[发明专利]异常访问数据的检测方法和装置

权利要求书

1.一种异常访问数据的检测方法，其特征在于，包括：

根据预先建立的初始训练集对异常访问数据检测模型进行训练；

在该训练结束之后，利用异常访问数据检测模型确定预先建立的初始验证集中访问数据的异常概率；其中，初始验证集中包含预先标注的异常访问数据和未标注访问数据；

将初始验证集中异常概率和准确率符合预设判别条件的多个访问数据标注为异常访问数据，加入初始训练集；根据当前训练集对该异常访问数据检测模型进行训练；其中，所述准确率为该多个访问数据中预先标注的异常访问数据的比例；以及

将待检测访问数据输入训练完成的异常访问数据检测模型，根据输出结果判断所述待检测访问数据是否为异常访问数据。

2.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

在将该多个访问数据加入初始训练集之后，将该多个访问数据从初始验证集中去除；对异常访问数据检测模型进行至少一次迭代训练；其中，在任一次迭代训练中：

根据当前训练集对异常访问数据检测模型进行训练；在该训练结束之后，利用异常访问数据检测模型确定当前验证集中访问数据的异常概率；

将该当前验证集中异常概率和准确率符合所述判别条件的多个访问数据标注为异常访问数据，加入当前训练集，形成下一次迭代训练的训练集；将该多个访问数据从该当前验证集中去除，形成下一次迭代训练的验证集。

3.根据权利要求2所述的方法，其特征在于，在任一次迭代训练中，所述判别条件包括：

按照访问数据的异常概率降序，以预设的初始数量和递增数量分n次从当前验证集中有放回地选取访问数据；其中，n为正整数；

将n次选取中准确率最高的选取确定为最优选取，并将最优选取的访问数据标注为异常访问数据。

4.根据权利要求3所述的方法，其特征在于，在任一次迭代训练中，所述判别条件进一步包括：最优选取的访问数据的准确率不小于预设阈值；以及，所述方法进一步包括：

在任一次迭代训练中，如果当前验证集中访问数据的异常概率和准确率不符合所述判别条件，则停止迭代训练。

5.根据权利要求1-4任一所述的方法，其特征在于，

初始训练集中包含：预先标注的异常访问数据以及利用预先建立的无监督学习模型从未标注访问数据中确定的正常访问数据，初始训练集与初始验证集互斥；以及

所述异常访问数据检测模型为梯度迭代决策树GBDT模型和逻辑回归LR模型；其中，在任一次迭代训练中，GBDT模型的叶子节点进行独热编码后，作为LR模型的输入数据。

6.一种异常访问数据的检测装置，其特征在于，包括：

初始训练单元，用于根据预先建立的初始训练集对异常访问数据检测模型进行训练；

概率确定单元，用于：在该训练结束之后，利用异常访问数据检测模型确定预先建立的初始验证集中访问数据的异常概率；其中，初始验证集中包含预先标注的异常访问数据和未标注访问数据；

主动学习单元，用于将初始验证集中异常概率和准确率符合预设判别条件的多个访问数据标注为异常访问数据，加入初始训练集；根据当前训练集对该异常访问数据检测模型进行训练；其中，所述准确率为该多个访问数据中预先标注的异常访问数据的比例；以及

异常检测单元，用于将待检测访问数据输入训练完成的异常访问数据检测模型，根据输出结果判断所述待检测访问数据是否为异常访问数据。

7.根据权利要求6所述的装置，其特征在于，所述装置进一步包括：

迭代训练单元，用于：在将该多个访问数据加入初始训练集之后，将该多个访问数据从初始验证集中去除；对异常访问数据检测模型进行至少一次迭代训练；其中，在任一次迭代训练中：根据当前训练集对异常访问数据检测模型进行训练；在该训练结束之后，利用异常访问数据检测模型确定当前验证集中访问数据的异常概率；将该当前验证集中异常概率和准确率符合所述判别条件的多个访问数据标注为异常访问数据，加入当前训练集，形成下一次迭代训练的训练集；将该多个访问数据从该当前验证集中去除，形成下一次迭代训练的验证集。