[發明專利]一種登錄異常檢測方法及裝置

有效

• 申請號: 201810798720.5
• 申請日: 2018-07-19
• 公開（公告）號: CN108989150B
• 公開（公告）日: 2021-03-26
• 發明（設計）人: 趙志偉
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 丁蕓;項京

1.一種登錄異常檢測方法，其特征在于，所述方法包括：

獲取待檢測用戶的當前登錄日志，所述當前登錄日志包括至少一第一登錄標識以及對應屬于所述第一登錄標識的第一待匹配登錄數據；

從所述第一待匹配登錄數據中，提取屬于異常登錄標識庫中第二登錄標識的第二待匹配登錄數據，所述異常登錄標識庫為用于判斷用戶是否登錄異常的多個登錄標識的集合，所述至少一第一登錄標識包括所述第二登錄標識；所述異常登錄標識庫至少包括以下登錄標識中的一種：用戶登錄區域標識、用戶登錄失敗標識、用戶訪問應用系統失敗標識、同一IP地址同時處于在線狀態標識、同一用戶同時處于在線狀態標識、用戶一定時間段內登錄多次標識、用戶在距離較遠的多個區域登錄標識、用戶訪問的應用系統標識、用戶登錄的終端標識；

判斷所述第二待匹配登錄數據是否與用戶常用登錄數據集合中屬于所述第二登錄標識的常用登錄數據相匹配，若不匹配，則確定所述待檢測用戶登錄異常，所述用戶常用登錄數據集合為根據所述待檢測用戶的歷史登錄日志，統計的屬于所述第二登錄標識的常用登錄數據的集合；

所述方法還包括：

獲取所述待檢測用戶的歷史登錄日志，所述歷史登錄日志包括至少一第三登錄標識以及對應屬于所述第三登錄標識的第一歷史登錄數據；

從所述第一歷史登錄數據中，提取屬于所述異常登錄標識庫中所述第二登錄標識的第二歷史登錄數據，所述至少一第三登錄標識包括所述第二登錄標識；

基于屬于各第二登錄標識的第二歷史登錄數據，統計各第二登錄標識對應的歷史統計數據；

針對每一第二登錄標識，在該第二登錄標識對應的歷史統計數據滿足該第二登錄標識對應的指定基線時，確定屬于該第二登錄標識的第二歷史登錄數據為常用登錄數據；

將屬于各第二登錄標識的常用登錄數據構成的集合確定為所述用戶常用登錄數據集合；

所述獲取所述待檢測用戶的歷史登錄日志，包括：

按照預設周期，獲取所述預設周期內所述待檢測用戶的歷史登錄日志；

在所述針對每一第二登錄標識，在該第二登錄標識對應的歷史統計數據滿足該第二登錄標識對應的指定基線時，確定屬于該第二登錄標識的第二歷史登錄數據為常用登錄數據之前，所述方法還包括：

獲取各預設周期內，所述歷史登錄日志中屬于各第二登錄標識的第二歷史登錄數據的數目以及各第二登錄標識對應的初始基線；

針對每一第二登錄標識，基于該第二登錄標識對應的初始基線，對所述各預設周期內屬于該第二登錄標識的第二歷史登錄數據的數目進行加權計算，得到該第二登錄標識對應的指定基線。

2.根據權利要求1所述的方法，其特征在于，所述獲取待檢測用戶的當前登錄日志，包括：

獲取待檢測用戶在通過各網絡接入設備訪問網絡時，各網絡接入設備產生的設備日志；

針對每一設備日志，進行歸一化處理，得到處理后的第一設備日志，所述第一設備日志至少包括用戶名信息、目的地址信息及源地址信息；

基于所述用戶名信息、所述目的地址信息及所述源地址信息，從對應的預設行為匹配數據庫中，分別查找與所述用戶名信息、所述目的地址信息及所述源地址信息相匹配的第一登錄標識及對應屬于所述第一登錄標識的第一待匹配登錄數據，并根據所述第一登錄標識及所述第一待匹配登錄數據，得到所述待檢測用戶的當前登錄日志。

3.根據權利要求1所述的方法，其特征在于，在所述確定所述待檢測用戶登錄異常之后，所述方法還包括：

根據所述第二待匹配登錄數據，輸出關于所述待檢測用戶的異常告警信息。