[發明專利]一種操作行為分析方法及裝置

在審

• 申請號: 202010680955.1
• 申請日: 2020-07-15
• 公開（公告）號: CN111913860A
• 公開（公告）日: 2020-11-10
• 發明（設計）人: 王小墨;郝鵬;王虹嬌
• 申請（專利權）人: 中國民航信息網絡股份有限公司
• 主分類號: G06F11/34
• 分類號: G06F11/34
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王嬌嬌

1.一種操作行為分析方法，其特征在于，包括：

從業務系統的日志數據中獲取待分析的操作行為數據；

利用用戶行為特征庫中各行為特征與所述待分析的操作行為數據進行對比分析得到疑似異常分析結果；

針對各疑似異常分析結果，對疑似異常的操作行為數據進行數據下鉆和關聯分析，得到最終的異常行為數據。

2.根據權利要求1所述的方法，其特征在于，所述從業務系統的日志數據中獲取待分析的操作行為數據，包括：

從用戶行為原始庫中獲取操作行為日志數據；

將所述操作行為日志數據中的發送日志數據存儲至發送型數據表中，以及，將接收日志數據存儲至接收型數據表中；

將所述發送型數據表中的數據及所述接收型數據表中的數據，利用預設字段進行關聯，得到數據處理基礎表，其中，所述預設字段為同一請求及對應的響應數據中都包含的字段；

對所述數據處理基礎表中的數據進行解析得到所述待分析的操作行為數據。

3.根據權利要求2所述的方法，其特征在于，對所述數據處理基礎表中的數據進行解析得到所述待分析的操作行為數據，包括：

對所述數據處理基礎表中包含的不同格式的數據進行格式兼容處理；

過濾所述數據處理基礎表中數據包含的無效字段，并解析過濾后的數據對應的指令名及輸入輸出正文。

4.根據權利要求1所述的方法，其特征在于，所述利用用戶行為特征庫中各行為特征與所述待分析的操作行為數據進行對比分析得到疑似異常分析結果，包括：

從所述待分析的操作行為數據中獲取行為特征數據；

將所述行為特征數據與所述行為特征中的各行為特征進行對比分析，得到所述行為特征數據的異常分值；

當所述異常分值大于設定分值時，確定所述操作行為數據為疑似異常數據。

5.根據權利要求1所述的方法，其特征在于，建立所述用戶行為特征庫的過程，包括：

獲取各個用戶對應的歷史操作行為數據，統計各歷史操作行為數據中各個維度的數據，得到各個用戶對應的個體行為指標特征；

對所述行為指標數據庫中的指標數據進行聚類處理，得到各用戶所屬群體的群體行為指標特征。

6.根據權利要求5所述的方法，其特征在于，建立所述用戶行為特征庫的過程，還包括：

獲取特定業務的指令集，并確定所述指令集內各指令的執行順序，得到崗位異常指令識別模型。

7.根據權利要求5所述的方法，其特征在于，所述針對各疑似異常分析結果，對疑似異常的操作行為數據進行數據下鉆和關聯分析，得到最終的異常行為數據，包括：

對于任一疑似異常的操作行為數據，獲取該操作行為數據對應的賬號；

獲取該賬號對應的當前行為特點與分步情況，并與該賬號的歷史行為狀態進行比較，判斷該賬號的當前行為是否異常；

獲取該操作行為數據對應的操作指令，以及，獲取與所述操作指令的輸入輸出內容相關聯的內容，依據所述相關聯的內容進行異常分析。

8.根據權利要求1所述的方法，其特征在于，所述方法還包括：

從所述待分析的操作行為數據中篩選出高頻用戶，并對所述高頻用戶進行數據下鉆和關聯分析，并利用用戶行為特征庫中的各行為特征判定所述高頻用戶是否存在異常操作；

其中，所述高頻用戶包括出現頻次高于頻次閾值、操作時間間隔高于間隔閾值和指令分布特征高于分布閾值中至少一項的用戶。

9.一種操作行為分析裝置，其特征在于，包括：

獲取模塊，用于從業務系統的日志數據中獲取待分析的操作行為數據；

行為分析模塊，用于利用用戶行為特征庫中各行為特征與所述待分析的操作行為數據進行對比分析得到疑似異常分析結果；

第一異常分析模塊，用于針對各疑似異常分析結果，對疑似異常的操作行為數據進行數據下鉆和關聯分析，得到最終的異常行為數據。

10.根據權利要求9所述的裝置，其特征在于，所述行為分析模塊包括：

行為特征獲取子模塊，用于從所述待分析的操作行為數據中獲取行為特征數據；

特征分析子模塊，用于將所述行為特征數據與所述行為特征中的各行為特征進行對比分析，得到所述行為特征數據的異常分值；

確定子模塊，用于當所述異常分值大于設定分值時，確定所述操作行為數據為疑似異常數據。