[发明专利]一种异常用户行为审计方法和装置

说明书

本发明公开了一种异常用户行为审计方法和装置，用于解决传统的异常检测方法误报率高的技术问题。本发明包括：获取用户数据，根据所述用户数据构建多个用户分别对应的多个用户行为序列；计算每两个所述用户的用户行为序列之间的相似度；根据所述相似度计算相对应的两个所述用户之间的相关系数；根据所述相关系数计算稳定范围；根据所述相关系数与所述稳定范围，确定疑似异常行为序列和正常行为序列；基于所述疑似异常行为序列与所述正常行为序列之间的相似度，在所述疑似异常行为序列中确定异常行为序列。提高了对异常行为的检测准确率。

技术领域

本发明涉及异常行为分析技术领域，尤其涉及一种异常用户行为审计方法和装置。

背景技术

随着互联网的普及程度越来越高，网民的人数呈现爆炸性的增长，网络用户行为呈现出它的复杂性和多样性，恰当的对网络用户行为进行分析、管理和预警，是需要解决的问题。

当下虽然大部分组织己建立起相对稳定的信息网络安全保护机制，同时确认的安全事件数量相对往年略有减少，但其性质和后果却愈发严重，并持续演变为新的威胁。面对如此复杂严峻的形式，设计安全措施防范网络安全事件的发生是当前网络安全领域一个十分迫切的问题。但要想完全避免安全事件发生是不现实的，只能尽可能去发现网络异常或入侵企图，便采取有效举措进行处理和防范，这样的研究称为网络异常检测。

现有的网络异常检测技术根据研究对象和应用场景可分为两类:基于主机和基于网络。基于主机的异常检测大多针对主机日志、操作命令等进行分析，存在交互性不够、难在线检测的问题。在基于网络的异常检测方面，卡迈基梅隆大学的R.A.Maxion于1990年首次提出针对网络数据流的异常检测，将网络行为分为“正常”和“异常”两类；符合规范的网络行为定性为正常行为，而与正常行为偏离较大的行为定性为异常行为。但传统的基于网络流统计分析的异常检测方法存在误报率较高的问题。

发明内容

本发明提供了一种异常用户行为审计方法，用于解决传统的异常检测方法误报率高的技术问题。

一方面，本发明提供的一种异常用户行为审计方法，包括：

获取用户数据，根据所述用户数据构建多个用户分别对应的多个用户行为序列；

计算每两个所述用户的用户行为序列之间的相似度；

根据所述相似度计算相对应的两个所述用户之间的相关系数；

根据所述相关系数计算稳定范围；

根据所述相关系数与所述稳定范围，确定疑似异常行为序列和正常行为序列；

基于所述疑似异常行为序列与所述正常行为序列之间的相似度，在所述疑似异常行为序列中确定异常行为序列。

可选地，所述计算每两个所述用户行为序列之间的相似度的步骤，包括：

计算每两个所述用户行为序列之间的最长公共子序列；

计算所述最长公共子序列的第一长度；

计算所述最长公共子序列对应的两个所述用户行为序列的并集，并计算所述并集的第二长度；

分别计算每个所述最长公共子序列的所述第一长度与对应的所述第二长度的差，得到每两个所述用户的用户行为序列之间的相似度。

可选地，所述根据所述相似度计算相对应的两个所述用户之间的相关系数的步骤，包括：

根据每两个所述用户分别对应的多个用户行为序列之间的相似度，计算平均相似度；

求取所述平均相似度与所述相似度的商，确定相对应的两个所述用户之间的相关系数。

可选地，所述根据所述相关系数计算稳定范围的步骤，包括：