[發明專利]基于多源日志識別用戶行為的方法、裝置和設備

在審

• 申請號: 202211291645.6
• 申請日: 2022-10-19
• 公開（公告）號: CN115576910A
• 公開（公告）日: 2023-01-06
• 發明（設計）人: 盧存華;馬春雷
• 申請（專利權）人: 北京萬里紅科技有限公司
• 主分類號: G06F16/18
• 分類號: G06F16/18;G06F16/14;G06F16/16;G06F21/60;G06F21/62;G06F40/216;G06N3/02
• 代理公司: 北京維正專利代理有限公司 11508
• 代理人: 謝明暉

1.一種基于多源日志識別用戶行為的方法，其特征在于，包括：

向操作系統發送查詢內核日志的指令；

若接收到所述操作系統反饋的查詢失敗信息，則確定所述操作系統有防護罩，獲取所述操作系統的類型和版本信息；

根據所述操作系統的類型和版本信息，確定所述防護罩的打開命令；

基于所述打開命令，控制所述操作系統打開所述防護罩，響應所述操作系統反饋的表示解除防護罩的消息，再次向所述操作系統發送查詢所述操作系統內核日志的指令，得到所述內核日志；

獲取操作系統的變化日志，基于所述變化日志和內核日志，確定用戶的操作行為。

2.根據權利要求1所述的方法，其特征在于，所述基于所述打開命令，控制所述操作系統打開所述防護罩包括：

將所述打開命令輸入到對應的國產化操作系統地址，控制所述操作系統打開防護罩。

3.根據權利要求2所述的方法，其特征在于，還包括：

對所述內核日志進行解密；

通過tf-idf算法和正則表達式對解密后的內核日志進行清洗，得到干凈的內核日志。

4.根據權利要求3所述的方法，其特征在于，還包括：

通過tf-idf算法和正則表達式對所述變化日志進行清洗，得到干凈的變化日志。

5.根據權利要求4所述的方法，其特征在于，所述基于所述變化日志和內核日志，確定用戶的操作行為包括：

將所述干凈的內核日志和干凈的變化日志進行合并，得到日志集合；

對所述日志集合進行標簽處理，得到第一日志集合；

對所述第一日志集合中的日志進行關聯分析，得到同一行為的日志；

基于所述同一行為的日志，生成文件操作日志；

對所述文件操作日志進行分析，確定用戶的操作行為。

6.根據權利要求5所述的方法，其特征在于，所述對所述日志集合進行標簽處理，得到第一日志集合包括：

對所述日志集合中的日志進行標簽設置，分別為每一個日志所包含的操作行為進行打標，得到第一日志集合。

7.根據權利要求6所述的方法，其特征在于，所述操作行為包括文件刪除、文件移動、文件編輯、文件復制和/或文件重命名。

8.一種基于多源日志識別用戶行為的裝置，其特征在于，包括：

發送模塊，用于向操作系統發送查詢內核日志的指令；

獲取模塊，用于若接收到所述操作系統反饋的查詢失敗信息，則確定所述操作系統有防護罩，獲取所述操作系統的類型和版本信息；

確定模塊，用于根據所述操作系統的類型和版本信息，確定所述防護罩的打開命令；

查詢模塊，用于基于所述打開命令，控制所述操作系統打開所述防護罩，響應所述操作系統反饋的表示解除防護罩的消息，再次向所述操作系統發送查詢所述操作系統內核日志的指令，得到所述內核日志；

分析模塊，用于獲取操作系統的變化日志，基于所述變化日志和內核日志，確定用戶的操作行為。

9.一種電子設備，包括存儲器和處理器，所述存儲器上存儲有計算機程序，其特征在于，所述處理器執行所述計算機程序時實現如權利要求1～7中任一項所述的方法。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述計算機程序被處理器執行時實現如權利要求1～7中任一項所述的方法。