基于无监督算法的用户异常检测方法及装置.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN113837325A(43)申请公布日2021.12.24(21)申请号202111410811.5(22)申请日2021.11.25(71)申请人上海观安信息技术股份有限公司地址200000上海市浦东新区泥城镇云端路1412弄15号二层1室(72)发明人梁淑云殷钱安余贤喆王启凡陶景龙徐明刘胜马影周晓勇魏国富夏玉明(74)专利代理机构北京中强智尚知识产权代理有限公司11448代理人黄耀威(51)Int.Cl.G06K9/62(2006.01)G06N3/08(2006.01)权利要求书2页说明书11页附图5页(54)发明名称基于无监督算法的用户异常检测方法及装置(57)摘要本申请公开了基于无监督算法的用户异常检测方法及装置，涉及网络安全检测技术领域，可以提升用户异常检测的准确率。其中方法包括：获取web系统的用户行为日志数据；根据所述用户行为日志数据对应的多个业务场景类别，分别计算出目标用户在多个不同时间周期内的贝叶斯平均值，所述贝叶斯平均值是根据目标用户的单维行为特征数据确定的；根据目标用户在多个业务场景类别，以及多个不同时间周期内的贝叶斯平均值，利用不同的无监督模型分别得到目标用户在每个业务场景类别中的初始评估结果；根据所述初始评估结果中的评估标签类型，通过对所述初始评估结果中的评估分值进行调整，得到目标用户的异常检测结果。CN113837325ACN113837325A权利要求书1/2页1.一种基于无监督算法的用户异常检测方法，其特征在于，包括：获取web系统的用户行为日志数据；根据所述用户行为日志数据对应的多个业务场景类别，分别计算出目标用户在多个不同时间周期内的贝叶斯平均值，所述贝叶斯平均值是根据目标用户的单维行为特征数据确定的；根据目标用户在多个业务场景类别，以及多个不同时间周期内的贝叶斯平均值，利用不同的无监督模型分别得到目标用户在多个业务场景类别中的初始评估结果；根据所述初始评估结果中的评估标签类型，通过对所述初始评估结果中的评估分值进行调整，得到目标用户的异常检测结果。2.根据权利要求1所述的方法，其特征在于，所述根据所述用户行为日志数据对应的多个业务场景类别，分别计算出目标用户在多个不同时间周期内的贝叶斯平均值的步骤，包括：对用户行为日志数据进行业务场景类别分组，得到目标用户标识对应的多个业务场景类别的用户行为日志数据；针对每个业务场景类别，分别得到目标用户标识对应的多个不同时间周期内的第一初始单维行为特征数据；根据所述每个业务场景类别对应的所述第一初始单维行为特征数据，利用贝叶斯平均算法计算得到目标用户在每个时间周期内的贝叶斯平均值。3.根据权利要求2所述的方法，其特征在于，所述多个业务场景类别的用户行为日志数据类型包括：系统操作次数信息、用户登录次数信息、敏感接口调用次数信息、敏感数据访问量信息、短间隔操作次数信息中的一个或者多个。4.根据权利要求2所述的方法，其特征在于，所述根据所述每个业务场景类别对应的所述第一初始单维行为特征数据，利用贝叶斯平均算法计算得到目标用户在每个时间周期内的贝叶斯平均值步骤，包括：将当前时间周期内目标用户的第一初始单维行为特征数据在相邻时间周期内的初始单维行为特征数据中的占比，作为第二初始单维行为特征数据；根据当前周期内目标用户的第二初始单维行为特征数据，通过均值处理得到相对全量用户的第三初始单维行为特征数据；根据当前周期内全量用户的第一初始单维行为特征数据，通过均值处理得到相对全量用户的第四初始单维行为特征数据；根据所述第一初始单维行为特征数据、第二初始单维行为特征数据、第三初始单维行为特征数据和第四初始单维行为特征数据，确定目标用户在每个时间周期内的贝叶斯平均值。5.根据权利要求1‑4任一项所述的方法，其特征在于，所述根据目标用户在多个业务场景类别，以及多个不同时间周期内的贝叶斯平均值，利用不同的无监督模型分别得到目标用户在每个业务场景类别中的初始评估结果步骤，包括：确定与所述多个业务场景类别对应的多个孤立森林模型；利用每个业务场景类别对应的孤立森林模型，根据目标用户在多个不同时间周期内的贝叶斯平均值，得到目标用户在每个业务场景类别中的初始评估结果。2CN113837325A权利要求书2/2页6.根据权利要求1所述的方法，其特征在于，根据所述初始评估结果中的评估标签类型，通过对所述初始评估结果中的评估分值进行调整，得到目标用户的异常检测结果步骤，包括：若目标用户在业务场景类别中的评估标签类型为异常标签，则将所述目标用户在所述业务场景类别中的评估分值调整为所述业务场景类别对应的第一异常风险分值，所述第一异常风险分值为所述业务场景类别的异常基准分值；若目标用户在业务场景类别中的评估标签类型为正常标