[發明專利]一種基于融合機器學習算法的用戶安全行為基線分析方法

在審

• 申請號: 202010031009.4
• 申請日: 2020-01-13
• 公開（公告）號: CN111259948A
• 公開（公告）日: 2020-06-09
• 發明（設計）人: 李興國;鄭傳義;曲志峰;苗功勛;魏東曉
• 申請（專利權）人: 中孚安全技術有限公司;中孚信息股份有限公司;北京中孚泰和科技發展股份有限公司;南京中孚信息技術有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62
• 代理公司: 北京久維律師事務所 11582
• 代理人: 邢江峰

1.一種基于融合機器學習算法的用戶安全行為基線分析方法，其特征是，該方法包括：

針對要監控的用戶或設備建立行為特征矩陣；

建立基于時間維度的二維特征矩陣；

定位行為基線異常的用戶或設備；

對行為異常的用戶或設備抽取時間維度的特征向量；

定位發生基線異常的時間。

2.根據權利要求1所述的方法，其特征是，特征矩陣包括：U_i＝[S₁ S₂ S₃ … S_n]，式中，U_i表示要監控的用戶或設備i，S_i＝{S}表示用戶或設備i的一個監控指標的特征值。

3.根據權利要求2所述的方法，其特征是，建立基于時間維度的二維特征矩陣包括在用戶行為特征矩陣U_i＝[S₁ S₂ S₃ … S_n]的基礎上增加時間維度的標簽形成基于時間維度的特征二維矩陣：

式中，表示監控的用戶或者設備U_i在T_i時刻的特征表現；表示U_i在T_i時間范圍內S_n特征的表現值。

4.根據權利要求3所述的方法，其特征是，定位行為基線異常的用戶或設備包括：

利用K-Means算法對所有的矩陣進行聚類無監督分析，形成“用戶-分組”或者“設備-分組”的動態群組中；

如果“用戶-分組”或者“設備-分組”的群組發生群組變化，認為發生變化的用戶或者設備的風險提升，則定位到發生異常行為的用戶或設備。

5.根據權利要求4所述的方法，其特征是，對行為異常的用戶或設備抽取時間維度的特征向量包括：

針對定位為異常的用戶或設備進行從各個指標S_n進行時間維度的抽取，形成異常用戶或設備的單一指標的時間維度矩陣

6.根據權利要求5所述的方法，其特征是，定位發生基線異常的時間包括：

使用核密度函數對進行擬合觀察；

獲取同一指標在不同時間段的概率分布曲線；

該概率曲線的最低值所對應的數據，或該數據附近的數據出現的時間點為出現基線異常的時間點。