[发明专利]一种基于多层LSTM的线上用户行为分析方法

权利要求书

1.一种基于多层LSTM的线上用户行为分析方法，其特征在于包括以下步骤：从服务器日志获取一段时间内与用户的所有交互数据，对数据进行清洗后收集所有的用户访问请求数据；对用户的访问请求数据进行预处理，过滤掉干扰信息，提取用户访问行为属性值；

对处理后的数据进行再加工，在一段时间内按照不同用户划分出对应的访问请求数据集，数据集里面的每条数据代表用户的一次访问请求行为；然后对数据集采用添加标签进行分类，筛选出恶意用户和信任用户，作为训练数据；

步骤1，收集训练样本数据集，从服务器用户访问日志中获取已知恶意用户、信任用户在一段时间内的访问请求记录，对访问请求日志数据进行清洗，过滤掉干扰信息，提取用户访问行为属性值并对用户标注；

步骤2，数据的数学表示，采用独热编码(One-Hot Encoding)对某用户的一次访问请求行为进行编码，获得访问请求行为向量；由用户在一段时间内所有的访问请求行为向量，构造出的访问请求行为矩阵；

步骤3，微观特征的学习，根据用户在不同时间段不同的行为表现，将这一段时间细分为T个小时间段，获取对应小时间段的T个行为矩阵分别放入T个LSTM网络单元进行训练，得到T个用户行为数据的时序特征向量；

步骤4，宏观特征的学习，将T个时序特征向量合并成一个完整时间段的总时序特征向量，作为LSTM的输入数据再次进行训练，将获得的最终输出传至全连接层，降维映射到两个分类；

步骤5，对所有标注的用户访问行为数据按照步骤3和4训练完成后，得到一个用户访问请求行为的特征模型；

步骤6，在服务器端固定时间点，对线上用户访问行为数据进行测试分析，对识别出的恶意用户系统积极采取适当的安全应对措施包括给予警告、不提供相关功能服务甚至永久封号。

2.如权利要求1所述的一种基于多层LSTM的线上用户行为分析方法，其特征在于所述步骤1中，从服务器获取用户访问的原始日志数据，由于原始数据通常是离散、不一致并且存在噪声，采用正则表达式对日志数据进行清洗，过滤掉干扰信息，提取用户访问行为属性值，包括用户唯一身份Id、接口请求时间戳、接口请求关键字数据；对处理后的数据按照用户唯一身份Id进行分组得到每个用户的访问请求数据集S_id，根据已知用户类别对数据集标注，标注方法如下：

3.如权利要求1所述的一种基于多层LSTM的线上用户行为分析方法，其特征在于所述步骤2中，采用独热编码(One-Hot Encoding)即一位有效编码，将系统接口文档中共n个接口关键字数据作为用户访问请求行为的特征，每个特征代表数据的一个维度，构造出用户在第i个时间点的某次访问请求行为向量Vi＝(v1,v2,...,vn)^T，其中v1,v2,...vn的取值均为0或1，1表示该行为访问了某个接口，0则表示没有；再由用户这一段时间内所有的访问请求行为向量，构造出该用户这段时间内的访问请求行为矩阵M_id＝[V1,V2,...,Vt]，其中t以秒为单位。

4.如权利要求1所述的一种基于多层LSTM的线上用户行为分析方法，其特征在于所述步骤3中，根据这段时间内用户在不同时间段存在行为特征不一样，将访问请求行为矩阵M细分为T个矩阵，把这T个矩阵放到T个LSTM网络单元进行微观上的训练得到T个用户行为数据的时序特征向量。

5.如权利要求1所述的一种基于多层LSTM的线上用户行为分析方法，其特征在于所述步骤4中，将步骤3中获得的T个时段不同的时序特征合并成一个完整时间段的总时序特征向量再次进行宏观上的LSTM训练，输出传入全连接层，通过激活函数softmax，映射到最终的预测标签，再将预测标签与实际标签相对比之后，通过损失函数求得的误差逆向传播修改神经网络的权重参数，完成一次训练过程。

6.如权利要求1所述的一种基于多层LSTM的线上用户行为分析方法，其特征在于所述步骤5中，不断地将已知用户类别的新数据集重复上述步骤对用户访问请求行为模型进行训练学习，增强模型分析用户行为的能力。