用户访问行为的异常检测方法及装置.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114117421A(43)申请公布日2022.03.01(21)申请号202111441750.9(22)申请日2021.11.29(71)申请人上海观安信息技术股份有限公司地址200000上海市浦东新区泥城镇云端路1412弄15号二层1室(72)发明人殷钱安梁淑云余贤喆王启凡陶景龙刘胜马影周晓勇魏国富夏玉明(74)专利代理机构北京中强智尚知识产权代理有限公司11448代理人王妍(51)Int.Cl.G06F21/55(2013.01)G06K9/62(2022.01)权利要求书2页说明书9页附图4页(54)发明名称用户访问行为的异常检测方法及装置(57)摘要本申请公开了用户访问行为的异常检测方法及装置，涉及网络信息安全技术领域，可以提升异常行为检测的效率。其中方法包括：从web系统的用户访问行为数据中获取与用户标识对应的初始访问行为序列；对所述初始访问行为序列进行多阶窗口分组，得到用于表征不同访问行为分类特征的多个目标访问行为组合序列；根据所述多个目标访问行为组合序列之间相关联的访问行为组合，计算出与相关联的访问行为组合对应的组合频次分布值；根据所述组合频次分布值，利用异常检测算法得到用户访问行为是否异常的检测结果。本申请适用于对用户访问行为的异常进行检测。CN114117421ACN114117421A权利要求书1/2页1.一种用户访问行为的异常检测方法，其特征在于，包括：从web系统的用户访问行为数据中获取与用户标识对应的初始访问行为序列；对所述初始访问行为序列进行多阶窗口分组，得到用于表征不同访问行为分类特征的多个目标访问行为组合序列；根据所述多个目标访问行为组合序列之间相关联的访问行为组合，计算出与相关联的访问行为组合对应的组合频次分布值；根据所述组合频次分布值，利用异常检测算法得到用户访问行为是否异常的检测结果。2.根据权利要求1所述的方法，其特征在于，所述从web系统的用户访问行为数据中获取与用户标识对应的访问行为序列，包括：根据与用户标识对应的web系统的用户访问行为数据，按照访问行为发生的时间顺序得到初始访问行为序列，所述初始访问行为序列包括与执行主体对应的多个行为指令。3.根据权利要求1所述的方法，其特征在于，所述对所述初始访问行为序列进行多阶窗口分组，得到用于表征不同访问行为分类特征的多个目标访问行为组合序列，包括：利用滑动窗口对所述初始访问行为序列分别按照不同窗口阶数进行分组，得到多个初始访问行为组合序列；根据所述多个初始访问行为组合序列分别对应的组合频次，从所述多个初始访问行为组合序列中确定用于表征不同访问行为分类特征的多个目标访问行为组合序列。4.根据权利要求3所述的方法，其特征在于，所述根据所述多个初始访问行为组合序列分别对应的组合频次，从所述多个初始访问行为组合序列中确定用于表征不同访问行为分类特征的多个目标访问行为组合序列，包括：根据每个初始访问行为组合序列中每个访问行为组合的组合频次，利用秩和检验法确定目标滑动窗口阶数；基于所述目标滑动窗口阶数，从所述多个初始访问行为组合序列中确定用于表征不同访问行为分类特征的多个目标访问行为组合序列；其中，所述多个目标访问行为组合序列包括滑动窗口阶数大于等于1，且小于等于目标滑动窗口阶数的多个初始访问行为组合序列。5.根据权利要求1所述的方法，其特征在于，所述根据所述多个目标访问行为组合序列之间相关联的访问行为组合，计算出与相关联的访问行为组合对应的组合频次分布值，包括：根据所述多个目标访问行为组合序列之间的访问行为组合关联规则，确定相关联的访问行为组合；根据所述相关联的访问行为组合，利用AVF算法计算出与相关联的访问行为组合对应的组合频次分布值。6.根据权利要求5所述的方法，其特征在于，所述访问行为组合关联规则是指，从所述多个目标访问行为组合序列中分别获取到的访问行为组合之间是包含关系。7.根据权利要求1所述的方法，其特征在于，所述异常检测算法为孤立森林模型，根据所述组合频次分布值，利用异常检测算法得到用户访问行为是否异常的检测结果的步骤之后，还包括：2CN114117421A权利要求书2/2页当利用孤立森林模型得到用户访问行为属于异常的检测结果后，将异常的检测结果对应的组合频次分布值作为孤立森林模型的更新数据样本，用于对所述孤立森林模型的更新训练。8.一种用户访问行为的异常检测装置，其特征在于，包括：序列获取模块，用于从web系统的用户访问行为数据中获取与用户标识对应的初始访问行为序列；分组模块，用于对所述初始访问行为序列进行多阶窗口分组，得到用于表征不同访问行为分类特征的多个目标访问行为组合序列；频次计算模块，用于根据所述多个目标访问行为组合序列之间相关联的访问行为组合，