[发明专利]基于文件访问图的非监督伪装者检测方法及系统

权利要求书

1.一种基于文件访问图的非监督伪装者检测方法，其步骤包括：

将全部文件访问记录按时间顺序分割成多个文件块，每个文件块均包含多条文件访问记录；

利用相似度评分函数计算所述文件块之间的相似度；

构建无向边权重图，将所述文件块作为图中相互连接的各顶点，任意两顶点间的边权重为对应的两文件块间的相似度；

利用聚类算法挖掘图中的聚类簇，并得到图中每个顶点与其所属聚类簇的相关度；

将相关度低于一特定的阈值的异常顶点判定为伪装者；

所述相似度评分函数包括第一相似度评分函数、第二相似度评分函数；

所述第一相似度评分函数公式为：

sim₁(Y，Z)＝1-agg_{i∈Y，j∈Z}distance(f_i，f_j)；

其中，distance(f_i，f_j)为文件距离函数，用于计算两个文件f_i和f_j的距离；agg_{i∈Y，j∈Z}为聚合函数，用于计算两个文件块Y和Z的距离；

所述第二相似度评分函数公式为：

其中，g(Y)和g(Z)表示在文件块Y和Z中不同文件夹的数量。

2.根据权利要求1所述的方法，其特征在于，所述文件距离函数公式为：

其中，

3.根据权利要求1所述的方法，其特征在于，所述聚合函数的公式为：

其中，

4.根据权利要求1所述的方法，其特征在于，所述无向边权重图的表达式为G＝(V，E，w)，其中V＝{1，...，n}是顶点集，是边集，w：E→R⁺是权重函数。

5.根据权利要求4所述的方法，其特征在于，所述G＝(V，E，w)可表示为一个n×n的对称相似矩阵M＝(a_Y，Z)；其中，

sim(Y，Z)为相似度评估函数。

6.根据权利要求1所述的方法，其特征在于，所述聚类算法的在满足条件w_S(Y)＞0，和w_S∪{Y}(Y)＜0，的情况下，其公式为：

其中，L(κ)为相关度，顶点κ∈聚类簇S。

7.根据权利要求6所述的方法，其特征在于，所述φ_s和w_s的公式如下：

其中，设为非空顶点子集，Y∈S，

8.根据权利要求1所述的方法，其特征在于，所述阈值的确定方法是：通过统计顶点与聚类簇相关性的分布，将80％的顶点相关性分布区间的下限设定为阈值。

9.一种基于文件访问图的非监督伪装者检测系统，包括存储器和处理器，该存储器存储计算机程序，该程序被配置为由该处理器执行，该程序包括用于执行上述权利要求1-8任一权利要求所述方法的各步骤指令。