[發明專利]一種用戶異常行為識別方法及裝置

有效

• 申請號: 201811386060.6
• 申請日: 2018-11-20
• 公開（公告）號: CN109495479B
• 公開（公告）日: 2021-12-24
• 發明（設計）人: 張佳;蘇禹磨
• 申請（專利權）人: 華青融天(北京)軟件股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/35
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 吳迪

1.一種用戶異常行為識別方法，其特征在于，應用于服務器，所述方法包括：

獲取具有相同行為的用戶的多個不同的歷史命令記錄；其中，任一所述歷史命令記錄包括多個命令；所述歷史命令記錄為操作相同業務或者同一部門的用戶，或者同一用戶不同時間的歷史命令記錄；

根據所述用戶對應的行為特征，提取多個所述歷史命令記錄中的關鍵詞命令；

根據所述關鍵詞命令在所屬歷史命令記錄中的詞頻以及該關鍵詞命令在所有歷史命令記錄中的逆文檔詞頻，確定所述關鍵詞命令的詞頻特征；

根據所述關鍵詞命令的詞頻特征，確定異常歷史命令記錄；

所述根據所述關鍵詞命令在所屬歷史命令記錄中的詞頻以及該關鍵詞命令在所有歷史命令記錄中的逆文檔詞頻，確定所述關鍵詞命令的詞頻特征，包括：針對任一關鍵詞命令，根據該關鍵詞命令在所屬歷史命令記錄中的詞頻以及所述歷史命令記錄中的關鍵詞命令個數，確定該關鍵詞命令的標準化詞頻；根據所述歷史命令記錄的總個數以及包括該關鍵詞命令的歷史命令記錄的個數，確定該關鍵詞命令的逆文檔詞頻；根據所述關鍵詞命令的標準化詞頻和逆文檔詞頻，確定所述關鍵詞命令的詞頻特征；

所述根據所述歷史命令記錄的總個數以及包括該關鍵詞命令的歷史命令記錄的個數，確定該關鍵詞命令的逆文檔詞頻，包括：根據公式，計算該關鍵詞命令的逆文檔詞頻；其中，表示逆文檔詞頻，K表示歷史命令記錄的總個數，代表所有歷史命令記錄中，包含有該關鍵詞命令的歷史命令記錄的個數。

2.根據權利要求1所述的用戶異常行為識別方法，其特征在于，所述根據所述關鍵詞命令的詞頻特征，確定異常歷史命令記錄，包括：

對所述關鍵詞命令的詞頻特征進行降維處理，得到綜合詞頻特征矩陣；

對所述綜合詞頻特征矩陣進行聚類處理，得到異常歷史命令記錄。

3.根據權利要求2所述的用戶異常行為識別方法，其特征在于，所述對所述關鍵詞命令的詞頻特征進行降維處理，得到綜合詞頻特征矩陣，包括：

對所述關鍵詞命令的詞頻特征進行歸一化處理，得到詞頻特征矩陣；

基于隱含語義分析LAS降維算法中的預設超參數值，對所述詞頻特征矩陣進行降維處理，得到綜合詞頻特征矩陣。

4.根據權利要求3所述的用戶異常行為識別方法，其特征在于，所述對所述綜合詞頻特征矩陣進行聚類處理，得到異常歷史命令記錄，包括：

基于DBSCAN算法中的原始輸入參數值，對所述綜合詞頻特征矩陣進行聚類處理，得到待定異常歷史命令記錄和輪廓系數；

若檢測到所述輪廓系數大于第一預設閾值，則確定所述待定異常歷史命令記錄為異常歷史命令記錄。

5.根據權利要求4所述的用戶異常行為識別方法，其特征在于，所述對所述綜合詞頻特征矩陣進行聚類處理，得到異常歷史命令記錄，還包括：

若檢測到所述輪廓系數小于所述第一預設閾值，則通過網格搜索方法更新所述原始輸入參數值，得到更新輸入參數值；

基于DBSCAN算法中的所述更新輸入參數值對所述綜合詞頻特征矩陣進行聚類處理，得到待定異常歷史命令記錄和輪廓系數；

若檢測到所述輪廓系數小于所述第一預設閾值，則返回通過網格搜索方法更新所述原始輸入參數值的步驟，直至得到的所述輪廓系數大于所述第一預設閾值或者更新次數達到第二預設閾值。

6.一種用戶異常行為識別裝置，其特征在于，所述裝置包括：

獲取模塊，用于獲取具有相同行為的用戶的多個不同的歷史命令記錄；其中，任一所述歷史命令記錄包括多個命令；所述歷史命令記錄為操作相同業務或者同一部門的用戶，或者同一用戶不同時間的歷史命令記錄；

提取模塊，用于根據所述用戶對應的行為特征，提取多個所述歷史命令記錄中的關鍵詞命令；

確定模塊，用于根據所述關鍵詞命令在所屬歷史命令記錄中的詞頻以及該關鍵詞命令在所有歷史命令記錄中的逆文檔詞頻，確定所述關鍵詞命令的詞頻特征；

所述確定模塊，還用于根據所述關鍵詞命令的詞頻特征，確定異常歷史命令記錄；

所述確定模塊，具體用于：

針對任一關鍵詞命令，根據該關鍵詞命令在所屬歷史命令記錄中的詞頻以及所述歷史命令記錄中的關鍵詞命令個數，確定該關鍵詞命令的標準化詞頻；

根據所述歷史命令記錄的總個數以及包括該關鍵詞命令的歷史命令記錄的個數，確定該關鍵詞命令的逆文檔詞頻；

根據所述關鍵詞命令的標準化詞頻和逆文檔詞頻，確定所述關鍵詞命令的詞頻特征；

所述確定模塊，具體用于：

根據公式，計算該關鍵詞命令的逆文檔詞頻；其中，表示逆文檔詞頻，K表示歷史命令記錄的總個數，代表所有歷史命令記錄中，包含有該關鍵詞命令的歷史命令記錄的個數。