13、AECID：轻量级日志分析在线异常检测方法全解析

AECID：轻量级日志分析在线异常检测方法全解析

1. AECID可检测的异常类型

AECID作为一种有效的异常检测方法，能够以一定的置信度识别不同类型的异常。主要的异常类别如下：
- 异常单事件 ：
- 离群值 ：代表极少发生的事件，这些事件出现的频率极低，不属于正常系统行为模型的一部分。
- 参数违规 ：违反允许的参数值或值组合，例如通过未知（未列入白名单）的用户代理访问服务器。在黑名单机制中，不允许的用户代理需要逐个添加到黑名单中，这存在很高的不完整性风险。
- 异常事件参数 ：事件的某些参数，如IP地址、用户字符串等超出预期范围。例如，已知软件的未知版本、以前未观察到的系统/协议功能的使用，或者已知机器的配置偏离已知的良好基线等情况触发的事件。
- 异常单事件频率 ：通常被认为正常的事件，但发生频率异常。例如，在数据盗窃的情况下，日志数据中会记录来自单个客户端的异常大量数据库访问，从而触发异常。
- 异常事件序列 ：通过观察相关事件之间的依赖关系发现的异常。这种依赖关系可以通过定义关联规则来形式化。关联规则描述了一系列事件，这些事件必须在给定的时间窗口内按顺序发生，才能被视为正常。为了检测可能涉及网络中不同系统的更复杂异常过程，需要检查多个日志行。在观察到特定的日志行类型（记录条件事件）后，另一个特定的日志行（记录预期的隐含事件）必须在预定义的时间槽内发生，否则将发出警报。此外，关联规则应可定义为，在给定（条件）事件发生后，算法