[發明專利]基于無監督學習的異常行為檢測方法、裝置及計算終端

在審

• 申請號: 202011576194.1
• 申請日: 2020-12-28
• 公開（公告）號: CN112651019A
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 王天祥;朱永強
• 申請（專利權）人: 成都網安科技發展有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62
• 代理公司: 成都極刻智慧知識產權代理事務所(普通合伙) 51310
• 代理人: 唐維虎

1.一種基于無監督學習的異常行為檢測方法，其特征在于，應用于計算終端，所述方法包括：

提取目標用戶的用戶行為數據的行為向量；

根據目標用戶的預設用戶行為基線計算所述行為向量中各個特征分量的標準分數，所述標準分數用于表征所述用戶行為數據偏離所述用戶行為基線的程度；

根據所述各個特征分量的標準分數計算得到所述用戶行為數據對應的異常行為信息。

2.根據權利要求1所述的基于無監督學習的異常行為檢測方法，其特征在于，所述提取目標用戶的用戶行為數據的行為向量的步驟，包括：

對所述用戶行為數據進行數據清理；

提取數據清理后的用戶行為數據的向量表示，作為所述用戶行為數據的行為向量。

3.根據權利要求2所述的基于無監督學習的異常行為檢測方法，其特征在于，所述對所述用戶行為數據進行數據清理的方式包括以下數據清理方式中的至少一種：

刪除所述用戶行為數據中預設的日志字段；

將所述用戶行為數據中屬于同一行為屬性的不同日志字段替換為所述同一行為屬性的統一日志字段；

按照預設屬性的數據分布對所述用戶行為數據中含有缺失值的字段進行采樣添加；

對所述用戶行為數據中日志字段進行去重處理。

4.根據權利要求2所述的基于無監督學習的異常行為檢測方法，其特征在于，所述提取所述數據清理后的用戶行為數據的向量表示，作為所述用戶行為數據的行為向量的步驟，包括：

針對所述數據清理后的用戶行為數據的類別型特征，計算所述類別型特征的發生頻率，作為第一行為向量；

針對所述數據清理后的用戶行為數據的數值型特征，將所述數值型特征的特征數值作為第二行為向量，或將按照預設度量方式對所述數值型特征進行轉換后的特征數值作為第二行為向量；

其中，所述用戶行為數據的行為向量包括所述第一行為向量和所述第二行為向量。

5.根據權利要求1-4中任意一項所述的基于無監督學習的異常行為檢測方法，其特征在于，所述根據所述各個特征分量的標準分數計算得到所述用戶行為數據對應的異常行為信息的步驟，包括：

獲取所述各個特征分量的標準分數中絕對值最大的第一目標特征分量；

采用預設激活函數將所述第一目標特征分量映射到預設程度區間中，得到所述目標用戶的行為異常程度，作為所述用戶行為數據對應的異常行為信息。

6.根據權利要求1-4中任意一項所述的基于無監督學習的異常行為檢測方法，其特征在于，所述根據所述各個特征分量的標準分數計算得到所述用戶行為數據對應的異常行為信息的步驟，包括：

獲取所述各個特征分量的標準分數中絕對值大于預設閾值的第二目標特征分量；

采用預設激活函數將每個所述第二目標特征分量映射到預設程度區間中，得到每個所述第二目標特征分量對應的行為異常程度；

將每個所述第二目標特征分量對應的行為異常程度乘以各自對應的預設權重，得到每個所述第二目標特征分量的行為權重異常程度；

將每個所述第二目標特征分量的行為權重異常程度之和確定為所述目標用戶的行為異常程度，作為所述用戶行為數據對應的異常行為信息。

7.根據權利要求1-4中任意一項所述的基于無監督學習的異常行為檢測方法，其特征在于，所述方法還包括：

獲取所述目標用戶在預設時間范圍內的歷史用戶行為數據；

提取所述歷史用戶行為數據的歷史行為向量；

計算所述歷史行為向量對應的用戶行為均值向量和用戶行為標準差向量；

將所述用戶行為均值向量與所述用戶行為標準差向量作為所述用戶行為基線。