[發明專利]異常用戶檢測方法、裝置、計算設備及存儲介質

有效

• 申請號: 202011276015.2
• 申請日: 2020-11-16
• 公開（公告）號: CN112306982B
• 公開（公告）日: 2021-07-16
• 發明（設計）人: 王濱;張峰;萬里;王星;李志強;徐文淵;冀曉宇
• 申請（專利權）人: 杭州海康威視數字技術股份有限公司
• 主分類號: G06F16/18
• 分類號: G06F16/18;G06F11/34;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 程杰;王琦

1.一種異常用戶檢測方法，其特征在于，包括：

獲取歷史時間段的日志數據，所述日志數據中每條日志包括用戶標識、用戶對目標設備的操作行為和日志時間；

基于所述日志數據，確定每個用戶標識的第一日志序列和每個用戶標識在每個時間區間內的第二日志序列，其中，所述時間區間為按照單位時長對所述歷史時間段進行劃分的結果，每個用戶標識的第一日志序列為按照日志時間對該用戶標識的日志進行排序的結果，每個用戶標識在每個時間區間內的第二日志序列為按照日志時間對該用戶標識在該時間區間的日志進行排序的結果；

基于所述第一日志序列和所述第二日志序列，確定每個用戶標識的第一特征數據和每個用戶標識在每個時間區間內的第二特征數據，所述第一特征數據既表征用戶在歷史時間段內的操作行為，又表征用戶在歷史時間段內的操作行為的時序特征，所述第二特征數據既表征用戶在對應時間區間內的操作行為，又表征用戶在該時間區間內的操作行為的時序特征；

對第一特征數據進行聚類，得到第一聚類結果，所述第一聚類結果用于表征不同用戶之間的行為差異；

對第二特征數據進行聚類，得到第二聚類結果，所述第二聚類結果用于表征用戶不同時間區間的行為差異；

根據第一聚類結果，確定相應的異常用戶；

根據第二聚類結果，確定相應的異常用戶。

2.如權利要求1所述的異常用戶檢測方法，其特征在于，所述基于所述日志數據，確定每個用戶標識的第一日志序列和每個用戶標識在每個時間區間內的第二日志序列，包括：

按照用戶標識對所述日志數據進行劃分，確定每個用戶標識的日志；

按照時間順序對每個用戶標識的日志進行排序，得到每個用戶標識的第一日志序列；

按照時間區間對每個用戶標識的第一日志序列進行劃分，確定每個用戶標識在每個時間區間內的第二日志序列。

3.如權利要求1所述的異常用戶檢測方法，其特征在于，所述基于所述第一日志序列和所述第二日志序列，確定每個用戶標識的第一特征數據和每個用戶標識在每個時間區間內的第二特征數據，包括：

利用對目標設備的操作行為的向量，將每個用戶標識的每個第二日志序列中操作行為的序列表示為矩陣；

根據每個用戶標識的每個第二日志序列的矩陣，確定每個用戶標識的第一日志序列的矩陣，第一日志序列的矩陣為第一日志序列中操作行為的序列的向量表示；

對每個用戶標識的第一日志序列的矩陣進行特征提取，得到每個用戶標識的第一特征數據；

對每個用戶標識的每個第二日志序列的矩陣進行特征提取，得到每個用戶標識在每個時間區間內的第二特征數據。

4.如權利要求3所述的異常用戶檢測方法，其特征在于，在所述基于所述第一日志序列和所述第二日志序列，確定每個用戶標識的第一特征數據和每個用戶標識在每個時間區間內的第二特征數據之前，所述異常用戶檢測方法進一步包括：

將對目標設備的各種操作行為進行獨熱編碼，得到每種操作行為的編碼；

利用詞向量模型對每種操作行為的編碼進行處理，得到每種操作行為的向量，其中，所述詞向量模型根據所述日志數據中操作行為訓練得到。

5.如權利要求3所述的異常用戶檢測方法，其特征在于，

所述對每個用戶標識的第一日志序列的矩陣進行特征提取，得到每個用戶標識的第一特征數據，包括：基于第一長短時記憶網絡自編碼模型，對每個第一日志序列的矩陣進行特征提取，得到相應的第一特征數據，其中，所述第一長短時記憶網絡自編碼模型用于提取第一日志序列中操作行為組成的序列的特征；

所述對每個用戶標識的每個第二日志序列的矩陣進行特征提取，得到每個用戶標識在每個時間區間內的第二特征數據，包括：基于第二長短時記憶網絡自編碼模型，對每個第二日志序列的矩陣進行特征提取，得到相應的第二特征數據，其中，所述第二長短時記憶網絡自編碼模型用于提取用戶標識在每個時間區間內的第二日志序列中操作行為組成的序列的特征。