结果信息储 存于特征储存 单元内； 由封包撷取单元撷取用户 端提供的网络封包并储存于封包储存 单元中； 再 由特征撷 取单元自封包储存单元解析网络封包， 并根据特征模板获取相应的行为特征信息且储 存于特征储存 单元； 处理单元自特征储存单元获 取行为特征信息及行为结果信息并载入待学习 模型， 该待学习模型输出学习收敛信息； 该处理 单元根据学习收敛信息决定调整特征撷取单元 或将待学习模型输出 特征识别模型。 权利要求书2页 说明书5页 附图4页 CN 114465769 A 2022.05.10 CN 114465769 A 1.一种学习网络行为特 征的网络设备， 其特 征在于： 一封包撷取 单元， 撷取多个网络 封包； 一封包储存单元， 连接该封包撷取 单元， 且该封包 储存单元储存该些网络封包； 一特征撷取单元， 连接该封包储存单元且以至少一特征模板解析该些网络封包， 并撷 取该些网络封包的至少一行为特 征信息； 一特征储存单元， 连接于该特征撷取单元， 该特征储存单元储存该些行为特征信 息， 并 该特征储存单元内另储 存有复数 行为结果信息； 一处理单元， 接收所述行为特 征信息及行为结果信息； 及 一待学习模型， 根据该至少一行为特征信息及一行为结果信息输出一学习收敛信息， 该处理单元根据该些学习收敛信息决定调整该特征撷取单元或将该待学习模型输出一特 征识别模型。 2.根据权利要求1所述的学习网络行为特征的网络设备， 其特征在于： 该处理单元根据 该些学习收敛信息决定调整该特征撷取单元， 而 该特征撷取单元则依其处理单元的调整要 求而调整其特征模板， 该特征撷取单元再 由调整的特征模板去解析该些网络封包， 以撷取 该些网络封包新的行为特 征信息。 3.一种学习网络行为特 征的处理系统， 其特 征在于： 至少一用户端， 传输多个网络 封包； 至少一服务器端， 接收该 些网络封包； 以及 一网络设备， 具有一封包撷取单元、 一特征撷取单元、 一封包储存单元、 一特征储存单 元、 一处理单元与一待学习模型， 该封包撷取单元撷取流经该用户端与该服务器端的该些 网络封包， 而该封包储存单元储存该些网络封包， 另该特征撷取单元以至少一特征模板解 析该些网络封包， 并撷取该些网络封包的至少一行为特征信息， 该特征储存单元储存该些 行为特征信息与复数行为结果信息， 而该 处理单元接收所述行为特征信息及行为结果信息 并输入至该待 学习模型， 使该待 学习模型根据该至少一行为特征信息及一行为结果信息输 出一学习收敛信息， 该 处理单元根据该些学习收敛信息决定调整 该特征撷取单元或将该待 学习模型输出一特 征识别模型。 4.根据权利要求3所述的学习网络行为特征的处理系统， 其特征在于： 该处理单元根据 该些学习收敛信息决定调整该特征撷取单元， 而 该特征撷取单元则依其处理单元的调整要 求而调整其特征模板， 该特征撷取单元再 由调整的特征模板去解析该些网络封包， 以撷取 该些网络封包新的行为特 征信息。 5.根据权利要求3所述的学习网络行为特征的处理系统， 其特征在于： 该服务器端还包 括一异常行为侦测器， 该异常行为侦测器从所述网络封包中侦测到至少一异常行为信息， 且该异常行为侦测器将所述异常行为信息发送至一行为分析 单元。 6.根据权利要求5所述的学习网络行为特征的处理系统， 其特征在于： 该行为分析单元 连接于该特征撷取单元与封包储存单元， 且该行为分析单元依据异常行为信息解析该封包 储存单元中的该 些网络封包， 并要求特 征撷取单元调整其特 征模板。 7.一种学习网络行为特 征的处理方法， 其特 征在于： 将至少一行为结果信息储 存于一特 征储存单元内； 由一封包撷取 单元撷取至少一用户端提供的网络 封包并储 存于一封包 储存单元中；权　利　要　求　书 1/2 页 2 CN 114465769 A 2再由一特征撷取单元自封包储存单元解析网络封包， 并根据至少一特征模板获取相应 的行为特 征信息且 储存于一特 征储存单元； 一处理单元自特征储存单元获取行为特征信 息及行为结果信 息并载入一待学习 模型， 该待学习模型输出一学习收敛信息； 以及 该处理单元根据学习收敛信息决定调整特征撷取单元或将待学习模型输出一特征识 别模型。 8.根据权利要求7所述的学习网络行为特征的处理方法， 其特征在于： 所述处理单元根 据学习收敛信息调整特 征撷取单元的步骤 包括： 该特征撷取单元则依其处 理单元的调整 要求而调整其特 征模板； 该特征撷取单元再由调整的特征模板去解析该些网络封包， 以撷取该些网络封包新的 行为特征信息。 9.根据权利要求7所述的学习网络行为特征的处理方法， 其特征在于： 还提供一异常行 为侦测器， 该异常行为侦测器从所述网络封包中侦测到至少一异常行为信息， 且该异常行 为侦测器将所述异常行为信息发送至一行为分析 单元。 10.根据权利要求9所述的学习网络行为特征的处理方法， 其特征在于： 该行为分析单 元依据异常行为信息解析该封包储存单元中的该些网络封包， 并要求特征撷取单元调整其 特征模板。权　利　要　求　书 2/2 页 3 CN 114465769 A 3