[发明专利]一种基于时序特征的用户帐号异常检测方法及装置

说明书

本发明实施例提供一种基于时序特征的用户帐号异常检测方法，所述方法包括：根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；获取用户帐号的当前数据，根据所述多个异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。本发明是技术方案通过基于时序模型的用户帐号评测和基于关联规则分析的异常特征集匹配，捕捉用户的动态行为变化，提高实际应用中的异常帐号检测的准确性和可解释性。

技术领域

本发明涉及网络安全领域，具体涉及一种基于时序特征的用户帐号异常检测方法及装置。

背景技术

常用的网络帐号、主机帐号被盗可能会造成信息泄露、资金损失，或者对用户间的信任关系造成影响。因此，异常帐号检测一直是安全研究领域的关键问题之一。针对异常帐号所带来的威胁，学术界和工业界都提出了大量的检测方案，根据这些方案所采用核心算法的不同具体可以分为四类：

第一种是基于经验知识的检测方法。基于经验知识打分的方法过于依赖专家知识，且没有普适性。异常盗号行为通常会动态变化来逃避异常检测，当前的经验规则不一定会适应之后的用户数据，需要开发人员一直跟踪数据变化且更新打分规则，设计开发成本太大。此外，不同的应用场景有不同的业务规则，需要依赖领域知识设计该场景下的检测算法，因此该方法没有可拓展性和可借鉴性。

第二种是有监督分类方法，利用用户的行为特征以及发布的内容来区分正常帐号和异常帐号。基于分类的检测方法需要大量的带标记数据集，然而现实中的应用场景通常很难收集到大量的异常数据集，且样本类别极度不均衡。此外，该类方法只能够检测已知的训练集中的异常类型，对于未出现的异常无法检测出来。

第三种是聚类检测方法。该类方法相比于第二种分类方法，不需要提前对样本数据进行标识。基于聚类的检测方法不容易检测不同类型的异常帐号，且计算复杂性较高。

第四种是基于社交关系的图挖掘异常检测方法。社交网络应用的一个重要特性就是用户帐号之间存在联系，如微博中的相互关注、微信的好友关系等。该类方法的一个基本假设是正常用户与异常用户在社交关系图中有不同的连接方式和结构。基于图挖掘的检测方法需要基于社交关系构建用户关系图，然而社交网络应用中用户群庞大且关系复杂，因此构建图以及图挖掘的计算量极大。另外，该方法只能检测与其他帐号有联系的异常行为，准确率比较低。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

以上的这些检测方法只考虑了用户的静态行为特征，比如用户的个人信息、好友关系等，没有考虑时序特征，无法捕捉用户的动态行为。由于异常盗号行为一直处于动态变化中，因此需要经常更新检测模型，计算成本大，特别是基于图挖掘的算法，没有实用价值。基于分类和基于聚类的方法的检测准确率都依赖于具体的机器学习算法，并且检测结果没有可解释性，不了解具体因为哪些原因用户被判为异常，不利于分析用户的异常行为。

发明内容

本发明实施例提供一种基于时序特征的用户帐号异常检测方法，通过基于时序模型的用户帐号评测和基于关联规则分析的异常特征集匹配，捕捉用户的动态行为变化，提高实际应用中的异常帐号检测的准确性和可解释性。

一方面，本发明实施例提供了一种基于时序特征的用户帐号异常检测方法，所述方法包括：

根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；