[发明专利]用户异常行为检测方法、装置、电子设备、介质及程序

说明书

本发明涉及一种用户异常行为检测方法、装置、电子设备、介质及程序。该方法包括：根据目标用户的待分析行为对应的第一行为概率曲线，确定目标用户发生待分析行为的第一概率；根据第一概率，初步确定目标用户的待分析行为是否存在异常；在初步确定目标用户的待分析行为存在异常的情况下，根据目标用户所属用户组的第二行为概率曲线，确定目标用户发生待分析行为的第二概率；根据第二概率，确定目标用户的待分析行为是否异常。本发明通过目标用户的第一行为概率曲线，从目标用户个体的角度初步判断了待分析行为是否异常；通过目标用户的第二行为概率曲线，从目标用户所在用户组群体的角度进一步精确地判断了待分析行为是否异常，降低了误报率。

技术领域

本发明涉及异常检测技术领域，尤其涉及一种用户异常行为检测方法、装置、电子设备、介质及程序。

背景技术

在一段时间内与其他观察结果表现出高度分歧的意外变化可以表示为异常行为。现有技术中基于用户行为基线的异常行为检测方法，通常以时间段为单位，计算出用户的行为基线，然后对比用户行为与基线值，如果超出预设的阈值，则认为是异常行为。由于用户的行为并不是严格按照一个行为模式一成不变的，因而用户的行为常常发生变化，如果基线的时间段单位设置过小，则会产生大量误报；如果基线的时间段单位设置过大，则异常行为被淹没在正常行为中。

因此现有技术中基于用户行为基线的异常检测方法不能很好的区分用户的行为变化是正常改变还是异常变化，因而会产生大量的误报。

对此，现亟需一种解决上述缺陷的技术方案。

发明内容

本发明提供一种用户异常行为检测方法、装置、电子设备、介质及程序，用以解决现有技术中检测用户行为异常时误报率较高的缺陷。

本发明提供一种用户异常行为检测方法，包括：

根据目标用户的待分析行为对应的第一行为概率曲线，确定所述目标用户发生所述待分析行为的第一概率；其中，所述目标用户的待分析行为包括多个维度的行为数据，所述目标用户的待分析行为对应的第一行为概率曲线是根据所述目标用户的第一维度历史行为数据得到的；

根据所述第一概率，初步确定所述目标用户的待分析行为是否存在异常；

在初步确定所述目标用户的待分析行为存在异常的情况下，根据目标用户所属用户组的第二行为概率曲线，确定所述目标用户发生所述待分析行为的第二概率；其中，所述目标用户所属用户组是根据用户的多个维度的历史行为数据聚类得到的多个用户组中的一个，所述目标用户所属用户组的第二行为概率曲线是根据所述目标用户所属用户组中的每一用户的第一维度历史行为数据得到的；

根据所述第二概率，确定所述目标用户的待分析行为是否异常。

根据本发明提供的一种用户异常行为检测方法，在所述根据目标用户的待分析行为对应的第一行为概率曲线，确定所述目标用户发生所述待分析行为的第一概率之前，方法还包括：

确定所述目标用户的待分析行为与目标用户的行为基线之间的差值，在所述差值不超出预设阈值的情况下，确定所述待分析行为正常；其中，所述目标用户的行为基线是根据所述目标用户的历史行为数据得到的；

在所述差值超出所述预设阈值的情况下，执行所述根据目标用户的待分析行为对应的第一行为概率曲线，确定所述目标用户发生所述待分析行为的第一概率的步骤。

根据本发明提供的一种用户异常行为检测方法，所述根据目标用户的待分析行为对应的第一行为概率曲线，确定所述目标用户发生所述待分析行为的第一概率，包括：

根据所述目标用户的每一行为维度与相应维度的行为概率曲线之间的对应关系，确定出第一维度相应的行为概率曲线，作为所述第一行为概率曲线；

将所述第一行为概率曲线上，所述待分析行为的第一维度的行为数据对应的概率，确定为所述目标用户发生所述待分析行为的第一概率。