[發(fā)明專利]一種用戶異常行為檢測方法、裝置、設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201810856475.9
• 申請日: 2018-07-31
• 公開（公告）號: CN109241994A
• 公開（公告）日: 2019-01-18
• 發(fā)明（設(shè)計）人: 羅劍江;黃麗詩;胡澤柱
• 申請（專利權(quán)）人: 順豐科技有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62
• 代理公司: 北京志霖恒遠知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11435
• 代理人: 趙奕

本發(fā)明涉及一種用戶異常行為檢測方法、裝置、設(shè)備及存儲介質(zhì)。其中用戶異常行為檢測方法，包括：采集用戶當前操作行為進行聚合形成用戶當前行為的測試矩陣；將所述測試矩陣輸入訓練后的卷積神經(jīng)網(wǎng)絡(luò)模型中判斷用戶類型，若用戶類型與預(yù)設(shè)置的用戶群體類型不符，則判斷用戶當前操作行為存在異常；其中，訓練后的卷積神經(jīng)網(wǎng)絡(luò)模型為將采集用戶的歷史正常操作行為聚合形成的行為特征矩陣輸入卷積神經(jīng)網(wǎng)絡(luò)模型訓練所得。本發(fā)明公開的方法將多種操作行為進行聚合形成行為特征矩陣；使用深度學習進行特征提取；基于用戶群體正常行為特征矩陣對卷積神經(jīng)網(wǎng)絡(luò)模型進行訓練，對用戶當前行為進行檢測，提高了用戶異常操作行為檢測的效率和準確率。

技術(shù)領(lǐng)域

本發(fā)明涉及數(shù)據(jù)挖掘技術(shù)領(lǐng)域，尤其涉及基于卷積神經(jīng)網(wǎng)絡(luò)的用戶異常行為檢測，具體涉及一種用戶異常行為檢測方法、裝置、設(shè)備及存儲介質(zhì)。

背景技術(shù)

目前用戶異常行為檢測通常是基于用戶的單一行為進行分析，不能很好地反映出現(xiàn)實中用戶一系列真實行為的性質(zhì)。現(xiàn)有的用戶異常行為檢測在實際應(yīng)用過程中會產(chǎn)生大量的假報警，導致調(diào)查人員花費過多的調(diào)查時間，同時也不能較好地覆蓋真正的異常事件。另一方面，現(xiàn)有的用戶異常行為檢測大部分都需要人工提取用戶行為的特征，特征提取難度較大；而且檢測的細粒度不夠，未能較好地考慮用戶自身行為以及用戶所在群體的行為。

因此，目前迫切需要研究出一種新型的基于卷積神經(jīng)網(wǎng)絡(luò)的用戶異常行為檢測方法。通過這種新型的檢測方法，改善或解決上述現(xiàn)有技術(shù)中存在的問題，即解決基于用戶單一行為進行檢測很容易出現(xiàn)誤報的情況，難于提取用戶行為特征及未能考慮用戶群體行為的問題。通過這種新型用戶異常行為檢測方法能夠提高異常行為檢測的效率和準確率。

發(fā)明內(nèi)容

為了解決上述現(xiàn)有技術(shù)中存在的問題，本發(fā)明的目的在于提供一種用戶異常行為檢測方法、裝置、設(shè)備及存儲介質(zhì)。

根據(jù)本發(fā)明的一個方面，提供了一種用戶異常行為檢測方法，包括：

采集用戶當前操作行為進行聚合形成用戶當前行為的測試矩陣；

將所述測試矩陣輸入訓練后的卷積神經(jīng)網(wǎng)絡(luò)模型中判斷用戶類型，若用戶類型與預(yù)設(shè)置的用戶群體類型不符，則判斷用戶當前操作行為存在異常；

其中，訓練后的卷積神經(jīng)網(wǎng)絡(luò)模型為將采集用戶的歷史正常操作行為聚合形成的行為特征矩陣輸入卷積神經(jīng)網(wǎng)絡(luò)模型訓練所得。

進一步的，所述操作行為包括登錄行為、查詢行為、數(shù)據(jù)外發(fā)行為中的至少一項。

進一步的，所述數(shù)據(jù)外發(fā)行為包括郵件外發(fā)行為和/或移動存儲設(shè)備數(shù)據(jù)拷出行為。

進一步的，用戶行為的測試矩陣或行為特征矩陣的獲取，包括：

分別統(tǒng)計預(yù)設(shè)周期內(nèi)用戶當前操作行為或歷史正常操作行為出現(xiàn)的次數(shù)；

根據(jù)所述操作行為的次數(shù)得到各操作行為各自在所述預(yù)設(shè)周期內(nèi)的出現(xiàn)概率；

根據(jù)操作行為的次數(shù)及各操作行為各自在所述預(yù)設(shè)周期內(nèi)的出現(xiàn)概率確定各操作行為的維數(shù)，并形成用戶當前測試矩陣或行為特征矩陣。

進一步的，所述預(yù)設(shè)周期為將24小時以一定的時間間隔為單元分割而成的時間段。

進一步的，所述卷積神經(jīng)網(wǎng)絡(luò)模型包括輸入層-卷積層-池化層-卷積層-池化層-卷積層-池化層-全連接層-softmax層。

進一步的，所述卷積神經(jīng)網(wǎng)絡(luò)模型的輸入矩陣的行數(shù)與操作行為的項數(shù)相同，所述卷積神經(jīng)網(wǎng)絡(luò)模型的輸入矩陣的列數(shù)與預(yù)設(shè)周期的個數(shù)相同，所述卷積神經(jīng)網(wǎng)絡(luò)的輸出節(jié)點與預(yù)設(shè)置的用戶群體類型個數(shù)相同。

進一步的，所述用戶異常行為檢測方法還包括：根據(jù)用戶所在群體的特性將用戶聚類成M個用戶群體類型。