[發明專利]一種異常行為檢測方法、計算設備及可讀存儲介質

在審

• 申請號: 202210083460.X
• 申請日: 2022-01-17
• 公開（公告）號: CN114493250A
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 鄧永國;范光亮
• 申請（專利權）人: 北京齊爾布萊特科技有限公司
• 主分類號: G06Q10/06
• 分類號: G06Q10/06;G06Q30/02
• 代理公司: 北京思睿峰知識產權代理有限公司 11396
• 代理人: 謝建云;趙愛軍

1.一種異常行為檢測方法，在計算設備中執行，所述方法包括步驟：

獲取行為數據樣本集，所述行為數據樣本集包括多個行為數據樣本；

將行為數據樣本集中的行為數據樣本輸入到訓練好的自編碼器中進行處理，得到輸出數據；

基于輸入的行為數據樣本和輸出數據，確定每個行為數據樣本對應的樣本誤差；

基于所有行為數據樣本對應的樣本誤差，確定第一閾值；

基于每個行為數據樣本的樣本誤差和所述第一閾值，得到每個行為數據樣本對應的第一風險評分；

至少基于第一風險評分確定行為數據樣本是否異常。

2.根據權利要求1所述的方法，還包括步驟：

基于預定異常行為檢測策略對所述行為數據樣本集進行評估，得到每個行為數據樣本對應的第二風險評分；

將所述第一風險評分和第二風險評分進行融合處理，得到每個行為數據樣本對應的第三風險評分。

3.根據權利要求2所述的方法，其中，所述至少基于第一風險評分確定行為數據樣本是否異常的步驟，包括：

基于所述第三風險評分確定行為數據樣本是否異常。

4.根據權利要求3所述的方法，其中，所述基于所述第三風險評分確定行為數據樣本是否異常的步驟，包括：

基于所述所有行為數據樣本對應的第三風險評分，確定風險評估等級的閾值；

基于所述風險評估等級的閾值，確定行為數據樣本對應的風險評估等級。

5.根據權利要求1至4中任一項所述的方法，其中，在所述將行為數據樣本集中的行為數據樣本輸入到訓練好的自編碼器中進行處理的步驟之前，還包括：

對行為數據樣本集進行預處理。

6.根據權利要求5所述的方法，所述行為數據樣本包括至少一個行為數據，其中，所述對行為數據樣本集進行預處理的步驟，包括：

若所述行為數據樣本集中一個行為數據樣本所包括的行為數據具有缺失值，且缺失值的數量超過行為數據總數的第一預定值，則將該行為數據樣本進行舍棄；

若所述行為數據樣本集中一個行為數據樣本所包括的行為數據具有缺失值，但缺失值的數量未超過行為數據總數的第一預定值，則對該行為數據樣本的缺失值進行填充。

7.根據權利要求6所述的方法，其中，所述對該行為數據樣本的缺失值進行填充的步驟，包括：

若該行為數據樣本所包括的缺失值對應的行為數據在行為數據樣本集中屬于連續型變量，則取行為數據樣本集中該行為數據對應有值的行為數據樣本，對該行為數據對應的值進行均值計算，將均值計算的結果作為該缺失值；

若該行為數據樣本所包括的缺失值對應的行為數據在行為數據樣本集中屬于離散型變量，則取行為數據樣本集中該行為數據對應有值的行為數據樣本，將該行為數據對應的值的眾數作為該缺失值。

8.根據權利要求1至7中任一項所述的方法，其中，所述基于所有行為數據樣本對應的樣本誤差，確定第一閾值的步驟，包括：

按照所有行為數據樣本對應的樣本誤差由大到小的順序，取第二預定值個樣本誤差作為第一閾值。

9.一種計算設備，包括：

一個或多個處理器；和

存儲器；

一個或多個程序，其中所述一個或多個程序存儲在所述存儲器中并被配置為由所述一個或多個處理器執行，所述一個或多個程序包括用于執行根據權利要求1至8所述方法中的任一方法的指令。

10.一種存儲一個或多個程序的計算機可讀存儲介質，所述一個或多個程序包括指令，所述指令當計算設備執行時，使得所述計算設備執行根據權利要求1至8所述的方法中的任一方法。