[發明專利]異常行為檢測方法、裝置、電子設備及可讀存儲介質

在審

• 申請號: 202011053576.6
• 申請日: 2020-09-29
• 公開（公告）號: CN112149749A
• 公開（公告）日: 2020-12-29
• 發明（設計）人: 張強;喻波;王志海;魏力;謝福進
• 申請（專利權）人: 北京明朝萬達科技股份有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/08
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 楊愛平

1.一種異常行為檢測方法，其特征在于，包括：

獲取至少兩個用戶在預設時間序列內分別對應的行為日志，所述預設時間序列包括至少兩個時間窗口；

針對每個所述行為日志，在每個所述時間窗口內分別構建所述特征向量，以獲取包括多個所述特征向量的特征向量集合，所述特征向量包括N個特征維度的特征值，且N為大于或者等于1的整數；

根據所述特征向量集合生成包括至少一個類別的行為基線向量的基線組，每個類別的所述行為基線向量對應的特征標簽不同；

針對每個類別的所述行為基線向量，根據所述特征向量集合與當前類別的所述行為基線向量進行偏差量計算，獲取每個類別的所述行為基線向量對應的偏差量集合；

采用循環神經網絡RNN深度學習算法，基于至少一個所述偏差量集合構建至少一個對應的異常行為檢測模型；

根據至少一個所述異常行為檢測模型對待檢測的目標用戶進行異常行為檢測。

2.根據權利要求1所述的異常行為檢測方法，其特征在于，所述針對每個所述行為日志，在每個所述時間窗口內分別構建所述特征向量，包括：

針對每個所述行為日志，在每個所述時間窗口內構建至少包括Web訪問特征、郵件收發特征、文件操作特征和用戶登錄退出特征的所述特征向量。

3.根據權利要求2所述的異常行為檢測方法，其特征在于，所述針對每個所述行為日志，在每個所述時間窗口內構建至少包括Web訪問特征、郵件收發特征、文件操作特征和用戶登錄退出特征的所述特征向量，包括：

針對每個所述行為日志，在每個所述時間窗口內，采用預設模型提取所述Web訪問特征、所述郵件收發特征、所述文件操作特征和所述用戶登錄退出特征，所述Web訪問特征、所述郵件收發特征、所述文件操作特征和所述用戶登錄退出特征分別對應于至少一個特征維度的特征值；

根據所述時間窗口內對應的所述Web訪問特征、所述郵件收發特征、所述文件操作特征和所述用戶登錄退出特征，生成所述特征向量。

4.根據權利要求1所述的異常行為檢測方法，其特征在于，所述根據所述特征向量集合生成包括至少一個類別的行為基線向量的基線組，包括：

針對每個用戶，根據所述預設時間序列中的每一個所述時間窗口對應的所述特征向量，生成包括N個特征維度分別對應的第一基線均值的個體行為基線向量，每個用戶對應于一所述個體行為基線向量；

在至少兩個用戶中確定歸屬于目標部門的第一數目個第一用戶，根據所述第一用戶的所述個體行為基線向量，生成包括N個特征維度分別對應的第二基線均值的部門行為基線向量；

在至少兩個用戶中確定對應于目標場景的第二數目個第二用戶，根據所述第二用戶的所述個體行為基線向量，生成包括N個特征維度分別對應的第三基線均值的場景行為基線向量；

根據所述個體行為基線向量、所述部門行為基線向量和所述場景行為基線向量中的至少一個類別的向量，生成所述基線組；

其中，所述個體行為基線向量、所述部門行為基線向量和所述場景行為基線向量對應不同的特征標簽。

5.根據權利要求4所述的異常行為檢測方法，其特征在于，所述針對每個用戶，根據所述預設時間序列中的每一個所述時間窗口對應的所述特征向量，生成包括N個特征維度分別對應的第一基線均值的個體行為基線向量，包括：

針對每個用戶，在對應的每個所述特征向量中分別提取出N個特征維度分別對應的特征值；

針對每個用戶，在每個特征維度下，計算各所述特征向量對應的所述特征值的均值，獲取N個第一基線均值，根據N個所述第一基線均值生成所述個體行為基線向量。

6.根據權利要求4所述的異常行為檢測方法，其特征在于，所述根據所述第一用戶的所述個體行為基線向量，生成包括N個特征維度分別對應的第二基線均值的部門行為基線向量，包括：

針對每個特征維度，計算所述第一數目個所述第一用戶對應的所述第一基線均值的平均值，獲取N個第二基線均值；

根據N個所述第二基線均值生成所述部門行為基線向量。