[發明專利]用戶操作行為監控方法、裝置、設備及可讀存儲介質

在審

• 申請號: 202110589466.X
• 申請日: 2021-05-27
• 公開（公告）號: CN113360354A
• 公開（公告）日: 2021-09-07
• 發明（設計）人: 高永
• 申請（專利權）人: 廣州品粵信息科技有限公司;高永
• 主分類號: G06F11/34
• 分類號: G06F11/34;G06F11/30;G06K9/62
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 梁爽

1.一種用戶操作行為監控方法，其特征在于，所述用戶操作行為監控方法包括以下步驟：

實時監測在信息系統的用戶操作行為，并將所述用戶操作行為作為待檢測操作行為；

根據預先構建的正常行為輪廓模型，確定所述待檢測操作行為是否屬于異常行為；

若所述待檢測操作行為屬于異常行為，則將所述待檢測操作行為作為異常操作行為，對所述異常操作行為執行阻斷操作，并輸出告警信息。

2.如權利要求1所述的用戶操作行為監控方法，其特征在于，所述根據預先構建的正常行為輪廓模型，確定所述待檢測操作行為是否屬于異常行為的步驟之前，還包括：

采集所述信息系統中與用戶操作行為相關的系統運行數據，其中，所述系統運行數據包括信息系統操作日志、數據庫連接日志、WEB系統訪問日志和操作系統訪問日志；

對所述系統運行數據執行清洗操作，確定用戶操作行為數據，并將所述用戶操作行為數據存儲于所述信息系統的存儲模塊中；

根據所述用戶操作行為數據，構建正常行為輪廓模型。

3.如權利要求2所述的用戶操作行為監控方法，其特征在于，所述清洗操作包括有效性的驗證操作和標準化操作，所述對所述系統運行數據執行清洗操作，確定用戶操作行為數據的步驟包括：

對所述系統運行數據執行有效性的驗證操作，并基于所述有效性的驗證操作篩選出所述系統運行數據中的有效數據；

對所述有效數據執行標準化操作，確定用戶操作行為數據。

4.如權利要求3所述的用戶操作行為監控方法，其特征在于，所述標準化操作包括分組操作和排序操作，所述對所述有效數據執行標準化操作，確定用戶操作行為數據的步驟包括：

按照用戶ID對所述有效數據執行分組操作，得到不同用戶ID對應的分組結果；

按照時間順序對所述分組結果執行排序操作，得到用戶操作行為數據。

5.如權利要求2所述的用戶操作行為監控方法，其特征在于，所述根據所述用戶操作行為數據，構建正常行為輪廓模型的步驟包括：

定時從所述存儲模塊中獲取用戶操作行為數據，構建第一正常行為輪廓模型；

若存在上一次訓練得到的第二正常行為輪廓模型，則根據所述第一正常行為輪廓模型和所述第二正常行為輪廓模型，修正所述第一正常行為輪廓模型的殘差，得到正常行為輪廓模型。

6.如權利要求1所述的用戶操作行為監控方法，其特征在于，所述根據預先構建的正常行為輪廓模型，確定所述待檢測操作行為是否屬于異常行為的步驟之前，還包括：

獲取當前的正常行為輪廓模型對應的建立時間以及當前的系統時間；

若所述建立時間與所述系統時間之差的絕對值大于預設閾值，則重新獲取系統行為數據；

根據所述系統行為數據，構建正常行為輪廓模型。

7.如權利要求1至6任一項所述的用戶操作行為監控方法，其特征在于，所述根據預先構建的正常行為輪廓模型，確定所述待檢測操作行為是否屬于異常行為的步驟包括：

根據預先構建的正常行為輪廓模型，計算所述待檢測操作行為和所述正常行為輪廓模型對應的正常行為輪廓之間的相似度；

若所述相似度大于或等于預設的相似度閾值，則確定所述待檢測操作行為屬于正常行為；

若所述相似度小于所述預設的相似度閾值，則確定所述待檢測操作行為屬于異常行為。

8.一種用戶操作行為監控裝置，其特征在于，所述用戶操作行為監控裝置包括：

第一檢測模塊，用于實時監測在信息系統的用戶操作行為，并將所述用戶操作行為作為待檢測操作行為；

第二檢測模塊，用于根據預先構建的正常行為輪廓模型，確定所述待檢測操作行為是否屬于異常行為；

告警模塊，用于若所述待檢測操作行為屬于異常行為，則將所述待檢測操作行為作為異常操作行為，對所述異常操作行為執行阻斷操作，并輸出告警信息。