[发明专利]数据流异常检测的方法、装置、电子设备和存储介质

权利要求书

1.一种数据流异常检测的方法，其特征在于，包括：

获取数据流，所述数据流至少包括IP信息和设备信息；

对所述数据流进行特征向量处理，得到目标关系链特征向量和目标行为特征向量；其中，所述目标关系链特征向量为IP关系链特征向量，且所述目标行为特征向量为IP行为特征向量；或者，所述目标关系链特征向量为设备关系链特征向量，且所述目标行为特征向量为设备行为特征向量；

对所述目标关系链特征向量和所述目标行为特征向量进行融合处理，得到融合特征向量；

将所述融合特征向量输入预先训练的至少一个风险识别模型，获取所述至少一个风险识别模型输出的所述数据流的风险识别结果。

2.根据权利要求1所述的方法，其特征在于，若所述目标关系链特征向量为IP关系链特征向量，且所述目标行为特征向量为IP行为特征向量；

所述对所述数据流进行特征向量处理，得到目标关系链特征向量和目标行为特征向量，包括：

对所述数据流进行基于IP的图谱化处理，得到IP关系图谱，所述IP关系图谱的节点为IP地址，具有共同对应的设备、账号、内容中的至少一种的两个IP地址之间创建有一条边，边的权重为两个IP地址之间共同对应的设备、账号、内容中的至少一种的数量；

采用随机游走的方式在所述IP关系图谱上对节点执行多次采样，得到IP地址序列样本；计算所述IP地址序列样本中的每个IP地址的嵌入向量，得到所述IP关系链特征向量；以及

将所述数据流通过IP维度进行聚合，计算IP滑动窗口下的行为统计信息，得到所述IP行为特征向量。

3.根据权利要求2所述的方法，其特征在于，所述采用随机游走的方式在所述IP关系图谱上对节点执行多次采样，得到IP地址序列样本，包括：

将所述IP关系图谱上的节点随机排列之后，以随机选取的第i个IP地址为根节点生成游走路径，每一步游走都从当前节点随机移动到相邻节点，游走到无法找到下一个相邻节点或路径长度达到上限值后结束；

执行多次游走采样后，得到所述IP地址序列样本。

4.根据权利要求2所述的方法，其特征在于，所述将所述数据流通过IP维度进行聚合，计算IP滑动窗口下的行为统计信息，得到所述IP行为特征向量，包括：

将所述数据流通过IP维度进行聚合，以及计算IP滑动窗口下的请求数量、关联设备数量、关联账号数量、关联手机号数量中的至少一种；

对所述IP滑动窗口下的请求数量、关联设备数量、关联账号数量、关联手机号数量中的至少一种进行特征向量处理，得到所述IP行为特征向量。

5.根据权利要求1所述的方法，其特征在于，若所述目标关系链特征向量为设备关系链特征向量，且所述目标行为特征向量为设备行为特征向量；

所述对所述数据流进行特征向量处理，得到目标关系链特征向量和目标行为特征向量，包括：

对所述数据流进行基于设备的图谱化处理，得到设备关系图谱，所述设备关系图谱的节点为设备标识，具有共同对应的IP地址、账号、内容中的至少一种的两个设备之间创建有一条边，边的权重为两个设备之间共同对应的IP地址、账号、内容中的至少一种的数量；

采用随机游走的方式在所述设备关系图谱上对节点执行多次采样，得到设备序列样本；计算所述设备地址序列样本中的每个设备的嵌入向量，得到所述设备关系链特征向量；以及

将所述数据流通过设备维度进行聚合，计算设备滑动窗口下的行为统计信息，得到所述设备行为特征向量。

6.根据权利要求5所述的方法，其特征在于，所述采用随机游走的方式在所述设备关系图谱上对节点执行多次采样，得到设备序列样本，包括：

将所述设备关系图谱上的节点随机排列之后，以随机选取的第j个设备为根节点生成游走路径，每一步游走都从当前节点随机移动到相邻节点，游走到无法找到下一个相邻节点或路径长度达到上限值后结束；

执行多次游走采样后，得到所述设备序列样本。