[发明专利]文件下载行为异常检测方法、装置、电子设备及存储介质

权利要求书

1.一种文件下载行为异常检测方法，其特征在于，包括：

获取用户当前待下载文件的数据量和当日文件下载量；

根据所述用户在历史时间内的单次文件下载数据量的中位数、最大值和最小值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到数据量度量值；

根据所述用户在历史时间内的单日文件下载量的中位数、最大值和最小值，对所述当日文件下载量进行行为偏离度量量化，得到当日文件下载量度量值；

根据所述数据量度量值与数据量度量基线的大小关系以及所述当日文件下载量度量值与单日文件下载量度量基线的大小关系，确定所述用户的当前文件下载行为是否异常，其中，所述数据量度量基线是基于所述用户在历史时间内的单次文件下载数据量确定的，所述单日文件下载量度量基线是基于所述用户在历史时间内的单日文件下载量确定的。

2.根据权利要求1所述的方法，其特征在于，在所述根据所述用户在历史时间内的单次文件下载数据量的中位数、最大值和最小值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到数据量度量值之前，还包括：

确定用户在历史时间内的单次文件下载数据量的中位数、最大值和最小值；

根据所述用户在历史时间内的单次文件下载数据量的中位数、最大值和最小值，对每个所述单次文件下载数据量分别进行行为偏离度量量化，得到每个单次文件下载数据量的度量值，将每个单次文件下载数据量的度量值分别作为数据量度量样本；

基于异常检测算法，将所有的所述数据量度量样本分为数据量正常样本和数据量异常样本；

获取所有数据量正常样本的中心，并将所述数据量正常样本与中心的最大距离确定为所述数据量度量基线。

3.根据权利要求1所述的方法，其特征在于，在所述根据所述用户在历史时间内的单日文件下载量的中位数、最大值和最小值，对所述当日文件下载量进行行为偏离度量量化，得到当日文件下载量度量值之前，还包括：

根据所述用户在历史时间内的单次文件下载数据量，确定所述用户在所述历史时间内的单日文件下载量；

确定所述用户在所述历史时间内的单日文件下载量的中位数、最大值和最小值；

根据所述用户在历史时间内的单日文件下载量的中位数、最大值和最小值，对每个所述单日文件下载量分别进行行为偏离度量量化，得到每个单日文件下载量的度量值，将每个单日文件下载量的度量值分别作为下载量度量样本；

基于异常检测算法，将所有的所述下载量度量样本分为下载量正常样本和下载量异常样本；

获取所有下载量正常样本的中心，并将所述下载量正常样本与中心的最大距离确定为所述单日文件下载量度量基线。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述根据所述用户在历史时间内的单次文件下载数据量的中位数、最大值和最小值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到数据量度量值，包括：

若所述数据量大于或等于所述单次文件下载数据量的中位数，则根据所述单次文件下载数据量的中位数和最大值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到所述数据量度量值；

若所述数据量小于所述单次文件下载数据量的中位数，则根据所述单次文件下载数据量的中位数和最小值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到所述数据量度量值。

5.根据权利要求4所述的方法，其特征在于，所述根据所述单次文件下载数据量的中位数和最大值，对所述当前待下载文件的数据量进行行为偏离度量量化，得到所述数据量度量值，包括：

根据所述单次文件下载数据量的中位数和最大值，按照如下公式对所述当前待下载文件的数据量进行行为偏离度量量化，得到所述数据量度量值：

其中，X_max表示所述单次文件下载数据量的最大值，X_midder表示所述单次文件下载数据量的中位数，x表示所述当前待下载文件的数据量，f₁表示所述数据量度量值。