[發明專利]郵件賬號異常檢測方法、裝置及存儲介質

有效

• 申請號: 202010578662.2
• 申請日: 2020-06-23
• 公開（公告）號: CN113839852B
• 公開（公告）日: 2023-03-24
• 發明（設計）人: 龍春;張宇柔;杜冠瑤;趙靜;楊帆
• 申請（專利權）人: 中國科學院計算機網絡信息中心
• 主分類號: H04L51/23
• 分類號: H04L51/23;H04L51/212;H04L51/42;G06F16/906;G06F18/23;G06N20/00
• 代理公司: 北京知舟專利事務所(普通合伙) 11550
• 代理人: 郭韞

1.一種郵件賬號異常檢測方法，其特征在于，包括：

對郵件賬號日志進行預處理；

基于聚類技術對預處理后的郵件賬號日志進行解析，生成消息模式集合，所述消息模式集合用于表征用戶行為；

對所述消息模式集合進行賬號信息提取，并輸入機器學習模型進行訓練，得到異常檢測模型；其中，所述異常檢測模型包括賬號異常檢測模型和/或IP異常檢測模型；

將當前賬號的郵件賬號日志輸入所述異常檢測模型，預測所述郵件賬號日志是否存在異常；

所述對郵件賬號日志進行預處理，包括：對所述郵件賬號日志包括的系統消息進行過濾處理，保留所述郵件賬號日志中的IP消息及賬號消息，對過濾處理后的日志中的共性特征進行通配符替換處理；

所述基于聚類技術對預處理后的郵件賬號日志進行解析，生成消息模式集合，所述消息模式集合用于表征用戶行為，包括：計算預處理后的郵件賬號日志中的相應信息與通配符之間的相似度；將相似度大于或等于預設閾值的日志進行歸類處理；將歸類后得到的多個類作為所述消息模式集合。

2.根據權利要求1所述的郵件賬號異常檢測方法，其特征在于，所述計算預處理后的郵件賬號日志中的相應信息與通配符之間的相似度，包括：

計算預處理后的郵件賬號日志中的相應信息與通配符之間的距離，所述距離為余弦距離或歐式距離；

所述方法還包括：

對所述消息模式集合中的至少一個類添加標識，所述標識包括黑名單標識或白名單標識。

3.根據權利要求1所述的郵件賬號異常檢測方法，其特征在于，所述對所述消息模式集合進行賬號信息提取，并輸入機器學習模型進行訓練，得到異常檢測模型，包括：

對所述消息模式集合中預設時間段內的IP消息和賬號消息進行事件統計，得到計數矩陣；

將所述計數矩陣輸入機器學習模型，進行非監督訓練或半監督訓練；

將訓練得到的模型作為所述異常檢測模型；其中，所述異常檢測模型包括賬號異常檢測模型和/或IP異常檢測模型。

4.一種郵件賬號異常檢測裝置，其特征在于，包括：

預處理模塊，用于對郵件賬號日志進行預處理；

聚類模塊，用于基于聚類技術對預處理后的郵件賬號日志進行解析，生成消息模式集合，所述消息模式集合用于表征用戶行為；

訓練模塊，用于對所述消息模式集合進行賬號信息提取，并輸入機器學習模型進行訓練，得到異常檢測模型；其中，所述異常檢測模型包括賬號異常檢測模型和/或IP異常檢測模型；

預測模塊，用于將當前賬號的郵件賬號日志輸入所述異常檢測模型，預測所述郵件賬號日志是否存在異常；

所述預處理模塊，包括：

過濾子模塊，用于對所述郵件賬號日志包括的系統消息進行過濾處理，保留所述郵件賬號日志中的IP消息及賬號消息；

替換子模塊，用于對過濾處理后的日志中的共性特征進行通配符替換處理；

所述聚類模塊包括：

計算子模塊，用于計算預處理后的郵件賬號日志中的相應信息與通配符之間的相似度；

歸類子模塊，用于將相似度大于或等于預設閾值的日志進行歸類處理，并將歸類后得到的多個類作為所述消息模式集合。

5.根據權利要求4所述的郵件賬號異常檢測裝置，其特征在于，

所述計算子模塊，還用于計算預處理后的郵件賬號日志中的相應信息與通配符之間的距離，所述距離為余弦距離或歐式距離；

所述聚類模塊還包括：

標識子模塊，用于對所述消息模式集合中的至少一個類添加標識，所述標識包括黑名單標識或白名單標識。

6.根據權利要求4所述的郵件賬號異常檢測裝置，其特征在于，所述訓練模塊包括：

計數子模塊，用于對所述消息模式集合中預設時間段內的IP消息和賬號消息進行事件統計，得到計數矩陣；

訓練子模塊，用于將所述計數矩陣輸入機器學習模型，進行非監督訓練或半監督訓練；并將訓練得到的模型作為所述異常檢測模型；其中，所述異常檢測模型包括賬號異常檢測模型和/或IP異常檢測模型。

7.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述程序被處理器執行時實現權利要求1-3任一項所述方法的步驟。