[发明专利]用户风险行为监测方法及装置

权利要求书

1.一种用户风险行为监测方法，其特征在于，包括：

获取当前用户的登录行为日志；

根据所述当前用户对应的预存储的站点和设备访问频率类别列表，确定所述登录行为日志对应的站点访问频率类别和设备访问频率类别；

根据预设的风险行为监测模型、所述站点访问频率类别和设备访问频率类别，确定所述当前用户的风险行为监测结果；

所述预设的风险行为监测模型是基于批量历史登录行为日志对应的站点访问频率类别和设备访问频率类别对聚类算法进行训练得到的。

2.根据权利要求1所述的用户风险行为监测方法，其特征在于，在所述获取当前用户的登录行为日志之后，还包括：

将所述登录行为日志发送至分布式搜索引擎并存储，所述分布式搜索引擎中存储有批量历史登录行为日志；

接收日志监控请求，从所述分布式搜索引擎中获得所述日志监控请求对应的历史登录行为日志；

根据预设的监控指标与报警处理方式对应关系表和所述日志监控请求对应的历史登录行为日志，确定风险信息，获得该风险信息的报警处理方式，完成报警处理。

3.根据权利要求2所述的用户风险行为监测方法，其特征在于，还包括：

定时将所述分布式搜索引擎中存储时长超出预设时长的历史登录行为日志经由分布式发布订阅消息系统发送至目标数据湖中。

4.根据权利要求1所述的用户风险行为监测方法，其特征在于，还包括：

获取批量训练样本，每个训练样本包括：历史登录行为日志对应的访问频率类别和设备访问频率类别；

应用批量训练样本对聚类算法进行训练，得到所述风险行为监测模型。

5.根据权利要求4所述的用户风险行为监测方法，其特征在于，所述应用批量训练样本对聚类算法进行训练，得到所述风险行为监测模型，包括：

应用聚类算法和批量训练样本，确定多个类以及各个类的聚类中心；

获取多个异常样本，每个异常样本包括：历史异常登录行为日志对应的访问频率类别和设备访问频率类别；

从每个异常样本与各个聚类中心之间对应的欧几里得距离中，得到该异常样本对应的值最小的欧几里得距离；

将各个异常样本对应的值最小的欧几里得距离的平均值确定为异常距离阈值。

6.根据权利要求5所述的用户风险行为监测方法，其特征在于，所述根据预设的风险行为监测模型、所述站点访问频率类别和设备访问频率类别，确定所述当前用户的风险行为监测结果，包括：

将所述站点访问频率类别和设备访问频率类别作为待监测对象，判断该待监测对象与各个聚类中心之间对应的欧几里得距离是否大于所述异常距离阈值，若是，则确定所述当前用户的风险行为监测结果为异常。

7.根据权利要求6所述的用户风险行为监测方法，其特征在于，还包括：

若所述待监测对象与各个聚类中心之间的距离存在小于所述异常距离阈值的，则确定所述当前用户的风险行为监测结果为正常。

8.一种用户风险行为监测装置，其特征在于，包括：

获取模块，用于获取当前用户的登录行为日志；

分类模块，用于根据所述当前用户对应的预存储的站点和设备访问频率类别列表，确定所述登录行为日志对应的站点访问频率类别和设备访问频率类别；

监测模块，用于根据预设的风险行为监测模型、所述站点访问频率类别和设备访问频率类别，确定所述当前用户的风险行为监测结果；

所述预设的风险行为监测模型是基于批量历史登录行为日志对应的站点访问频率类别和设备访问频率类别对聚类算法进行训练得到的。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至7任一项所述的用户风险行为监测方法。

10.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，所述指令被执行时实现权利要求1至7任一项所述的用户风险行为监测方法。