[发明专利]一种基于集群的用户异常行为检测方法

说明书

本发明提供了一种基于集群的用户异常行为检测方法，包括如下步骤：S1.定时更新获取商家数据平台数据库中的用户行为数据并进行统计，S2.将统计的用户行为数据抽象为图得到用户关系图，S3.将用户关系图输入到社区划分算法中，进行社区划分，得到若干个集群，并进行特征提取，得到用户特征的向量，S4.将集群与用户特征的向量输入异常检测模型中进行异常检测判断，得到异常检测结果；异常检测模型包括多个检测通道，每个检测通道包括多个检测层，每个检测通道中具有不同的检测算法，检测算法包括G‑KNN检测算法以及GN‑LOF检测算法；本发明将单点检测改进为集群检测，用集群特征来描述用户的异常行为特征，检测效率高。

技术领域

本发明涉及计算机信息安全技术领域，具体而言，涉及一种基于集群的用户异常行为检测方法。

背景技术

网络在为用户带来便利的同时,也带来了恶意入侵的风险，在基于商业软件上的用户行为异常检测方面，存在实际的用户利用软件规则来薅羊毛的情况。利用线下朋友关系网的影响力，例如微信群以及朋友圈中推送商品或者活动广告的效果要远大于平台所推送的广告，已经有越来越多的商家利用客户之间的人脉关系来宣传自己的产品。在此过程中，为了更有效地激励客户帮助宣传产品与活动，举办活动的商家会根据用户本身带来流量与新客户的能力赠送现金红包、优惠券的方式进行激励。

通过统计分析某次活动中所有客户的活动数据，将活动客户以及客户之间的邀请关系抽象为图，即能够分析单个客户以及某个客户群体的具体特征，有助于发掘带来流量能力较强的客户以及购买意愿较强的客户，提高活动的变现能力。

但是有人或者群体利用活动的漏洞来骗取大量的现金红包，此类人群会通过组成团体并且一人控制多个账号的方式，分析活动商家的奖励规则并找出其漏洞，制造带来了很多新客户与流量的假象，进而骗取活动组织者大量的现金红包等优惠。

因此急需设计一种针对以上异常行为的自动检测方法。

发明内容

本发明的目的在于提供一种基于集群的用户异常行为检测方法，其先将用户行为数据抽象为图，得到用户关系图，再将用户关系图进行社区划分得到多个集群，将集群进行特征提取得到用户特征的向量，再将集群以及用户特征的向量输入异常检测模型中进行异常检测判断，得到异常检测结果。

本发明的实施例通过以下技术方案实现：

一种基于集群的用户异常行为检测方法，包括以下步骤：

S1.定时更新获取商家数据平台数据库中的用户行为数据，并对用户行为数据进行统计，统计得出每个用户自己行使过的所有行为与用户作为邀请者时带来的其他人的所有行为的数据；用户行为数据包括行动发起客户的唯一ID与用户名、邀请此次行动的客户的唯一ID与用户名、此次行为的种类、持续时间；

S2.将统计的用户行为数据抽象为图，得到用户关系图，在用户关系图中，用户关系图的有向边代表用户的行为，有向边的源节点为行为的发起用户，有向边的目的节点为行为的邀请者；

S3.将用户关系图输入到社区划分算法中，进行社区划分，得到若干个用户关系的集群，将若干个集群进行特征提取，得到用户特征的向量。用户特征的向量包括集群的出度均值、出度方差、入度均值、入度方差、深度平均值、深度方差、访问时间平均值以及访问时间方差；在集群中，深度表示集群一个节点有向边的传播度，出度表示集群中一个节点的有向边的发射边个数，入度表示集中中一个节点的有向边的指向边个数，而深度平均值就是集群的多个节点的深度的平均值，深度方差为集群的多个节点的方差，同理可知出度平均值、出度方差、出度平均值以及入度方差；

提取用户特征的向量的方法为：在商家数据平台的数据库中提取集群中节点深度、入度以及出度对应的原始数据，以及提取数据库中集群节点的访问时间数据，并根据原始数据以及访问时间数据来确定计算集群的深度平均值、深度方差、出度平均值、出度方差、入度平均值、入度方差、访问时间平均值以及访问时间方差，从而得到集群的用户特征的向量。