[发明专利]一种基于用户画像的网络犯罪嫌疑人侦查方法及系统

说明书

本发明涉及一种基于用户画像的网络犯罪嫌疑人侦查方法及系统。所述侦查方法包括：获取各个类型的网络异常行为；根据所述网络异常行为构建网络异常行为规则库；获取具有网络异常行为的异常用户的历史异常参数；根据所述历史异常参数构建异常用户画像；获取当前网络异常行为；将所述当前网络异常行为与所述异常用户画像进行匹配，判断网络犯罪嫌疑人是否是所述异常用户画像中的异常用户，若是，输出所述异常用户的网络账号；若否，将所有网络用户的行为序列与所述网络异常行为规则库进行匹配，对所有网络用户进行全面审计，输出网络犯罪嫌疑人的网络账号。采用本发明所提供的侦查方法及系统能够提高审计效率。

技术领域

本发明涉及网络犯罪行为侦查领域，特别是涉及一种基于用户画像的网络犯罪嫌疑人侦查方法及系统。

背景技术

随着网络科技的进步，网络犯罪行为随之增加，为了有效、准确的检测网络入侵行为，有些学者提出了网络入侵检测模型，并研究和设计了相应的入侵检测方法，传统的入侵检测方法可以在一定程度上检测到网络入侵行为，但其只能用于区分正常和网络异常行为，无法针对具体用户进行审计；而传统的日志审计方法虽然可以通过用户的日志来分析用户的行为，但对于用户行为异常与否的判别准确率有待提高。

针对用户行为异常与否判别准确率低的问题，GIUSEPPEA等人提出用户画像的概念，在精准营销、推荐系统等场景中被广泛使用。朱佳俊等将用户画像用于网络异常行为检测，构建正常用户的用户画像，运用机器学习的方法对正常用户的行为进行学习，通过马氏距离和孤立森林算法判定受测行为是否异常。赵刚等通过基本标签、功能标签、级别标签和行为标签来建立正常用户的用户画像，然后使用模式匹配算法进行异常检测，并实现精准定位。Weijie Wang等人定义了多种标签，为正常用户事先建立用户画像，通过日志挖掘等多种手段获取用户行为特征，并与用户画像进行匹配，由此发现用户的网络异常行为。

但上述基于用户画像的网络异常行为检测方法都是通过对正常用户构建用户画像，分析正常用户的行为来判定行为是否正常，但无法区分网络异常行为的种类，对用户行为的刻画不够全面，导致审计效率极低。

发明内容

本发明的目的是提供一种基于用户画像的网络犯罪嫌疑人侦查方法及系统，以解决传统的基于用户画像的网络异常行为检测方法审计效率低的问题。

为实现上述目的，本发明提供了如下方案：

一种基于用户画像的网络犯罪嫌疑人侦查方法，包括：

获取各个类型的网络异常行为；

根据所述网络异常行为构建网络异常行为规则库；所述网络异常行为规则库中的每个异常行为规则包括所述网络异常行为的编号以及操作频率；

获取具有网络异常行为的异常用户的历史异常参数；所述历史异常参数包括基本属性标签、行为属性标签以及网络异常行为相似度标签；所述基本属性标签为网络用户的基本信息资料信息；所述行为属性标签包括历史网络异常行为统计标签以及行为统计标签；所述网络异常行为相似度标签为所述网络用户的行为序列与所述网络异常行为规则库中各个规则的相似度；

根据所述历史异常参数构建异常用户画像；

获取当前网络异常行为；

将所述当前网络异常行为与所述异常用户画像进行匹配，判断网络犯罪嫌疑人是否是所述异常用户画像中的异常用户，得到第一判断结果；

若所述第一判断结果表示为网络犯罪嫌疑人是所述异常用户画像中的异常用户，输出所述异常用户的网络账号；

若所述第一判断结果表示为网络犯罪嫌疑人不是所述异常用户画像中的异常用户，将所有网络用户的行为序列与所述网络异常行为规则库进行匹配，对所有网络用户进行全面审计，输出网络犯罪嫌疑人的网络账号。

可选的，所述根据所述网络异常行为构建网络异常行为规则库，具体包括：