[發明專利]一種具備可解釋性的用戶行為異常檢測方法

有效

• 申請號: 202011590113.3
• 申請日: 2020-12-29
• 公開（公告）號: CN112685272B
• 公開（公告）日: 2022-10-14
• 發明（設計）人: 彭佳;計暢;李敏;高能;屠晨陽
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F11/34
• 分類號: G06F11/34;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 司立彬

1.一種具備可解釋性的用戶行為異常檢測方法，其步驟包括：

1)使用特征提取模塊收集目標網絡中用戶的特征信息；

2)圖矩陣模塊根據各用戶的特征信息構建鄰接矩陣；其中所述圖矩陣模塊根據用戶特征信息確定用戶之間是否存在直接聯系，然后使用權重方程A(i，j)＝w*cos(F_i，F_j)+(1-w)*C_ij計算用戶i與用戶j之間的相似度A(i，j)，根據相似度確定用戶之間的聯系；F_i為用戶i的特征信息，F_j為用戶j的特征信息，w為權重系數，C_ij代表用戶i與用戶j之間是否存在直接聯系，如果存在則C_ij＝1，否則C_ij＝0；其中，所述圖矩陣模塊根據用戶之間是否有過郵件溝通確定對應用戶之間是否有直接聯系，對于有郵件溝通記錄的用戶之間確定有直接聯系；

3)利用所述鄰接矩陣訓練圖卷積網絡，得到一個用于異常檢測的分類模型；

4)利用圖解釋模塊以設定優化目標函數對該分類模型進行訓練，得到圖掩膜M和特征選擇器F；其中圖解釋模塊的優化目標函數為X_S為節點S對異常節點Y最優貢獻的特征、G_S為節點S對異常節點Y最有貢獻的子圖、H()為信息熵函數、MI()為互信息函數；

5)將一待檢測用戶的特征輸入訓練后的分類模型，得到分類結果，如果該用戶為異常節點，則利用圖掩模M從分類模型中得到該異常節點的關聯節點、利用特征選擇器F得到分類模型各節點的特征中與該異常節點最相關的關聯特征，將得到的關聯節點和關聯特征作為該異常節點的解釋信息。

2.如權利要求1所述的方法，其特征在于，所述用戶特征信息包括設備使用的特征、登錄特征、文件使用特征、社交特征和瀏覽特征。

3.如權利要求1所述的方法，其特征在于，當A(i，j)＞0.5的時候，將用戶i和用戶j建立聯系。

4.如權利要求1所述的方法，其特征在于，利用平均場變分近似對隨機圖變量進行分解其中A_s[j，k]代表邊(v_j，v_k)的存在期望值，v_j為分類模型中的節點j、v_k為分類模型中的節點k，(v_j，v_k)連接節點j、k的邊，G_C為子圖集合。

5.如權利要求1所述的方法，其特征在于，其中是G_s中的節點特征子集，是沒有被圖掩模M蓋住的節點特征。