[发明专利]一种基于多层LSTM的线上用户行为分析方法

说明书

本发明提出一种基于多层LSTM的线上用户行为分析方法，采用LSTM长短期记忆网络对已知用户类别的访问请求行为数据进行训练,生成一个用户访问请求行为的模型；该方法能根据具体场景需求,恶意用户和信任用户不同的划分规则，实现动态分析识别用户类别，以便于系统对识别出的恶意用户积极地采取一定的安全防御措施。

技术领域

本发明涉及网络信息安全领域，特别涉及一种基于多层LSTM的线上用户行为分析方法。

背景技术

大数据时代的到来加速了人们生活方式的可视化信息化，推动了各行各业的变革，人们生活变得多元化便捷化的同时，个人信息数据安全面临着极大的威胁与挑战。除了“暗网”下潜在攻击的存在，有些隐藏在人群中的个体也是不容忽视的，他们散布非法信息、实施恶意行为，对正常的系统和他人的隐私数据、财产安全和公众形象构成了极大的威胁。

2019年9月5日，滴滴对外宣布将定期公示恶意行为用户，涉及虚假投诉、虚假申诉和诱导取消等不良行为。每次在海量的数据中通过用户举报，再用传统人工调查取证核实用户行为的方法，不仅需要消耗大量人力物力资源，而且周期长、无法在短时间内得出结论。因此，我们需要利用大数据分析的方法，记录用户在网络平台上留下的“证据”，证据包含社交信息、行为习惯和兴趣偏好等，以避开事物之间因果逻辑关系，直接从数据本身获取信息从而得出结论。

目前深度学习是一种非常流行的技术，广泛应用于计算机视觉、人脸识别、自然语言和数据分析等领域。长短期记忆网络(Long Short-Term Memory，LSTM)是深度学习的一种，基于时间递归的神经网络，能够处理具有时序特征的数据。用户在线上与服务器进行交互行为带有一定的时序信息，用时间循环神经网络学习数据本身的特征,实现对恶意用户行为的监测，是行之有效的方法。

发明内容

本发明提出一种基于多层LSTM的线上用户行为分析方法，采用LSTM长短期记忆网络对已知用户类别的访问请求行为数据进行训练,生成一个用户访问请求行为的模型；该方法能根据具体场景需求,恶意用户和信任用户不同的划分规则，实现动态分析识别用户类别，以便于系统对识别出的恶意用户积极地采取一定的安全防御措施。

一种基于多层LSTM的线上用户行为分析方法，包括以下步骤：

从服务器日志获取一段时间内与用户的所有交互数据，对数据进行清洗后收集所有的用户访问请求数据；对用户的访问请求数据进行预处理，过滤掉干扰信息，提取用户访问行为属性值；

对处理后的数据进行再加工，在一段时间内按照不同用户划分出对应的访问请求数据集，数据集里面的每条数据代表用户的一次访问请求行为；然后对数据集采用添加标签进行分类，筛选出恶意用户和信任用户，作为训练数据；

步骤1，收集训练样本数据集，从服务器用户访问日志中获取已知恶意用户、信任用户在一段时间内的访问请求记录，对访问请求日志数据进行清洗，过滤掉干扰信息，提取用户访问行为属性值并对用户标注；

步骤2，数据的数学表示，采用独热编码(One-Hot Encoding)对某用户的一次访问请求行为进行编码，获得访问请求行为向量；由用户在一段时间内所有的访问请求行为向量，构造出的访问请求行为矩阵；

步骤3，微观特征的学习，根据用户在不同时间段不同的行为表现，将这一段时间细分为T个小时间段，获取对应小时间段的T个行为矩阵分别放入T个LSTM网络单元进行训练，得到T个用户行为数据的时序特征向量；

步骤4，宏观特征的学习，将T个时序特征向量合并成一个完整时间段的总时序特征向量，作为LSTM的输入数据再次进行训练，将获得的最终输出传至全连接层，降维映射到两个分类；

步骤5，对所有标注的用户访问行为数据按照步骤3和4训练完成后，得到一个用户访问请求行为的特征模型；