[發明專利]一種基于用戶行為日志數據的用戶異常行為檢測方法及裝置在審
| 申請號： | 201810306815.0 | 申請日： | 2018-04-08 |
| 公開（公告）號： | CN108509793A | 公開（公告）日： | 2018-09-07 |
| 發明（設計）人： | 曾毅;彭洪濤;喻波;王志海;董愛華;安鵬 | 申請（專利權）人： | 北京明朝萬達科技股份有限公司 |
| 主分類號： | G06F21/55 | 分類號： | G06F21/55 |
| 代理公司： | 暫無信息 | 代理人： | 暫無信息 |
| 地址： | 100097 北京市海淀*** | 國省代碼： | 北京;11 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 用戶行為日志 用戶異常行為 可疑用戶 行為日志 采集 歸一化處理 處理效率 分析模型 告警信息 警報功能 系統審計 異常行為 應用軟件 用戶日志 用戶終端 時效性 檢測 評估 報警 發現 威脅 | ||
1.一種基于用戶行為日志數據的用戶異常行為檢測方法，其特征在于，該方法包括以下步驟：
1)采集用戶日志數據，并進行歸一化處理；
2)通過LDA分析模型對新采集到的用戶行為日志進行分值評估；
3)當評估分值低于預定分值時，確定新采集的用戶行為日志為可疑用戶行為日志；
4)確定該可疑用戶行為日志對應的用戶終端和應用軟件，并生成告警信息。
2.根據權利要求1所述的方法，所述LDA分析模型中，用戶行為日志數據包括以下詞語：用戶ID、用戶終端ID、應用軟件編碼、操作時間、操作類型，基于這些詞語據建立LDA分析模型輸入所需的文檔、主題，然后根據LDA算法，計算出每條用戶行為日志出現的概率，并將該概率作為該條用戶行為日志的分值。
3.根據權利要求2所述的方法，所述用戶行為日志中每個詞語在文檔集合中出現的概率標識為：根據該概率確定新采集到的用戶行為日志的分值。
4.根據權利要求1所述的方法，在所述步驟1)之前，通過用戶行為日志數據訓練LDA分析模型；
將用戶日志數據作為訓練LDA分析模型的文檔，用戶操作數據處理后形成的詞語作為訓練LDA分析模型的詞語，用戶操作類型方面的主題作為訓練LDA分析模型的主題。
5.根據權利要求1所述的方法，將用戶行為日志數據分為兩個詞語；
其中一個單詞包括：用戶ID、用戶終端ID、應用軟件類型和操作時間；
另一個單詞包括：操作類型、操作持續時間、請求字段對應編號、響應字段編號。
6.一種基于用戶行為日志數據的用戶異常行為檢測裝置，其特征在于，該裝置包括：
數據采集處理模塊，采集用戶日志數據，并進行歸一化處理；
分值評估模塊，通過LDA分析模型對新采集到的用戶行為日志進行分值評估；
分值判斷模塊，當評估分值低于預定分值時，確定新采集的用戶行為日志為可疑用戶行為日志；
告警模塊，確定該可疑用戶行為日志對應的用戶終端和應用軟件，并生成告警信息。
7.根據權利要求6所述的裝置，所述LDA分析模型中，用戶行為日志數據包括以下詞語：用戶ID、用戶終端ID、應用軟件編碼、操作時間、操作類型，基于這些詞語據建立LDA分析模型輸入所需的文檔、主題，然后根據LDA算法，計算出每條用戶行為日志出現的概率，并將該概率作為該條用戶行為日志的分值。
8.根據權利要求7所述的裝置，所述用戶行為日志中每個詞語在文檔集合中出現的概率標識為根據該概率確定新采集到的用戶行為日志的分值。
9.根據權利要求6所述的裝置，該裝置還包括模型訓練模塊，通過用戶行為日志數據訓練LDA分析模型；
將用戶日志數據作為訓練LDA分析模型的文檔，用戶操作數據處理后形成的詞語作為訓練LDA分析模型的詞語，用戶操作類型方面的主題作為訓練LDA分析模型的主題。
10.根據權利要求6所述的裝置，將用戶行為日志數據分為兩個詞語；
其中一個單詞包括：用戶ID、用戶終端ID、應用軟件類型和操作時間；
另一個單詞包括：操作類型、操作持續時間、請求字段對應編號、響應字段編號。
11.一種計算機可讀存儲介質，該介質存儲有計算機程序指令，當執行所述計算機程序指令時，實現如上述之一的方法。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于北京明朝萬達科技股份有限公司，未經北京明朝萬達科技股份有限公司許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201810306815.0/1.html，轉載請聲明來源鉆瓜專利網。
