[發(fā)明專利]一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 202210400715.0
• 申請(qǐng)日: 2022-04-17
• 公開（公告）號(hào): CN114781715A
• 公開（公告）日: 2022-07-22
• 發(fā)明（設(shè)計(jì)）人: 曲鵬達(dá);朱品燕
• 申請(qǐng)（專利權(quán)）人: 北京云集智造科技有限公司
• 主分類號(hào): G06Q10/04
• 分類號(hào): G06Q10/04;G06Q10/06;G06F16/33;G06F16/35;G06K9/62
• 代理公司: 北京博識(shí)智信專利代理事務(wù)所(普通合伙) 16067
• 代理人: 鄧凌云

1.一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置，其特征在于：包括以下幾個(gè)階段，

(1)行為萃取階段，在此階段完成對(duì)IT管理操作行為從原始信息中的提取，提供給后續(xù)的基線生成和異常檢測(cè)；

(2)用戶分群階段，在此階段完成對(duì)于行為數(shù)據(jù)的去重聚類，以及根據(jù)行為特征分布情況進(jìn)行用戶群體分群；

(3)基線生成階段：此階段在各個(gè)群體內(nèi)部計(jì)算行為基線，包括行為時(shí)間分布基線和行為序列基線；

(4)異常實(shí)時(shí)檢測(cè)階段，此階段將根據(jù)行為時(shí)間分布基線和行為序列基線對(duì)實(shí)時(shí)進(jìn)入系統(tǒng)的行為數(shù)據(jù)進(jìn)行異常檢測(cè)；

(5)異常行為預(yù)測(cè)階段，該階段有兩種預(yù)測(cè)方法，一種是基于以及被確認(rèn)的異常行為進(jìn)行反向?qū)W習(xí)的預(yù)測(cè)方法，另一種是基于歷史行為模式的風(fēng)險(xiǎn)預(yù)測(cè)方法；

(6)異常結(jié)果處理階段：該階段主要負(fù)責(zé)剔除非異常結(jié)果、生成行為軌跡以及觸發(fā)告警和聯(lián)動(dòng)控制動(dòng)作。

2.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置，其特征在于：所述步驟(1)包括以下步驟方法：

(a)IT管理操作行為的數(shù)字化留痕通常位于操作日志及操作記錄數(shù)據(jù)庫中，相關(guān)數(shù)字化留痕信息包括操作發(fā)起者、操作事件、操作行為和操作地點(diǎn)和被操作對(duì)象的五元組信息；

(b)通過API和數(shù)據(jù)接口對(duì)接等方式將相關(guān)的行為留痕信息獲取到軟件系統(tǒng)中；

(c)將行為留痕中的五元組信息進(jìn)行萃取并存儲(chǔ)于系統(tǒng)中。

3.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置，其特征在于：所述步驟(2)包括以下步驟方法：

(a)將當(dāng)前時(shí)間點(diǎn)過去六個(gè)月數(shù)據(jù)作為分群依據(jù)；

(b)統(tǒng)計(jì)計(jì)算歷史上每個(gè)行為在每個(gè)用戶的每個(gè)時(shí)間周期內(nèi)的行為頻數(shù)值；

(c)基于上述的頻數(shù)值進(jìn)行聚類計(jì)算并判定聚類結(jié)果之間的歐氏距離關(guān)系，并進(jìn)行多次迭代，當(dāng)所有結(jié)果之間的歐式距離平均值最遠(yuǎn)時(shí)迭代結(jié)束，此時(shí)各個(gè)用戶群體的行為特征分離度最顯著，用戶分群完成；

(d)系統(tǒng)自動(dòng)每個(gè)月執(zhí)行分群計(jì)算。

4.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置，其特征在于：所述步驟(3)包括以下步驟方法：

(a)遍歷每個(gè)群體的各行為在每個(gè)時(shí)間周期內(nèi)操作頻數(shù)的數(shù)值分布；

(b)將每個(gè)行為的數(shù)據(jù)進(jìn)行正態(tài)分布擬合；

(c)系統(tǒng)根據(jù)3sigma原則，自動(dòng)選取置信區(qū)間上下界數(shù)據(jù)；

(d)根據(jù)行為分布概率密度動(dòng)態(tài)生成行為陡增因子與行為陡降因子；

(e)根據(jù)行為頻數(shù)基線數(shù)量自動(dòng)生成動(dòng)態(tài)容忍區(qū)間，至此行為時(shí)間分布基線完成；

(f)基于行為特征序列的先后順序服從馬爾可夫性；

(g)對(duì)訓(xùn)練數(shù)據(jù)的切分2-gram的行為對(duì)，并進(jìn)行統(tǒng)計(jì)分析倒序排列，根據(jù)統(tǒng)計(jì)數(shù)據(jù)計(jì)算行為對(duì)權(quán)重；

(h)根據(jù)行為對(duì)關(guān)系和權(quán)重生產(chǎn)行為知識(shí)圖譜，代表所有行為之間的關(guān)系和序列概率；

(I)將訓(xùn)練數(shù)據(jù)切分為滑動(dòng)行為序列，并對(duì)比行為知識(shí)圖譜，計(jì)算所有序列的序列權(quán)重總值；

(j)根據(jù)3sigma原則，自動(dòng)選取置信區(qū)間上下界數(shù)據(jù)；

(k)至此行為序列基線完成；

(L)系統(tǒng)將每周自動(dòng)執(zhí)行該基線訓(xùn)練。

5.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)和人工智能的異常識(shí)別裝置，其特征在于：所述步驟(4)包括以下步驟方法：

(a)系統(tǒng)在每個(gè)時(shí)間窗到達(dá)，根據(jù)每種不同的行為數(shù)據(jù)周期設(shè)定有所不同，時(shí)將實(shí)時(shí)進(jìn)行基線對(duì)比檢測(cè)。

(b)系統(tǒng)將發(fā)現(xiàn)以下異常情況：

a)新增行為類型：當(dāng)某一行為從未在該群體的歷史行為中出現(xiàn)過，即視為新增行為類型；

b)群體總行為單位時(shí)間內(nèi)數(shù)量突增或突降，某群體在一單位時(shí)間內(nèi)的總行為數(shù)量超越了歷史上訓(xùn)練樣本中該單位時(shí)間總行為平均值的3倍；

c)個(gè)體行為頻數(shù)對(duì)比行為時(shí)間分布基線值突增/突降，在某一群體中，某個(gè)行為在一單位時(shí)間內(nèi)的行為數(shù)量超越了歷史上訓(xùn)練樣本中該行為頻數(shù)所生成基線的3sigma區(qū)域；

d)個(gè)體行為序列偏離行為序列基線,在某一群體中，某個(gè)大于4的行為序列的綜合權(quán)重值小于基于3sigma原則生成的綜合權(quán)重下閾值。