[发明专利]将用户行为分类为异常

权利要求书

1.一种计算机实现的方法，包括：

获得表示在主体系统中用户的行为的用户行为数据，其中所述用户行为数据指示在所述主体系统中所述用户访问的一个或多个资源，以及对于所述用户访问的每个资源，该资源何时被访问；

从所述用户行为数据生成测试数据，所述测试数据包括在测试时间段期间由所述用户访问的资源的第一表示；

从所述用户行为数据生成训练数据，所述训练数据包括在所述测试时间段之前的多个时间段中的每个时间段中由所述用户访问的资源的相应的第二表示；

确定所述主体系统中的一个或多个其他用户，所述一个或多个其他用户在由所述训练数据表示的时间段期间访问与所述用户共同的至少阈值数量的资源；

指定所述一个或多个其他用户作为在所述主体系统中所述用户的对等方；

从所述训练数据生成初始路径图，所述初始路径图表示所述用户在所述测试时间段之前的多个时间段中的每个时间段中如何导航到所述主体系统中的一个或多个资源，其中所述初始路径图包括表示在由所述训练数据表示的多个时间段期间在所述主体系统中由所述用户访问的资源的节点、以及一对或多对所述节点之间的链接，其中每对所述节点之间的每个链接表示所述用户从由该对节点的第二节点所表示的第二资源访问该对节点的第一节点所表示的第一资源；

其中生成所述初始路径图还包括从所述用户的训练数据和主体系统中的所述用户的一个或多个对等方的训练数据生成所述初始路径图；

从所述测试数据生成测试路径图，所述测试路径图表示所述用户在所述测试时间段期间如何导航到所述主体系统中的一个或多个资源，其中所述测试路径图包括表示所述测试时间段期间在所述主体系统中所述用户访问的资源的所述节点、以及一对或多对所述节点之间的链接，其中每对所述节点之间的每个链接表示所述用户访问从由该对节点的第二节点所表示的第二资源导航的该对节点的第一节点所表示的第一资源；

计算所述初始路径图与所述测试路径图之间的差异；以及

基于所述初始路径图和所述测试路径图之间的所述差异，将所述用户在所述测试时间段内的所述用户行为分类为异常。

2.根据权利要求1所述的方法，其中，所述用户行为数据包括用户访问记录，每个所述用户访问记录表示在文件系统中所述用户访问的文件夹或文件。

3.根据权利要求1所述的方法，其中，所述用户行为数据包括可以用作训练数据和测试数据两者的用户访问记录。

4.根据权利要求1所述的方法，其中，计算所述初始路径图与所述测试路径图之间的差异包括计算所述初始路径图与所述测试路径图之间的Jaccard距离，其中所述Jaccard距离是基于在所述初始路径图和所述测试路径图之间节点的交集基数、以及在所述初始路径图和所述测试路径图之间的节点的并集基数。

5.根据权利要求1所述的方法，其中，计算所述初始路径图与所述测试路径图之间的所述差异包括：

获得与由所述初始路径图和所述测试路径图中的节点表示的资源相关联的权重；以及

计算所述初始路径图与所述测试路径图之间的加权Jaccard距离，其中所述加权Jaccard距离是基于在所述初始路径图与所述测试路径图的交集中出现的所有节点的权重之和、以及在所述测试路径图中出现的所有节点的权重之和。

6.根据权利要求5所述的方法，进一步包括向所述主体系统中的文件夹指派比所述主体系统中的所述文件夹的子文件夹高的权重。

7.根据权利要求5所述的方法，进一步包括向所述主体系统中高于所述资源的层级中的阈值数量的级别的所有资源指派相同的权重。

8.根据权利要求5所述的方法，其中，所述权重是基于所述资源的受欢迎程度的度量。