[发明专利]用于检测计算机网络系统用户的异常行为的方法

权利要求书

1.用于检测计算机网络系统用户的异常行为的方法，包括：

从该计算机网络系统中选取至少两个数据源，所述至少两个数据源分别具有关于用户行为的记录；

根据每个数据源的类型配置与该数据源相对应的张量数据结构，所述张量数据结构定义了需要从相应的数据源中提取的关于用户行为的多个数据；

利用已配置的张量数据结构分别从相应的数据源中提取所述关于用户行为的多个数据并且对所提取的数据进行多维度聚合；

基于图数据库中存储的关联关系，检测用户的关联关系的异常；以及

基于经聚合得到的张量数据，进行用户行为的异常检测。

2.权利要求1所述的方法，其中，从相应的数据源中提取的关于用户行为的多个数据包含关于考察主体的数据，该考察主体能够和相应的用户进行关联。

3.权利要求2所述的方法，其中，所述系统的每个用户具有唯一的用户身份用于标识该用户。

4.权利要求3所述的方法，其中，在从不包括所述用户身份的数据源中提取关于用户行为的多个数据时，利用存储在图数据库中的关联关系将从该数据源中提取的关于考察主体的数据与所述用户身份相关联。

5.权利要求4所述的方法，其中，所述关联关系通过图数据结构从所述系统的一个或多个数据字典和/或服务器字典中获得，所述数据字典和/或服务器字典中记录了相应的数据源的考察主体与所述用户身份的对应关系。

6.权利要求1至5中任一项所述的方法，其中，通过张量数据结构抽取所述关于用户行为的多个数据中至少两个数据之间的关联关系，并将所抽取的关联关系存储在图数据库中。

7.权利要求4所述的方法，其中，图数据库中存储的关联关系带有时间戳。

8.权利要求1所述的方法，其中，将经聚合得到的张量数据以数据源为单位存储在张量数据库中。

9.权利要求1所述的方法，其中，所述基于经聚合得到的张量数据，进行用户行为的异常检测的步骤包括：按照张量数据中需要检测的特征域和/或标量域，配置相应的异常检测器，所述异常检测器用于检测时间序列异常、基于用户特征的数值异常和基于用户所在组内特征的异常之一。