[发明专利]基于社群检测异常账户的方法、系统、设备及存储介质

权利要求书

1.一种基于社群检测异常账户的方法，其特征在于，包括：

获取待分析的日志样本数据集，所述日志样本数据集至少包括用户账户与实体的交互信息和关联参数；

将用户账户和实体标识分别作为第一节点和第二节点，根据所述交互信息通过第一边连接第一节点和第二节点形成一无向有权的二分图，通过对所述二分图投影获得关于第一节点的一带边权重的投影图；

通过社区发现算法对所述投影图中的所述第一节点进行社群簇划分，获得社群图；以及

获得所述社群簇中的每个用户账户的聚类中心性，将所述社群簇中聚类中心性最大的节点作为所述社群簇的聚类中心节点；获得所述社群簇的社群聚类系数E；收录所述社群簇中的第一节点的位于其他社群簇中的邻节点，获得邻节点集合V，所述社群图中的第一节点与所述邻节点通过一跨越两社群簇的边直接相连；计算所述任一第一节点i的异常值s(i)的公式(1)为

其中，j为邻节点集合V中的一节点，N_j为节点j所在的社群簇的节点总数，k_j为节点j所在的社群簇的聚类中心节点，E_j为节点j所在的社群簇的聚类系数，d(i,k_j)为节点i到节点k_j的最短路径，根据所述第一节点的异常值判断异常账户。

2.根据权利要求1所述的基于社群检测异常账户的方法，其特征在于，所述获取待分析的日志样本数据集，所述日志样本数据集至少包括用户账户与实体的交互信息和关联参数中，包括以下步骤：

所述交互信息至少包括用户账户的用户名、所述用户账户访问的所述实体的实体标识和ip地址；

所述关联参数至少包括统计所述用户账户与所述实体之间的交互频次。

3.根据权利要求1所述的基于社群检测异常账户的方法，其特征在于，所述将用户账户和实体标识分别作为第一节点和第二节点，根据所述交互信息通过第一边连接第一节点和第二节点形成一无向有权的二分图，根据所述二分图获得一带边权重的投影图，包括以下步骤：

根据所述交互信息，建立一无向有权的二分图，所述二分图一侧设有若干第一节点，每个所述第一节点分别对应一用户账户，另一侧设有若干第二节点，每个所述第二节点分别对应一所述实体标识，所述二分图的第一边基于所述交互信息连接所述第一节点和第二节点；

基于所述用户账户与每个所述实体的关联参数获得所述第一边的权重；

将所述二分图中连接到同一所述第二节点的所述第一节点两两配对，在每对所述第一节点之间连接一第二边，获得一带边权重的投影图；

基于所述二分图中连接所述第二节点的各所述第一边的权重获得所述第二边的权重。

4.根据权利要求3所述的基于社群检测异常账户的方法，其特征在于，所述第二边的权重等于所述二分图中连接所述第二节点的各所述第一边的权重之和。

5.根据权利要求1所述的基于社群检测异常账户的方法，其特征在于，所述获得所述社群簇中的每个用户账户的聚类中心性，包括以下步骤：

获得所述社群簇中的任一用户账户v的聚类中心性的公式(2)为：

其中，d_v表示节点v的度，N表示节点v所在的社群簇中的节点集合，d(u,v)表示节点v到达节点u的最短路径。

6.根据权利要求1所述的基于社群检测异常账户的方法，其特征在于，所述获得所述社群簇的社群聚类系数E中，包括以下步骤：

遍历所述社群簇中的节点，获得所述社群簇中封闭三元组的总数目G和所述社群簇中开放三元组的总数目H，获得所述社群簇的社群聚类系数E＝G/(G+H)。

7.根据权利要求1所述的基于社群检测异常账户的方法，其特征在于，当满足以下任一条件时，所述第一节点的异常值s(i)正向增长：

所述社群簇第一节点访问其他社群簇中邻节点的距离增加；

所述社群簇第一节点访问的其他社群簇的聚类系数增加；

所述社群簇第一节点访问其他社群簇中邻节点的距离增加，并且，所述社群簇第一节点访问的其他社群簇的聚类系数增加。