[发明专利]一种用户日常行为异常检测方法和装置

权利要求书

1.一种用户日常行为异常检测方法，其特征在于，包括：

获取用户群体的操作数据；

根据操作数据中各操作行为特征，统计用户群体内单个用户的至少两组操作行为及其对应的频率；

计算单个用户在多个时间聚合单位内操作数据的综合PCA得分，形成第一数据组；

根据所述第一数据组计算每个PCA得分对应的DTW距离，形成第二数据组；

基于第二数据组采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息。

2.根据权利要求1所述的用户日常行为异常检测方法，其特征在于，基于统计周期统计每个用户的每组操作行为及其对应的频率，并计算每个用户操作数据的PCA得分，包括：

对每个用户的每组操作行为及其对应的频率进行Z-score处理；

预测主成分得分，根据主成分和主成分的方差贡献率，计算每个用户操作数据的PCA得分，并根据所述PCA得分计算每两个用户的DTW距离。

3.根据权利要求1所述的用户日常行为异常检测方法，其特征在于，基于所述DTW距离采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息，包括：设定预设阈值L；基于所述DTW距离采用聚类分析法输出组内人数少于预设阈值L的用户信息。

4.根据权利要求1所述的用户日常行为异常检测方法，其特征在于，所述操作行为特征包括以下至少两种：登录行为、操作行为、邮件外发行为、u盘数据拷出行为。

5.根据权利要求1-4任意一项所述的用户日常行为异常检测方法，其特征在于，

所述统计周期包括以下至少一种：天、n天、周、月；

和/或

所述用户信息包括以下至少一种：用户序列、用户代码、用户姓名、用户岗位。

6.一种用户日常行为异常检测装置，其特征在于，包括：

数据获取模块，配置用于获取用户群体的操作数据；

数据统计模块，配置用于根据操作数据中各操作行为特征，将操作数据至少分为两组，基于统计周期统计每个用户的每组操作行为及其对应的频率；

计算模块，配置用于根据数据统计模块的统计结果，计算每个用户操作数据的PCA得分并根据所述PCA得分计算每两个用户的DTW距离；

信息输出模块，配置用于基于所述DTW距离采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息。

7.根据权利要求6所述的用户日常行为异常检测装置，其特征在于，所述计算模块，包括：

数据处理单元，配置用于对每个用户的每组操作行为及其对应的频率进行Z-score处理；

计算单元，配置用于预测主成分得分，根据主成分和主成分的方差贡献率，计算每个用户操作数据的PCA得分，并根据所述PCA得分计算每两个用户的DTW距离。

8.根据权利要求6所述的用户日常行为异常检测装置，其特征在于，所述信息输出模块包括：

设定单元，配置用于设定预设阈值L；

输出单元，配置用于基于所述DTW距离采用聚类分析法输出组内人数少于预设阈值L的用户信息。

9.根据权利要求6所述的用户日常行为异常检测装置，其特征在于，所述操作行为特征包括以下至少两种：登录行为、操作行为、邮件外发行为、u盘数据拷出行为。

10.根据权利要求6-9所述的用户日常行为异常检测装置，其特征在于，

所述统计周期包括以下至少一种：天、n天、周、月；

和/或

所述用户信息包括以下至少一种：用户序列、用户代码、用户姓名、用户岗位。