[发明专利]基于自适应滑动窗口GAN的用户行为安全检测方法

权利要求书

1.一种基于自适应滑动窗口GAN的用户行为安全检测方法，其特征在于，包括以下步骤：

利用Spark平台对获取的用户数据进行并行化处理，并使用GAN分别训练不同时间窗口下的正常用户行为模型；

利用当前窗口长度处理获取的待检测数据，并将当前时刻的所述待检测数据与上一时刻数据做属性相似度计算；

利用所述正常用户行为模型根据计算出的相似度值进行检测，并将得到的异常评分与设定的阈值进行比较，判断当前时间段是否正常；

利用当前窗口长度处理获取的待检测数据，并将当前时刻的所述待检测数据与上一时刻数据做属性相似度计算，包括：

步骤一：对用户数据进行归一化处理，并且初始化k为1；

对于数据x的归一化公式：x＝(x-min)/(max-min)，max代表该项数据的最大值，min代表该项数据的最小值；

步骤二：对于待检测的数据D_i，根据k长度大小划分处理D_i，并根据方法similar(D_i-k，D_(i-1)-k)计算属性相似度，similar(D_i-k，D_(i-1)-k)为相似度计算函数；

具体为：计算当前时刻数据与上一时刻数据在时间窗口为k的情况下的属性相似度：首先将两矩阵展平成向量，然后计算向量的乘积除以模长，其中，G为GAN的生成器，Di为待检测数据，G(Z)为生成器生成数据，D为GAN的判别器；其中，k代表当前检测的时间窗口长度，threshold代表异常得分判断阈值，similar threshold代表属性相似度判断的阈值；

利用所述正常用户行为模型根据计算出的相似度值进行检测，并将得到的异常评分与设定的阈值进行比较，判断当前时间段是否正常，包括：

若属性相似度高于设定的阈值，则选取当前窗口大小处理数据和相应窗口大小的GAN用户行为安全检测模型进行异常检测，当前窗口大小k加1；若属性相似度低于设定的阈值，则分别结算从当前窗口大小递减到1时的各个属性相似度，并选取属性相似度最低的窗口大小处理数据，并选取相应窗口大小的GAN用户行为安全检测模型进行异常检测，并更新窗口大小k为选取值；具体步骤为：

如果similar(D_i-k，D_(i-1)-k)＞similar threshold，即选取当前k作为检测窗口长度，调用GAN-detection(Di，k)进行异常检测，通过GAN-detection(Di，k)返回的异常得分与异常得分判断阈值threshold作比较，若大于threshold，则表明该时刻用户行为出现了异常；反正则表明该时刻用户行为是正常的；k递增1；反之，则进行异常判断；

GAN-detection(Di，k)：代表对与Di数据使用时间窗口长度为k训练的GAN模型进行检测，检测异常结果返回的是该行为的异常得分，GAN-detection(Di，k)为GAN异常检测算法；

异常得分计算方式：A(x)＝(1-λ)R(x)+λD(x)；

R(x)＝代表重构误差，D(x)代表判别器误差，λ取0.9；

重构误差：利用生成模型，来判断生成数据G(Z)跟真实数据x的差异；首先通过训练好的生成模型根据噪声Z迭代500次尽可能生成最接近x的G(Z)，然后通过计算G(Z)和x的数据层面的loss：LR(Z)＝∑|x-G(Z)|得到重构误差；

判别器误差:从判别器的角度来确定生成样本G(Z)与真实样本x的差异；通过计算G(Z)和x在D的中间层的特征层面上的loss：LD(Z)＝∑|x-G(Z)|作为判别器误差；

异常判断：j分别取1到5的长度计算异常得分，选取取到最小的similar(Di-j，D(i-1)-j)时的j作为检测窗口长度，然后调用GAN-detection(Di-j，j)进行异常检测，然后将得到的异常得分与异常得分判断阈值threshold作比较，若大于threshold，则表明该时刻用户行为出现了异常；反正则表明该时刻用户行为是正常的，k更新为j。

2.如权利要求1所述的基于自适应滑动窗口GAN的用户行为安全检测方法，其特征在于，利用Spark平台对获取的用户数据进行并行化处理，并使用GAN分别训练不同时间窗口下的正常用户行为模型，包括：

利用Spark平台对获取的用户数据进行并行化处理，并对每个所述用户数据进行属性提取和归一化处理；

基于设定的数据时间段，构建对应的训练集，并基于所述训练集，利用GAN分别对时间窗口长度为1、2、3、4、5的正常用户行为模型。