[发明专利]一种基于模糊时序关联模式的异常用户检测方法

摘要

本发明涉及一种基于模糊时序关联模式的异常用户检测方法，属于网络安全技术领域。本发明采用事件模糊时序关联模式描述用户事件发生的时序关系或因果关系；然后将采用上述描述的既成知识、通用的用户事件序列模式和随机选取的会话项序列作为初始种群，利用遗传算法对初始种群进行训练，将得到频繁项集作为用户事件序列模式集；最后将实时采集到用户事件序列与相应用户事件序列模式集进行匹配，若匹配不成功，则说明用户异常，实现对异常用户的检测。本发明采用用户操作键的时序关系准确地描述和反映出频繁发生的用户行为，能够快速检测出违反正常行为模式的用户，解决了现有技术中用户行为异常难以检测以及检测不准的问题。

主权项

1.一种基于模糊时序关联模式的异常用户检测方法，其特征在于，该检测方法包括以下步骤：1)采用事件模糊时序关联模式描述用户事件发生的时序关系或因果关系；2)将采用上述描述的既成知识、通用的用户事件序列模式和随机选取的事件序列作为初始种群，利用遗传算法对初始种群进行训练，将得到频繁项集作为用户事件序列模式集；3)将实时采集到用户事件序列与相应用户事件序列模式集进行匹配，若匹配不成功，则说明用户异常；所述事件模糊时序关联模式的定义：在一段特定时间内，事件发生频度F用于表示事件在滑动窗口W内发生次数多少的量值，其值域是{zero,few,many}，其中，zero表示事件在该段时间内未发生，few表示事件少量发生，many表示事件多次发生；事件发生描述为其中I_i为事件的唯一标识，为用户事件I_i的事件发生频度取值；I_i和I_j分别是两种用户事件，如果和总是在同一时间片内先后出现，则认为存在一个模糊时序关联模式