[发明专利]基于业务安全的分类模型训练方法、装置和存储介质

权利要求书

1.一种基于业务安全的分类模型训练方法，包括：

获取目标业务的全量样本；

根据各个样本的样本内容，构造各样本的多个样本特征，得到样本的特征库，并从样本的特征库中筛选全部或部分样本特征构造各样本的第一样本特征；

通过多种异常检测方式，分别基于各样本对应的第一样本特征，对所述全量样本进行异常检测，得到多组候选异常样本；

根据所述多组候选异常样本的交集或并集，从所述全量样本中确定出异常样本；

从所述异常样本中筛选样本内容满足恶意条件的恶意样本；

根据所述全量样本中除去所述恶意样本后的样本，确定正常样本；

根据业务需要，从所述样本的特征库中筛选全部或部分样本特征，构造所述恶意样本和所述正常样本的第二样本特征，进而对初始的分类模型进行训练，得到用于对所述目标业务进行安全管控的分类模型。

2.根据权利要求1所述的方法，其特征在于，所述获取目标业务的全量样本，包括：

获取预设周期内基于目标业务所产生的日志文件；

确定所述日志文件中出现的用户账号、及各用户账号对应的用户生成内容；

将所有的用户账号或所有的用户生成内容，作为所述目标业务的全量样本。

3.根据权利要求1所述的方法，其特征在于，所述获取目标业务的全量样本，包括：

获取预设周期内基于目标业务所产生的日志文件；所述日志文件包括用户账号、及与各所述用户账号对应的对象行为数据和用户生成内容；

将所述日志文件中出现的全部的用户账号作为全量样本；

所述根据各个样本的样本内容，构造各样本的多个样本特征，包括：

获取与各所述用户账号分别对应的用户描述信息；

根据各所述用户账号分别对应的对象行为数据、用户生成内容和用户描述信息，构造相应的样本特征。

4.根据权利要求1所述的方法，其特征在于，所述获取目标业务的全量样本，包括：

获取预设周期内基于目标业务所产生的日志文件；

将所述日志文件中出现的全部的用户生成内容作为全量样本；

所述根据各个样本的样本内容，构造各样本的多个样本特征，包括：

根据各所述用户生成内容分别包括的恶意内容，构造相应的样本特征。

5.根据权利要求1所述的方法，其特征在于，多种异常检测方式中的其中一种异常检测方式包括：

将每个样本各自对应的第一样本特征，分别输入至训练好的重构模型，得到对应的输出向量；

基于各所述样本分别对应的第一样本特征和输出向量间的差异，确定各所述样本对应的误差值；

将相应误差值满足异常条件的样本作为候选异常样本。

6.根据权利要求1所述的方法，其特征在于，多种异常检测方式中的其中一种异常检测方式包括：

基于各样本分别对应的第一样本特征，对所述全量样本进行聚类处理，得到多于一类的簇；

根据各簇分别包括的样本的第一样本特征，确定各簇分别对应的特征均值；

基于各簇分别对应的特征均值的特征分布，从所述簇中筛选出异常簇，并将所述异常簇中的样本作为候选异常样本。

7.根据权利要求6所述的方法，其特征在于，所述基于各样本分别对应的第一样本特征，对所述全量样本进行聚类处理，得到多于一类的簇，包括：

确定当前已存在的不同簇；

对于每个样本，根据相应的第一样本特征，分别计算所述样本与当前已存在的不同簇之间的距离；

当所述距离中的最小距离小于等于距离阈值时，将所述样本划分至所述最小距离所对应的簇。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

当所述距离中的最小距离大于所述距离阈值时，确定当前已存在簇的数量；

当所述数量小于预设数量时，创建新的簇，并将所述样本划分至新的簇；

当所述数量等于所述预设数量时，将所述样本划分至所述最小距离所对应的簇。