[发明专利]一种基于业务操作组合发现异常操作行为的方法和装置

说明书

本发明提供了一种基于业务操作组合发现异常操作行为的方法，包括以下步骤：步骤A：提取业务操作和受理日志的历史数据；步骤B：基于业务对象和操作时间间隔构建操作序列；步骤C：剔除业务层面罕见的正常操作，生成操作组合；步骤D：针对指定业务操作类型获取相关的操作组合；步骤E：利用关联规则提取异常项，发现异常操作行为及对应的操作人员。本发明还提供了基于该方法的装置。本发明的优点在于：在没有明确的异常操作样本的情况下，通过划分会话，构建操作组合，基于关联规则进行异常检测，实现了对业务操作异常的发现，具有良好的适应性和推广前景。

技术领域

本发明涉及数据安全技术领域，尤其涉及一种基于业务操作组合发现异常操作行为的方法和装置。

背景技术

银行、通信运营商、电商平台等在办理各项业务的时候都有各自的流程，然而很多业务涉及企业和个人的敏感信息，例如证件信息、账单信息等，正常的流程中，敏感信息的查询、读取或导出等操作都有着一定的组合，比如开户必然会带有身份证读取的操作，如果开户的时候没有身份证读取或者开户后直接停机，那么这种操作则必然是异常操作。然而业务操作类型很多，操作流程也有可能变化，仅仅从规则上无法完全覆盖所有异常。公开号为CN105376247A的发明专利申请公开了一种基于频繁算法的异常流量的识别方法及装置，其通过web流量数据特征进行离散化处理，再利用关联规则获取频繁集，从而获得异常流量。公开号为CN108055281A的发明专利申请公开了一种账户异常检测方法、装置、服务器及存储介质，其利用关联规则挖掘已知异常账号的操作行为，从而发现异常操作的方法和装置。然而这些异常检测的方法大都针对相对简单的操作对象，由于业务操作记录无法简单区分组合，业务操作类型也多种多样，所以这些现有技术无法应用到业务操作的异常检测上。

发明内容

本发明所要解决的技术问题在于提供一种针对业务操作进行组合并发现异常操作行为的方法。

本发明是通过以下技术方案解决上述技术问题的：一种基于业务操作组合发现异常操作行为的方法，包括以下步骤：

步骤A：提取业务操作和受理日志的历史数据；

步骤B：对历史数据基于业务对象和操作时间间隔进行排序构建操作序列；

步骤C：剔除操作序列中业务层面罕见的正常操作，生成操作组合；

步骤D：针对指定业务操作类型筛选相关的操作组合；

步骤E：利用关联规则提取操作组合中的异常项，发现异常操作行为及对应的操作人员。

本发明在没有明确的异常操作样本的情况下，通过排序得到操作序列，构建操作组合，基于关联规则进行异常检测，实现了对业务操作异常的发现。

优选的，骤B中构建操作序列的方法包括以下步骤：

步骤i：以一定周期将业务操作和受理的记录按业务对象分组，按操作时间排序；

步骤ii：依次比较相邻的两条记录，如果业务对象相同且操作记录之间的时间间隔不大于阈值，则将这两条记录添加到同一个会话中，如果业务对象不同，或者操作记录之间的时间间隔大于阈值，则将两条记录添加到两个会话中；遍历所有记录，得到会话数据；

步骤iii：整理每个会话中的操作和受理记录对应的业务操作，得到每个会话对应的操作序列。

优选的，步骤E中的关联规则衡量指标包括支持度、置信度和提升度，支持度和置信度小于阈值，且提升度大于阈值的操作组合为异常项。

优选的，所述支持度Support(X,Y)表示同时包含序列X和Y的会话在总会话里出现的概率，公式为：

Support(X,Y)＝P(X,Y)/P(I)＝num(X∩Y)/num(I)