[發明專利]一種基于用戶行為分析的異常行為檢測方法

有效

• 申請號: 201710448328.3
• 申請日: 2017-06-14
• 公開（公告）號: CN107196953B
• 公開（公告）日: 2020-05-08
• 發明（設計）人: 施勇;傅燁文;劉寧
• 申請（專利權）人: 上海境領信息科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州市深研專利事務所(普通合伙) 44229
• 代理人: 陳雅平

1.一種基于用戶行為分析的異常行為檢測方法，其特征在于，該方法包括如下步驟；

第一步，設定初始的用于用戶行為數據采集的時間滑動窗口參數，并基于該設定的時間滑動窗口參數對用戶行為數據進行實時采集，通過多維數組來表示該用戶行為數據；

第二步，構建標準用戶行為樣本庫，包括標準惡意用戶行為樣本庫、標準正常用戶行為樣本庫以及可疑用戶行為樣本庫；其中標準惡意用戶行為樣本庫中保存有多條且標準的用于表征用戶行為屬于惡意行為的用戶行為數據，標準正常用戶行為樣本庫保存有多條且標準的用于表征用戶行為屬于正常行為的用戶行為數據，可疑用戶行為樣本庫保存有多條用于表征用戶行為屬于可疑行為的用戶行為數據；

第三步，以標準用戶行為樣本庫構建多角度行為分析模型；

第四步，將所采集的用戶行為數據輸入到所構建的多角度行為分析模型中，得出分析結論值數組；

第五步，基于分析結論值數組計算得到分析可信度值，將分析可信度值與使用者預先設定的可接受置信度值進行比較得到比較結果，當該比較結果表明本次分析不可信時選擇執行反饋調整以及重測的步驟，包括反饋調整時間滑動窗口參數以重新采集用戶行為數據，再次執行步驟一至步驟四，當該比較結果表明本次分析可信時根據該比較結果給出當前實時采集的用戶行為數據的分析結果；

多角度行為分析模型包括基于馬氏距離的多角度行為分析模型以及基于孤立森林的多角度行為分析模型；在所述基于馬氏距離的多角度行為分析模型中通過分別計算當前實時采集的用戶行為數據與標準惡意用戶行為樣本庫、標準正常用戶行為樣本庫以及可疑用戶行為樣本庫中的樣本之間的馬氏距離，來獲得該包括了異常概率值、正常概率值以及可疑概率值的分析結論值數組；

在所述基于馬氏距離的多角度行為分析模型中選取異常概率值、正常概率值以及可疑概率值中的最小者，分別計算該最小者與其他兩個數值的比值，并將這兩個比值作為分析可信度值，僅當這兩個比值均小于使用者預先設定的可接受置信度值時，認定本分析結果可信；否則，認定本分析結果不可信；

在所述基于孤立森林的多角度行為分析模型中通過標準惡意用戶行為樣本庫、標準正常用戶行為樣本庫以及可疑用戶行為樣本庫分別構建出惡意行為森林、正常行為森林以及可疑行為森林，并分別計算當前實時采集的用戶行為數據在惡意行為森林、正常行為森林以及可疑行為森林中的從根節點到該用戶行為數據所處在的葉節點的平均路徑距離，基于該平均路徑距離來獲得該包括了異常概率值、正常概率值以及可疑概率值的分析結論值數組；在所述基于孤立森林的多角度行為分析模型中選取異常概率值、正常概率值以及可疑概率值中的最大者，分別計算該最大者與其他兩個數值的比值，并將這兩個比值作為分析可信度值，僅當這兩個比值均大于使用者預先設定的可接受置信度值時，認定本分析結果可信；否則，認定本分析結果不可信。

2.根據權利要求1所述的基于用戶行為分析的異常行為檢測方法，其特征在于：所述的時間滑動窗口參數包括時間滑動窗口的長度以及數據采集基本時間元的間隔，且對時間滑動窗口參數進行反饋調整時可以調整該時間滑動窗口長度及數據采集基本時間元間隔二者中至少之一。

3.根據權利要求1所述的基于用戶行為分析的異常行為檢測方法，其特征在于：所述分析結論值數組包括有異常概率值、正常概率值以及可疑概率值，其中的異常概率值表征當前實時采集的用戶行為數據與標準惡意用戶行為樣本庫中的樣本間的相似程度，正常概率值表征當前實時采集的用戶行為數據與標準正常用戶行為樣本庫中的樣本間的相似程度，可疑概率值表征當前實時采集的用戶行為數據與可疑用戶行為樣本庫中的樣本間的相似程度。