[发明专利]一种用户日常行为异常检测方法和装置

说明书

本发明涉及一种用户日常行为异常检测方法和装置，用户日常行为异常检测方法包括以下步骤：获取用户群体的操作数据；根据操作数据中各操作行为特征，统计用户群体内单个用户的至少两组操作行为及其对应的频率；计算单个用户在多个时间聚合单位内操作数据的综合PCA得分，形成第一数据组；根据所述第一数据组计算每个PCA得分对应的DTW距离，形成第二数据组；基于第二数据组采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息。将异常人员从群体中识别出来，缩小检测范围，增加检测准确性和检测效率。

技术领域

本发明涉及数据挖掘技术领域，尤其涉及一种用户日常行为异常检测方法和装置。

背景技术

目前用户日常异常行为检测通常基于单一行为进行分析，不能很好地反映用户真实的行为；

尤其用户的日常行为种类比较多，：登录行为、操作行为、邮件外发行为、u盘数据拷出行为等N种，在实际的应用中对单一行为逐个进行分析，经常产生大量的假报警，导致调查人员花费过多的调查时间，也不能较好地覆盖真正异常事件，很难达到预期检测效果，而且检测成本较高，如果不进行有效检测，则存在公司信息外泄的风险，以此亟需一种能够有效检测用户日常异常行为，较好的保护公司利益。

发明内容

为了解决上述技术问题，本发明的目的在于提供一种用户日常行为异常检测方法和装置。

根据本发明的一个方面，提供了一种用户日常行为异常检测方法，包括：

获取用户群体的操作数据和统计周期；

根据操作数据中操作行为的特征，将操作数据分为至少两组；

基于统计周期统计每个用户的每组操作行为及其对应的频率，并计算每个用户操作数据的PCA得分；

根据所述PCA得分计算每两个用户的DTW距离；

基于所述DTW距离采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息。

进一步的，基于统计周期统计每个用户的每组操作行为及其对应的频率，并计算每个用户操作数据的PCA得分，包括：

对每个用户的每组操作行为及其对应的频率进行Z-score处理；

预测主成分得分，根据主成分和主成分的方差贡献率，计算每个用户操作数据的PCA得分，并根据所述PCA得分计算每两个用户的DTW距离。

进一步的，基于所述DTW距离采用聚类分析法将用户群体分成若干组，输出组内人数少于预设阈值的用户信息，包括：设定预设阈值L，基于所述DTW距离采用聚类分析法输出组内人数少于预设阈值L的用户信息。

进一步的，所述操作行为特征包括以下至少两种：登录行为、操作行为、邮件外发行为、u盘数据拷出行为；

进一步的，所述统计周期包括以下至少一种：天、n天、周、月；

和/或

所述用户信息包括以下至少一种：用户序列、用户代码、用户姓名、用户岗位

根据本发明的另一个方面，提供了一种用户日常行为异常检测装置，包括：

数据获取模块，配置用于获取用户群体的操作数据；

数据统计模块，配置用于根据操作数据中各操作行为特征，将操作数据至少分为两组，基于统计周期统计每个用户的每组操作行为及其对应的频率；

计算模块，配置用于根据数据统计模块的统计结果，计算每个用户操作数据的PCA得分并根据所述PCA得分计算每两个用户的DTW距离；