[发明专利]行为异常检测方法和装置

权利要求书

1.一种行为异常检测方法，其特征在于，包括：

根据预设的异常因子检测方式，检测设定范围内的行为数据；

当检测的结果指示所述行为数据包括多种异常因子时，计算每一种所述异常因子在所述设定范围内的发生率；

根据每一种所述异常因子、每一种所述异常因子对应的发生率、存储的行为异常网络模型所包括的多个异常因子之间的关联关系及所述关联关系对应的条件概率，计算所述行为数据对应的异常分数，其中，所述行为异常网络模型与一行为异常相关，所述关联关系包括多个作为父节点的异常因子和一个作为子节点的组合因子或所述行为异常；

当所述异常分数不小于预设的异常阈值时，所述行为数据指示了发生所述行为异常。

2.根据权利要求1所述的行为异常检测方法，其特征在于，进一步包括：

构建所述行为异常网络模型，其中，所述行为异常网络模型包括多个异常因子以及所述多个异常因子之间的至少一段关联关系；

为每一段所述关联关系配置多个条件概率，所述条件概率表示了对应于父节点的发生情况组合子节点的发生概率；

存储所述行为异常网络模型和每一段所述关联关系对应配置的多个条件概率。

3.根据权利要求2所述的行为异常检测方法，其特征在于，每一段所述关联关系进一步包括：

所述子节点对应于至少两个父节点、所述子节点是另一段关联关系的父节点。

4.根据权利要求2所述的行为异常检测方法，其特征在于，为每一段所述关联关系配置多个条件概率的步骤，包括：

针对每一段所述关联关系，执行：

针对所述至少一个父节点的每一种状态值的组合，配置所述子节点发生的条件概率和所述子节点未发生的条件概率，其中，所述状态值指示所述父节点发生或未发生。

5.根据权利要求1所述的行为异常检测方法，其特征在于，

在计算所述行为数据对应的异常分数之前，进一步包括：根据所述行为数据包括的异常因子，从至少两个所述行为异常网络模型中，确定待使用的所述异常网络模型。

6.根据权利要求4所述的行为异常检测方法，其特征在于，计算所述行为数据对应的异常分数的步骤，包括：

针对每一段所述关联关系，执行：

利用每一个所述父节点对应的发生率，计算所述父节点的每一种状态值的组合对应的组合概率；

根据所述组合概率和所述关联关系的条件概率，计算所述关联关系的组合因子或行为异常的异常分数。

7.根据权利要求6所述的行为异常检测方法，其特征在于，根据所述组合概率和所述关联关系的条件概率，计算所述关联关系的组合因子或行为异常的异常分数的步骤，包括：根据所计算的组合概率的最大值在关联关系中对应配置的条件概率，计算关联关系的组合因子或行为异常的异常分数。

8.根据权利要求6所述的行为异常检测方法，其特征在于，根据所述组合概率和所述关联关系的条件概率，计算所述关联关系的组合因子或行为异常的异常分数的步骤，包括：如果所述行为数据指示了预定义的异常因子发生，则根据所述预定义的异常因子在所述关联关系中对应配置的条件概率，计算所述关联关系的组合因子或行为异常的异常分数。

9.根据权利要求6所述的行为异常检测方法，其特征在于，根据所述组合概率和所述关联关系的条件概率，计算所述关联关系的组合因子或行为异常的异常分数的步骤，包括：

根据所计算的组合概率和所述组合概率在所述关联关系中对应配置的条件概率的乘积之和，计算所述关联关系的组合因子或行为异常的异常分数。

10.根据权利要求1所述的行为异常检测方法，其特征在于，所述异常因子检测方式，包括：

基于规则的异常因子检测方式、基于行为基线的异常因子检测方式以及基于机器学习的异常因子检测方式中的任意一种或多种。