[发明专利]一种监控方法和装置

权利要求书

1.一种监控方法，其特征在于，包括：

配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

获取所述规则时长内用户执行被监控操作的次数，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限；

获取统计时长内该用户触发可疑门限的次数，将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

2.如权利要求1所述的方法，其特征在于，

所述监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述方法还包括，将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

3.如权利要求1或2所述的方法，其特征在于，与所述流量可疑门限或流量违规门限或可疑记录数门限进行比较包括：

统计完一个规则时长或统计时长内的相关信息后，再与对应的门限进行比较，或者，实时统计一个规则时长或统计时长内的相关信息，实时与对应的门限进行比较，所述相关信息为执行被监控操作的次数或用户触发可疑门限的次数。

4.如权利要求1或2所述的方法，其特征在于，所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

5.如权利要求1或2所述的方法，其特征在于，所述方法还包括：当配置有多条监控规则时，遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到该用户被判定为违规，或者，直到遍历完所有监控规则。

6.一种监控装置，其特征在于，包括规则定义模块、初步分析模块和后续分析模块，所述初步分析模块包括第一监控单元和第一比较单元，所述后续分析模块包括第二监控单元和第二比较单元，其中：

规则定义模块用于：配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

所述第一监控单元用于：获取所述规则时长内用户执行被监控操作的次数；

所述第一比较单元用于：将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限，并通知所述后续分析模块；

所述第二监控单元用于：获取统计时长内该用户触发可疑门限的次数；

所述第二比较单元用于：将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

7.如权利要求6所述的装置，其特征在于，

所述规则定义模块配置的监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述第一比较单元还用于：将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

8.如权利要求6或7所述的装置，其特征在于，

所述第一比较单元是用于：在所述第一监控单元统计完一个规则时长内用户执行被监控操作的次数后，再与所述流量可疑门限或流量违规门限比较；或者，实时将所述第一监控单元一个规则时长内实时统计的用户执行被监控操作的次数与所述流量可疑门限或流量可疑门限进行比较；

所述第二比较单元是用于：在所述第二监控单元统计完一个统计时长内用户触发可疑门限的次数后，再与所述可疑记录数门限比较；或者，实时将所述第二监控单元一个统计时长内实时统计的用户触发可疑门限的次数与所述可疑记录数门限进行比较。

9.如权利要求6或7所述的装置，其特征在于，所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

10.如权利要求6或7所述的装置，其特征在于，

所述规则定义模块用于配置多条监控规则；

所述初步分析模块和后续分析模块用于遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到用户被判定为违规，或者，直到遍历完所有监控规则。