随着信息化办公进程的加快,内部网络安全问题也变得愈加严峻。传统的外部防御系统很难应对具有低频性、高隐蔽性、多变性和高危性的内部威胁。为改善内部网络的安全性,基于内部网络的威胁检测技术开始受到广泛关注。而如何有效地构建受测序列,如何对检测结果进行合理的解释,从而保证检测的高效性、准确性和可解释性,是目前内部网络威胁检测研究中的基础和关键问题。其主要的难点在于:(1)研究缺乏。(2)威胁行为少而多变。(3)检测结果的不可解释。针对以上难题,本文根据各异构数据自身的特征,以及神经网络、自然语言处理、模型可解释等模型和算法理论,研究了如何在内部网络场景中对威胁行为进行检测,如何为检测结果提供可供参考的解释结果,为内部网络中的威胁检测方案的设计提供了全新的思路,并给出了完整的实验结果。本文的主要工作及创新点如下:(1)提出了一种基于异构数据的序列建模方法。在内部网络场景下,该建模方法将各异构数据进行适应性处理,从行为的时间、频率,行为内容的主题偏离程度、用户关系等方面入手,解决了行为类型覆盖不足、准确率低的问题。(2)提出了基于可解释的威胁评估模型。采用基于自编码思想的降维算法,将高维的序列进行降维,解决了模型对高维数据进行检测的时间开销巨大的问题。同时,利用模型可解释的思想,结合神经网络的反向传播特性,设计了模型可解释算法,解决了检测结果不可解释的问题。并通过实验,证明了上述算法可行性和有效性。(3)在实验室项目——基于原位计算的多中心大数据联合分析系统的基础上,将上述两种算法相结合,设计并开发了内部网络威胁检测系统。详细阐述了各模块的功能与作用,并为各个子模块设计了直观的可视化展示界面。经过测试,表明本文所提出的方法与模型具有较好的应用前景与使用价值。