[发明专利]异常行为检测方法和装置

权利要求书

1.一种异常行为检测方法，其特征在于，该方法包括：

威胁感知平台获取前端代码采集的web页面上发生的用户操作事件信息；

对各web页面上发生的用户操作事件信息进行以下异常分析中的至少一种，以识别出web页面上是否存在异常操作行为：

分析web页面上发生的用户操作事件是否存在缺失；

分析web页面上发生的用户操作事件数量是否异常；

分析web页面上发生的用户操作事件频率是否异常。

2.根据权利要求1所述的方法，其特征在于，所述前端代码包括：web页面中嵌入的脚本JS代码、移动应用中嵌入的代码或者桌面客户端中嵌入的代码；

所述操作事件信息包括：鼠标键盘事件信息、触屏事件信息或运动传感器事件信息。

3.根据权利要求1所述的方法，其特征在于，所述分析web页面上发生的用户操作事件是否存在缺失包括：

若web页面上触发网络请求时没有用户操作事件的发生，则识别出该web页面上存在异常操作行为；或者，

若web页面上触发网络请求时发生的用户操作事件与该网络请求对应的正确操作事件不符，则识别出该web页面上存在异常操作行为。

4.根据权利要求1所述的方法，其特征在于，所述分析web页面上发生的用户操作事件数量是否异常包括：

若web页面上发生的用户操作事件数量小于该web页面的正常操作事件数量，则识别出该web页面上存在异常操作行为。

5.根据权利要求1所述的方法，其特征在于，所述分析web页面上发生的用户操作事件频率是否异常包括：

若web页面上发生的用户操作事件频率高于预设的第一频率阈值，则识别出该web页面上存在异常操作行为；或者，

若连续web页面构成的浏览路径中，触发页面跳转的用户操作事件频率高于预设的第二频率阈值，则识别出所述连续web页面上存在异常操作行为；或者，

若在web页面上发生触屏事件时运动传感器采集的振动频率低于预设的第三频率阈值，则识别出该web页面上存在异常操作行为；或者，

若在web页面上发生的用户操作事件频率呈现出已知的非随机分布，则识别出该web页面上存在异常操作行为；或者，

若同一用户标识、应用标识或设备标识对应的多个web页面上发生的用户操作事件频率呈现出一致的规律，则识别出所述多个web页面上存在异常操作行为。

6.根据权利要求1至5中任一项所述的方法，其特征在于，该方法还包括：

统计同一用户标识、应用标识或设备标识对应的存在异常操作行为的web页面的状况；

依据统计出的状况，确定存在异常的用户标识、应用标识或设备标识。

7.一种异常行为检测装置，其特征在于，该装置包括：

获取单元，用于获取前端代码采集的web页面上发生的用户操作事件信息；

分析单元，用于对各web页面上发生的用户操作事件信息进行以下异常分析中的至少一种，以识别出web页面上是否存在异常操作行为：

分析web页面上发生的用户操作事件是否存在缺失；

分析web页面上发生的用户操作事件数量是否异常；

分析web页面上发生的用户操作事件频率是否异常。

8.根据权利要求7所述的装置，其特征在于，所述前端代码包括：web页面中嵌入的脚本JS代码、移动应用中嵌入的代码或者桌面客户端中嵌入的代码；

所述操作事件信息包括：鼠标键盘事件信息、触屏事件信息或运动传感器事件信息。

9.根据权利要求7所述的装置，其特征在于，所述分析单元在分析web页面上发生的用户操作事件是否存在缺失时，具体执行：

若web页面上触发网络请求时没有用户操作事件的发生，则识别出该web页面上存在异常操作行为；或者，

若web页面上触发网络请求时发生的用户操作事件与该网络请求对应的正确操作事件不符，则识别出该web页面上存在异常操作行为。