[发明专利]异常用户检测方法、装置、计算设备及存储介质

权利要求书

1.一种异常用户检测方法，其特征在于，包括：

获取历史时间段的日志数据，所述日志数据中每条日志包括用户标识、用户对目标设备的操作行为和日志时间；

基于所述日志数据，确定每个用户标识的第一日志序列和每个用户标识在每个时间区间内的第二日志序列，其中，所述时间区间为按照单位时长对所述历史时间段进行划分的结果，每个用户标识的第一日志序列为按照日志时间对该用户标识的日志进行排序的结果，每个用户标识在每个时间区间内的第二日志序列为按照日志时间对该用户标识在该时间区间的日志进行排序的结果；

基于所述第一日志序列和所述第二日志序列，确定每个用户标识的第一特征数据和每个用户标识在每个时间区间内的第二特征数据，所述第一特征数据既表征用户在历史时间段内的操作行为，又表征用户在历史时间段内的操作行为的时序特征，所述第二特征数据既表征用户在对应时间区间内的操作行为，又表征用户在该时间区间内的操作行为的时序特征；

对第一特征数据进行聚类，得到第一聚类结果，所述第一聚类结果用于表征不同用户之间的行为差异；

对第二特征数据进行聚类，得到第二聚类结果，所述第二聚类结果用于表征用户不同时间区间的行为差异；

根据第一聚类结果，确定相应的异常用户；

根据第二聚类结果，确定相应的异常用户。

2.如权利要求1所述的异常用户检测方法，其特征在于，所述基于所述日志数据，确定每个用户标识的第一日志序列和每个用户标识在每个时间区间内的第二日志序列，包括：

按照用户标识对所述日志数据进行划分，确定每个用户标识的日志；

按照时间顺序对每个用户标识的日志进行排序，得到每个用户标识的第一日志序列；

按照时间区间对每个用户标识的第一日志序列进行划分，确定每个用户标识在每个时间区间内的第二日志序列。

3.如权利要求1所述的异常用户检测方法，其特征在于，所述基于所述第一日志序列和所述第二日志序列，确定每个用户标识的第一特征数据和每个用户标识在每个时间区间内的第二特征数据，包括：

利用对目标设备的操作行为的向量，将每个用户标识的每个第二日志序列中操作行为的序列表示为矩阵；

根据每个用户标识的每个第二日志序列的矩阵，确定每个用户标识的第一日志序列的矩阵，第一日志序列的矩阵为第一日志序列中操作行为的序列的向量表示；

对每个用户标识的第一日志序列的矩阵进行特征提取，得到每个用户标识的第一特征数据；

对每个用户标识的每个第二日志序列的矩阵进行特征提取，得到每个用户标识在每个时间区间内的第二特征数据。

4.如权利要求3所述的异常用户检测方法，其特征在于，在所述基于所述第一日志序列和所述第二日志序列，确定每个用户标识的第一特征数据和每个用户标识在每个时间区间内的第二特征数据之前，所述异常用户检测方法进一步包括：

将对目标设备的各种操作行为进行独热编码，得到每种操作行为的编码；

利用词向量模型对每种操作行为的编码进行处理，得到每种操作行为的向量，其中，所述词向量模型根据所述日志数据中操作行为训练得到。

5.如权利要求3所述的异常用户检测方法，其特征在于，

所述对每个用户标识的第一日志序列的矩阵进行特征提取，得到每个用户标识的第一特征数据，包括：基于第一长短时记忆网络自编码模型，对每个第一日志序列的矩阵进行特征提取，得到相应的第一特征数据，其中，所述第一长短时记忆网络自编码模型用于提取第一日志序列中操作行为组成的序列的特征；

所述对每个用户标识的每个第二日志序列的矩阵进行特征提取，得到每个用户标识在每个时间区间内的第二特征数据，包括：基于第二长短时记忆网络自编码模型，对每个第二日志序列的矩阵进行特征提取，得到相应的第二特征数据，其中，所述第二长短时记忆网络自编码模型用于提取用户标识在每个时间区间内的第二日志序列中操作行为组成的序列的特征。