[发明专利]一种异常用户行为检测方法和装置

权利要求书

1.一种异常用户行为检测方法，其特征在于，包括：

获取待检测用户的待检测数据和历史数据；其中，所述待检测用户的待检测数据和历史数据均包括用户行为数据，所述用户行为数据包括各软件的使用次数，所述历史数据为在所述待检测数据产生的时间点之前的预设时长的数据；

根据所述待检测用户的待检测数据和历史数据包括的各软件的使用次数，判断所述待检测用户的角色类型是否发生变化；

根据所述待检测用户的待检测数据和历史数据包括的用户行为数据，判断所述待检测用户的行为类型是否发生变化；

如果所述待检测用户的角色类型和行为类型均发生变化，则将所述待检测用户确定为异常用户。

2.根据权利要求1所述的方法，其特征在于，所述根据所述待检测用户的待检测数据和历史数据包括的各软件的使用次数，判断所述待检测用户的角色类型是否发生变化，包括：

将所述待检测用户的历史数据包括的各软件的使用次数作为输入，输入到预先构建好的角色分类模型中，输出第一角色类型；

将所述待检测用户的待检测数据包括的各软件的使用次数作为输入，输入到预先构建好的角色分类模型中，输出第二角色类型；

根据输出的第一角色类型和第二角色类型，判断所述待检测用户的角色类型是否发生变化。

3.根据权利要求2所述的方法，其特征在于，所述角色分类模型是通过如下方式进行构建的：

获取多个用户的用户数据；其中，每一个用户的用户数据包括该用户的用户身份信息、软件信息和用户行为数据，该用户的用户行为数据包括该用户针对各软件的使用次数；

针对每一个用户，根据该用户的用户数据包括的用户身份信息、软件信息和各软件的使用次数，确定该用户的用户软件矩阵；

对确定的各用户的用户软件矩阵进行聚类处理，得到聚类数目和多个聚类中心集合；其中，所述聚类数目大于两个，每一个聚类中心集合包括多个用户；

根据各用户的用户数据包括的各软件的使用次数，确定每一个聚类中心集合的角色类型，以构建出角色分类模型；其中，所述角色类型的数目等于所述聚类数目。

4.根据权利要求3所述的方法，其特征在于，所述对确定的各用户的用户软件矩阵进行聚类处理，包括：

利用多目标进化模糊聚类算法，对确定的各用户的用户软件矩阵进行聚类处理。

5.根据权利要求1所述的方法，其特征在于，所述根据所述待检测用户的待检测数据和历史数据包括的用户行为数据，判断所述待检测用户的行为类型是否发生变化，包括：

按照预设的时间间隔对所述待检测用户的历史数据包括的用户行为数据进行划分，得到多个短序列；

对得到的多个短序列进行聚类处理并按照时间顺序排列，得到用户行为序列；

将得到的用户行为序列作为输入，输入到预先构建好的行为预测模型中，输出预测行为类型和该预测行为类型的概率；

对所述待检测用户的待检测数据包括的用户行为数据进行分析，确定所述待检测用户的待检测数据对应的实际行为类型和该实际行为类型的概率；

根据预测行为类型的概率和实际行为类型的概率之差与预设的概率差值，判断所述待检测用户的行为类型是否发生变化。

6.根据权利要求5所述的方法，其特征在于，所述行为预测模型是通过如下方式进行构建的：

获取多个用户的第一用户数据；其中，每一个用户的第一用户数据包括该用户的位于第一时间段内的用户行为数据；

针对每一个用户，均执行如下操作：按照预设的时间间隔对该用户的第一用户数据包括的用户行为数据进行划分，得到多个短序列；对得到的多个短序列进行聚类处理并按照时间顺序排列，得到用户行为序列；对得到的用户行为序列中的每一类别的短序列进行行为类型映射，得到用户业务行为序列；

将各用户的用户业务行为序列作为输入，输入到基于粒子群算法的GRU模型中进行训练，以构建出行为预测模型。