[发明专利]一种异常行为检测方法、装置及验证系统

权利要求书

1.一种异常行为检测方法，其特征在于，包括:

从区块链节点接收待检测行为，所述待检测行为是所述区块链节点接收到源设备发送给目标设备的功能请求后,根据所述功能请求以及存储于区块链上的用于验证所述源设备和所述目标设备的身份和互信关系的验证数据生成的；

利用第一检测模型以及第二检测模型分别基于所述待检测行为进行异常检测，并根据所述第一检测模型的输出获得第一检测结果以及根据所述第二检测模型输出获得第二检测结果，其中，所述第一检测模型是基于正常行为样本集进行无监督学习后获得的，所述第二检测模型是基于所述正常行为样本集以及异常行为样本集进行有监督学习后获得的；

根据所述第一检测结果以及所述第二检测结果确定针对所述待检测行为的最终检测结果；

将所述最终检测结果发送至所述区块链节点，以使所述区块链节点在所述最终检测结果为正常时，将所述功能请求转发至所述目标设备，以及在所述最终检测结果为异常时，拒绝将所述功能请求转发至所述目标设备；

其中，所述根据所述第一检测结果以及所述第二检测结果确定针对所述待检测行为的最终检测结果，包括：

若所述第一检测结果以及所述第二检测结果均为正常，则确定所述最终检测结果为正常；

若所述第一检测结果以及所述第二检测结果均为异常，则确定所述最终检测结果为异常；

若所述第一检测结果为正常且所述第二检测结果为异常，则确定所述最终检测结果为异常；

若所述第一检测结果为异常且所述第二检测结果为正常，则根据对所述待检测行为的人工鉴定结果确定所述最终检测结果为正常或异常。

2.根据权利要求1所述的异常行为检测方法，其特征在于，在所述根据所述第一检测结果以及所述第二检测结果确定针对所述待检测行为的最终检测结果之后，所述方法还包括：

若所述最终检测结果根据所述人工鉴定结果确定且所述人工鉴定结果为异常，将所述待检测行为添加到所述异常行为样本集中。

3.根据权利要求1所述的异常行为检测方法，其特征在于，在所述根据所述第一检测结果以及所述第二检测结果确定针对所述待检测行为的最终检测结果之前，所述方法还包括：

利用所述正常行为样本集训练所述第一检测模型，训练结束条件包括模型的输出结果和输入的训练样本之间的相似度大于预设程度。

4.根据权利要求1所述的异常行为检测方法，其特征在于，在所述根据所述第一检测结果以及所述第二检测结果确定针对所述待检测行为的最终检测结果之前，所述方法还包括：

利用所述正常行为样本集以及所述异常行为样本集训练所述第二检测模型，训练结束条件包括模型的输出结果和输入的训练样本的标签之间的均方差小于预设数值。

5.根据权利要求1所述的异常行为检测方法，其特征在于，所述利用第一检测模型以及第二检测模型分别基于所述待检测行为进行异常检测，包括：

从所述待检测行为中提取多个特征，将由提取出的多个特性形成的行为记录分别输入至所述第一检测模型以及所述第二检测模型进行异常检测，其中，所述特征为可量化为数值的、且基于所述数值能够区分正常行为和异常行为的属性。

6.根据权利要求1-5中任一项所述的异常行为检测方法，其特征在于，所述第一检测模型包括深度自编码网络或自编码循环神经网络。

7.根据权利要求1-5中任一项所述的异常行为检测方法，其特征在于，所述第二检测模型包括深度神经网络或混合高斯模型。