[发明专利]针对离群动作检测云用户的行为异常

权利要求书

1.一种检测云环境中异常用户行为的方法，所述方法包括：

接收在云环境中在当前时间间隔期间采取的动作的计数；

确定所述动作的所述计数是否比跨对等组采取所述动作的先前时间的统计表征大超过阈值量；

确定所述动作是否表示离群点；以及

基于确定所述动作是否表示离群点来生成警告。

2.如权利要求1所述的方法，其中在所述当前时间间隔期间采取的所述动作的所述计数包括由单个用户执行的单个动作类型的计数。

3.如权利要求1所述的方法，其中在所述当前时间间隔期间采取的所述动作的所述计数包括对单个资源执行的单个动作类型的计数。

4.如权利要求1所述的方法，还包括通过从在所述当前时间间隔期间记录的动作日志聚合单个用户的或对单个资源的动作，生成在所述当前时间间隔期间采取的所述动作的所述计数。

5.如权利要求1所述的方法，其中所述阈值量包括高于跨所述对等组采取所述动作的所述先前时间的统计表征的预定数量的标准偏差。

6.如权利要求1所述的方法，其中确定所述动作的所述计数是否大超过阈值量包括：

将所述动作的所述计数和所述动作的类型提供给神经网络；以及

从所述神经网络接收指示所述动作是否表示离群点的输出。

7.如权利要求6所述的方法，其中使用所述动作的所述计数、所述动作的所述类型和对所述警告的响应来训练所述神经网络。

8.一种非暂时性计算机可读介质，包括指令，所述指令当由一个或多个处理器执行时，使所述一个或多个处理器执行包括以下各项的操作：

接收在云环境中在当前时间间隔期间采取的动作的计数；

确定所述动作的所述计数是否比跨对等组采取所述动作的先前时间的统计表征大超过阈值量；

确定所述动作是否表示离群点；以及

基于确定所述动作是否表示离群点来生成警告。

9.如权利要求8所述的非暂时性计算机可读介质，其中所述操作还包括：

计算表示在所述云环境中在多个先前时间间隔期间采取的动作的第一向量；

计算第一向量和第二向量之间的相似性，所述第二向量包括在当前时间间隔期间采取的动作的计数，其中第二向量还包括所述动作的所述计数；

将所述相似性与基线阈值进行比较，以确定一个或多个异常动作是否已经发生；以及

至少部分地基于确定所述一个或多个异常动作已经在所述云环境中发生来生成警告。

10.如权利要求9所述的非暂时性计算机可读介质，其中使用余弦相似性来计算所述相似性。

11.如权利要求9所述的非暂时性计算机可读介质，其中第一向量中的每个条目包括所述多个先前时间间隔期间的平均事件分数。

12.如权利要求9所述的非暂时性计算机可读介质，其中所述多个先前时间间隔中的每一个包括一天。

13.如权利要求9所述的非暂时性计算机可读介质，其中所述多个先前时间间隔包括天的滑动窗口，其中所述天的滑动窗口将所述当前时间间隔添加到所述天的滑动窗口并且在每个时间间隔后从所述天的滑动窗口中移除最远的时间间隔。

14.如权利要求9所述的非暂时性计算机可读介质，其中通过存储所述多个先前时间间隔中的每一个时间间隔的事件计数的直方图，第一向量表示在所述多个先前时间间隔期间采取的动作。