[发明专利]一种基于中间日志的用户行为识别方法及装置

权利要求书

1.一种基于中间日志的用户行为识别方法，其特征在于，包括：

获取初始日志，所述初始日志包括归一化的用户行为日志，其中，所述用户行为日志中的数据具有同一数据类型和同一格式；

根据所述用户行为日志中的用户身份标识、用户行为和所述用户行为的发生时间获取中间日志，所述中间日志记录有每一用户在预设时段内的第一行为次数和行为频率，其中，所述行为频率是所述预设时段内指定时段中的第二行为次数；

根据所述中间日志和已有的用户行为分析算法，识别所述用户行为是否异常；

还获取用户所属的组群；相应的，所述方法还包括：

根据所述用户行为日志中的用户身份标识、用户行为和所述用户行为的发生时间获取中间日志，所述中间日志记录有所述用户所属的组群中每一用户在预设时段内的第一行为次数和行为频率；

所述预设时段包括通信会话所持续的时段；相应的，所述中间日志记录有每一用户在预设时段内的第一行为次数和行为频率，包括：

所述中间日志记录有每一用户在所述通信会话所持续的时段内的第一行为次数和行为频率；

通信会话包括用户之间交互的文字、语音和视频信息；通信会话的第一行为包括：发送某些敏感文字和含有某一病毒或木马的网络地址链接。

2.根据权利要求1所述的方法，其特征在于，所述预设时段还包括不同时间粒度对应的时段；相应的，所述方法还包括：

所述中间日志记录有每一用户在所述不同时间粒度对应的时段内的第一行为次数和行为频率，其中，所述不同时间粒度包括每天、每周或每月；

和/或，

所述中间日志记录有所述用户所属的组群中每一用户在所述不同时间粒度对应的时段内的第一行为次数和行为频率。

3.根据权利要求2所述的方法，其特征在于，还获取所述用户行为日志中的用户常用源IP地址，其中，所述用户常用源IP地址的累积使用次数大于等于预设次数；相应的，所述方法还包括：

所述中间日志记录有每一用户使用所述用户常用源IP地址的使用时间；

和/或，

所述中间日志记录有所述用户所属的组群中每一用户使用所述用户常用源IP地址的使用时间。

4.根据权利要求1、2或3所述的方法，其特征在于，所述每一用户的多条初始日志对应一条中间日志。

5.一种基于中间日志的用户行为识别装置，其特征在于，包括：

获取单元，用于获取初始日志，所述初始日志包括归一化的用户行为日志，其中，所述用户行为日志中的数据具有同一数据类型和同一格式；

第一记录单元，用于根据所述用户行为日志中的用户身份标识、用户行为和所述用户行为的发生时间获取中间日志，所述中间日志记录有每一用户在预设时段内的第一行为次数和行为频率，其中，所述行为频率是所述预设时段内指定时段中的第二行为次数；

识别单元，用于根据所述中间日志和已有的用户行为分析算法，识别所述用户行为是否异常；

还获取用户所属的组群；相应的，所述装置还包括第二记录单元：

所述第二记录单元，用于根据所述用户行为日志中的用户身份标识、用户行为和所述用户行为的发生时间获取中间日志，所述中间日志记录有所述用户所属的组群中每一用户在预设时段内的第一行为次数和行为频率；

所述预设时段包括通信会话所持续的时段；相应的，所述装置中的：

所述中间日志记录有每一用户在所述通信会话所持续的时段内的第一行为次数和行为频率；

通信会话包括用户之间交互的文字、语音和视频信息；通信会话的第一行为包括：发送某些敏感文字和含有某一病毒或木马的网络地址链接。

6.根据权利要求5所述的装置，其特征在于，所述预设时段还包括不同时间粒度对应的时段；相应的，所述装置中的：

所述中间日志记录有每一用户在所述不同时间粒度对应的时段内的第一行为次数和行为频率，其中，所述不同时间粒度包括每天、每周或每月；

和/或，

所述中间日志记录有所述用户所属的组群中每一用户在所述不同时间粒度对应的时段内的第一行为次数和行为频率。