[发明专利]检测云用户的行为异常

权利要求书

1.一种检测云环境中的异常行为的方法，所述方法包括：

计算表示在所述云环境中在多个先前时间间隔期间采取的动作的第一向量；

计算第一向量和第二向量之间的相似性，所述第二向量包括在当前时间间隔期间采取的动作的计数；

将所述相似性与基线阈值进行比较以确定一个或多个异常动作是否已经发生；以及

至少部分地基于确定所述一个或多个异常动作已经在所述云环境中发生来生成警告。

2.如权利要求1所述的方法，其中使用余弦相似性来计算所述相似性。

3.如权利要求1所述的方法，其中第一向量中的每个条目包括所述多个先前时间间隔期间的平均事件分数。

4.如权利要求1所述的方法，其中所述多个先前时间间隔中的每一个包括一天。

5.如权利要求1所述的方法，其中所述多个先前时间间隔包括至少60天的窗口。

6.如权利要求1所述的方法，其中所述多个先前时间间隔包括天的滑动窗口，其中所述天的滑动窗口将所述当前时间间隔添加到所述天的滑动窗口并且在每个时间间隔后从所述天的滑动窗口中移除最远的时间间隔。

7.如权利要求1所述的方法，其中通过存储所述多个先前时间间隔中的每一个时间间隔的事件计数的直方图，第一向量表示在所述多个先前时间间隔期间采取的动作。

8.一种非暂时性计算机可读介质，包括指令，所述指令当由一个或多个处理器执行时，使所述一个或多个处理器执行包括以下各项的操作：

计算表示在所述云环境中在多个先前时间间隔期间采取的动作的第一向量；

计算第一向量和第二向量之间的相似性，所述第二向量包括在当前时间间隔期间采取的动作的计数；

将所述相似性与基线阈值进行比较以确定一个或多个异常动作是否已经发生；以及

至少部分地基于确定所述一个或多个异常动作已经在云环境中发生来生成警告。

9.如权利要求8所述的非暂时性计算机可读介质，其中所述操作还包括：

将所述相似性与上阈值进行比较以进一步确定一个或多个异常动作是否已经发生。

10.如权利要求9所述的非暂时性计算机可读介质，其中所述基线阈值将所述相似性表征为是可疑的，并且其中所述上阈值将所述相似性表征为表示威胁。

11.如权利要求9所述的非暂时性计算机可读介质，其中基于在第一向量中计算的平均值的预定数量的标准偏差来确定所述上阈值。

12.如权利要求9所述的非暂时性计算机可读介质，其中所述上阈值由接收所述相似性作为输入的神经网络表示。

13.如权利要求8所述的非暂时性计算机可读介质，其中所述基线阈值由接收所述相似性作为输入的神经网络表示。

14.如权利要求8所述的非暂时性计算机可读介质，其中使用针对与当前用户相似的用户的对等组分析来确定所述基线阈值。

15.一种系统，包括：

一个或多个处理器；以及

一个或多个存储器设备，包括指令，所述指令当由所述一个或多个处理器执行时，使所述一个或多个处理器执行包括以下各项的操作：

计算表示在所述云环境中在多个先前时间间隔期间采取的动作的第一向量；

计算第一向量和第二向量之间的相似性，所述第二向量包括在当前时间间隔期间采取的动作的计数；

将所述相似性与基线阈值进行比较以确定一个或多个异常动作是否已经发生；以及

至少部分地基于确定所述一个或多个异常动作已经在所述云环境中发生来生成警告。