[发明专利]一种用户行为异常检测方法及装置

说明书

本申请公开了一种用户行为异常检测方法及装置，当需要检测某一用户的行为是否异常时，首先从服务器中获取当前时刻该用户对应的用户日志，该用户日志表示用户行为数据，可以包括交易日志、登录日志等信息。再从用户日志中提取与用户行为相关的行为特征集合，将该行为特征集合输入预先训练的用户行为向量表示模型中，获得行为向量表示，该行为向量表示包括用户在上一时刻对应的行为分类结果。将行为向量表示输入行为分类模型，获得该用户日志对应的分类结果。即，本申请实施例通过使用基于注意力机制的用户行为向量表示模型使得重要行为特征在转换为行为向量时所占权重较大，从而提高行为分类模型输出结果的准确性。

技术领域

本申请涉及人工智能技术领域，具体涉及一种用户行为异常检测方法及装置。

背景技术

目前，对于用户行为异常检测的研究比较热门，主要方法包括基于离散时间马尔科夫链的异常行为检测系统和基于神经网络的用户行为检测方法。具体地，前者将用户产生的行为数据与预先设定的阈值进行比较分析，以根据分析结果确定用户行为是否异常。然而，此种方式需要人为参与，存在人为因素导致的偏差，影响结果的准确性。后者在适用场景及检测实时性、准确性方面还有诸多不足。

当前存在一些关于用户行为的研究，2016年，Veeramachananeni等人（Veeramachaneni，Kalyan， et al.，AI2:训练大数据机器进行防御，云上的大数据安全(大数据安全)，IEEE高性能与智能计算国际会议(HPSC)，IEEE智能数据与安全国际会议(IDS)，2016 IEEE第二届国际会议）使用自动编码器神经网络检测内部威胁。2018年，Bi等人（MengB.，Andi W.，Jian X.， 基于离散马尔可夫链的数据库用户异常行为检测，沈阳理工大学学报，2018，70-76）针对数据库的内部攻击，建立了基于离散时间马尔可夫链（DTMC）的异常行为检测系统，将用户提交的SQL语句作为行为特征进行分析。DTMC用于提取正常用户的特征和要检测的行为。比较偏差和阈值以确定行为是否异常。Thi等人（Thi，Nga Nguyen，VanLoi Cao，Nhien-An Le-Khac，基于长短期记忆递归神经网络的一类集体异常检测，arXiv预印本arXiv:1802，00324(2018)）和Bontemps等人（Bontemps， Lo_¨ıc，James McDermott，Nhien-An Le-Khac，基于长短期记忆递归网络的集体异常检测，未来数据和安全工国际会议，斯普林格，2016）在他们的工作中，使用了长短期记忆网络，但主要缺陷是没有对用户行为的原始数据进行特征提取。

发明内容

有鉴于此，本申请实施例提供一种用户行为异常检测方法及装置，以实现更准确地检测用户行为异常。

为解决上述问题，本申请实施例提供的技术方案如下：

在本申请实施例第一方面，提供了一种用户行为异常检测方法，该方法可以包括：

针对任一用户，从服务器获取当前时刻所述用户对应的用户日志，所述用户日志表示用户行为数据；

根据所述用户日志获取行为特征集合；

将所述行为特征集合输入用户行为向量表示模型，获取行为向量表示，所述行为向量表示包括所述用户在上一行为检测时刻对应的行为分类结果，所述用户行为向量表示模型是根据训练用户日志对应的行为特征集合以及所述训练用户日志对应的分类标签训练生成的，所述用户行为向量表示模型为基于注意力机制的神经网络模型；

将所述行为向量表示输入行为分类模型，获得分类结果，所述行为分类模型是根据所述训练用户日志对应的行为特征集合以及所述训练用户日志对应的分类标签训练生成的。

在一种可能的实现方式中，所述将所述行为特征集合输入用户行为向量表示模型，获取行为向量表示，包括：