[發(fā)明專利]一種基于中間日志的用戶行為識(shí)別方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710657611.7
• 申請(qǐng)日: 2017-08-03
• 公開(kāi)（公告）號(hào): CN107612882B
• 公開(kāi)（公告）日: 2020-09-29
• 發(fā)明（設(shè)計(jì)）人: 高浩浩;白敏
• 申請(qǐng)（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 王瑩;李官

1.一種基于中間日志的用戶行為識(shí)別方法，其特征在于，包括：

獲取初始日志，所述初始日志包括歸一化的用戶行為日志，其中，所述用戶行為日志中的數(shù)據(jù)具有同一數(shù)據(jù)類型和同一格式；

根據(jù)所述用戶行為日志中的用戶身份標(biāo)識(shí)、用戶行為和所述用戶行為的發(fā)生時(shí)間獲取中間日志，所述中間日志記錄有每一用戶在預(yù)設(shè)時(shí)段內(nèi)的第一行為次數(shù)和行為頻率，其中，所述行為頻率是所述預(yù)設(shè)時(shí)段內(nèi)指定時(shí)段中的第二行為次數(shù)；

根據(jù)所述中間日志和已有的用戶行為分析算法，識(shí)別所述用戶行為是否異常；

還獲取用戶所屬的組群；相應(yīng)的，所述方法還包括：

根據(jù)所述用戶行為日志中的用戶身份標(biāo)識(shí)、用戶行為和所述用戶行為的發(fā)生時(shí)間獲取中間日志，所述中間日志記錄有所述用戶所屬的組群中每一用戶在預(yù)設(shè)時(shí)段內(nèi)的第一行為次數(shù)和行為頻率；

所述預(yù)設(shè)時(shí)段包括通信會(huì)話所持續(xù)的時(shí)段；相應(yīng)的，所述中間日志記錄有每一用戶在預(yù)設(shè)時(shí)段內(nèi)的第一行為次數(shù)和行為頻率，包括：

所述中間日志記錄有每一用戶在所述通信會(huì)話所持續(xù)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率；

通信會(huì)話包括用戶之間交互的文字、語(yǔ)音和視頻信息；通信會(huì)話的第一行為包括：發(fā)送某些敏感文字和含有某一病毒或木馬的網(wǎng)絡(luò)地址鏈接。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述預(yù)設(shè)時(shí)段還包括不同時(shí)間粒度對(duì)應(yīng)的時(shí)段；相應(yīng)的，所述方法還包括：

所述中間日志記錄有每一用戶在所述不同時(shí)間粒度對(duì)應(yīng)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率，其中，所述不同時(shí)間粒度包括每天、每周或每月；

和/或，

所述中間日志記錄有所述用戶所屬的組群中每一用戶在所述不同時(shí)間粒度對(duì)應(yīng)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，還獲取所述用戶行為日志中的用戶常用源IP地址，其中，所述用戶常用源IP地址的累積使用次數(shù)大于等于預(yù)設(shè)次數(shù)；相應(yīng)的，所述方法還包括：

所述中間日志記錄有每一用戶使用所述用戶常用源IP地址的使用時(shí)間；

和/或，

所述中間日志記錄有所述用戶所屬的組群中每一用戶使用所述用戶常用源IP地址的使用時(shí)間。

4.根據(jù)權(quán)利要求1、2或3所述的方法，其特征在于，所述每一用戶的多條初始日志對(duì)應(yīng)一條中間日志。

5.一種基于中間日志的用戶行為識(shí)別裝置，其特征在于，包括：

獲取單元，用于獲取初始日志，所述初始日志包括歸一化的用戶行為日志，其中，所述用戶行為日志中的數(shù)據(jù)具有同一數(shù)據(jù)類型和同一格式；

第一記錄單元，用于根據(jù)所述用戶行為日志中的用戶身份標(biāo)識(shí)、用戶行為和所述用戶行為的發(fā)生時(shí)間獲取中間日志，所述中間日志記錄有每一用戶在預(yù)設(shè)時(shí)段內(nèi)的第一行為次數(shù)和行為頻率，其中，所述行為頻率是所述預(yù)設(shè)時(shí)段內(nèi)指定時(shí)段中的第二行為次數(shù)；

識(shí)別單元，用于根據(jù)所述中間日志和已有的用戶行為分析算法，識(shí)別所述用戶行為是否異常；

還獲取用戶所屬的組群；相應(yīng)的，所述裝置還包括第二記錄單元：

所述第二記錄單元，用于根據(jù)所述用戶行為日志中的用戶身份標(biāo)識(shí)、用戶行為和所述用戶行為的發(fā)生時(shí)間獲取中間日志，所述中間日志記錄有所述用戶所屬的組群中每一用戶在預(yù)設(shè)時(shí)段內(nèi)的第一行為次數(shù)和行為頻率；

所述預(yù)設(shè)時(shí)段包括通信會(huì)話所持續(xù)的時(shí)段；相應(yīng)的，所述裝置中的：

所述中間日志記錄有每一用戶在所述通信會(huì)話所持續(xù)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率；

通信會(huì)話包括用戶之間交互的文字、語(yǔ)音和視頻信息；通信會(huì)話的第一行為包括：發(fā)送某些敏感文字和含有某一病毒或木馬的網(wǎng)絡(luò)地址鏈接。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，所述預(yù)設(shè)時(shí)段還包括不同時(shí)間粒度對(duì)應(yīng)的時(shí)段；相應(yīng)的，所述裝置中的：

所述中間日志記錄有每一用戶在所述不同時(shí)間粒度對(duì)應(yīng)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率，其中，所述不同時(shí)間粒度包括每天、每周或每月；

和/或，

所述中間日志記錄有所述用戶所屬的組群中每一用戶在所述不同時(shí)間粒度對(duì)應(yīng)的時(shí)段內(nèi)的第一行為次數(shù)和行為頻率。