[发明专利]企业内部用户异常行为检测方法和装置

摘要

本发明涉及网络安全技术领域，尤其涉及企业内部用户异常行为检测方法和装置。本发明公开了企业内部用户异常行为检测方法，还公开了企业内部用户异常行为检测装置，包括：行为日志获取和预处理模块；行为细节建模模块；业务状态转移预测模块；恶意行为评分判别模块。本发明使用非监督的机器学习方法，充分利用了企业中无标注的历史行为日志数据构建用户行为模型，提高了异常行为检测的准确率，降低了误报率和漏报率，为检测企业内部威胁提供了有效手段。

主权项

1.企业内部用户异常行为检测方法，其特征在于，包括以下步骤：步骤1：将企业内部用户的历史行为日志数据按照用户ID划分为不同的数据流，针对不同行为对应的历史行为日志数据，在解析过程中，进行不同的处理，将每条历史行为日志数据解析为一个五元组；步骤2：为解析后的历史行为日志数据建立索引，存储到全文搜索引擎数据库中，作为初始搜索的基础数据，当接收到新的行为日志数据时，通过搜索新的行为日志数据对应的五元组提取对应的行为细节信息，检索每个行为细节信息在历史行为中出现的频率及时间节点信息，完成新行为与历史行为的比对，将文字型日志数据转化为数值型向量，利用转化为数值型向量的历史行为日志数据构建用户行为模型；步骤3：根据行为间的时间间隔将解析后的历史行为日志数据划分为不同的行为短序列，将划分好的行为短序列根据相似性聚类，将同一类中的短序列定义为同一业务状态，用类名称代替该类中的所有短序列作为观测变量，利用观测变量训练隐马尔可夫模型，通过隐马尔可夫模型预测观测变量对应的隐藏的业务状态，进行业务状态间的转移预测，进而预测业务状态间的转移概率；步骤4：通过用户行为模型得到行为的异常得分，通过行为的异常得分及企业内部用户历史行为日志数据中各个业务逻辑的状态转移概率计算新行为序列的异常得分，判定新行为序列是否异常。