[发明专利]行为特征提取方法以及行为特征提取装置

说明书

本公开关于一种行为特征提取方法以及行为特征提取装置，包括：对内网机的行为日志数据进行异构图数据结构处理，获得目标异构图；基于第一节点特征集和第一元路径集获取第一元路径特定节点特征集；将第一元路径特定节点特征集输入第一注意力模块，获得目标异构图的第一节点表示；将目标异构图的第一节点表示输入全局表示编码器，获得全局摘要向量；将第二元路径特定节点特征集输入第二注意力模块，获得目标异构图的第二节点表示；将第一互信息输入正样本鉴别器，并将第二互信息输入负样本鉴别器，获得内网机的行为日志数据对应的人员行为特征。

技术领域

本公开涉及神经网络技术领域，更具体地说，涉及一种行为特征提取方法以及行为特征提取装置。

背景技术

随着信息技术的发展和网络化应用的普遍推广，在局域网络的内网机的管理中容易发生因为人员操作不当造成内部信息泄露的情况。针对局域网络中的相关人员操作内网机的行为日志数据，可以使用图神经网络对这种非欧几里得数据进行特征挖掘，用来分析内网机操作人员的异常操作，能够在一定程度上降低内部信息泄漏的风险。

内网机的日志数据可能包含多种类型，对其使用图结构进行存储时会产生多种类型的节点和边。现有技术中，通过内网机的日志数据进行人员行为特征提取时，所采用的图神经网络多为同构图神经网络，无法有效的利用不同节点间的属性信息以及不同节点通过连接所传递出的语义信息，导致提取出的人员行为特征与实际人员行为特征偏差较大。

发明内容

本公开提供一种行为特征提取方法以及行为特征提取装置，以至少解决上述相关技术中，通过内网机的日志数据进行人员行为特征提取时，所采用的图神经网络多为同构图神经网络，无法有效的利用不同节点间的属性信息以及不同节点通过连接所传递出的语义信息，导致提取出的人员行为特征与实际人员行为特征偏差较大的技术问题。

根据本公开实施例的第一方面，提供一种行为特征提取方法，包括：获取内网机的行为日志数据；对所述内网机的行为日志数据进行异构图数据结构处理，获得目标异构图，所述目标异构图包含多个节点，所述多个节点中每个节点对应有原始特征，所述多个节点中不同类型的节点之间形成第一元路径；基于第一节点特征集和第一元路径集获取第一元路径特定节点特征集，其中，所述第一节点特征集包含所述多个节点中每个节点对应的原始特征，所述第一元路径集包含多个所述第一元路径，所述第一元路径特定节点特征集包含所述多个节点中每个节点对应的第一特定特征；将所述第一元路径特定节点特征集输入第一注意力模块，获得所述目标异构图的第一节点表示；将所述目标异构图的第一节点表示输入全局表示编码器，获得全局摘要向量；将所述第一节点特征集以及所述第一元路径集输入负样本生成器，获得第二节点特征集以及第二元路径集；基于所述第二节点特征集以及所述第二元路径集获取第二元路径特定节点特征集，其中，所述第二元路径特定节点特征集包含所述多个节点中每个节点对应的第二特定特征；将所述第二元路径特定节点特征集输入第二注意力模块，获得所述目标异构图的第二节点表示；利用第一训练鉴别器最大化所述目标异构图的第一节点表示以及所述全局摘要向量之间的互信息，获得最大化处理后的第一互信息；利用第二训练鉴别器最大化所述目标异构图的第二节点表示以及所述全局摘要向量之间的互信息，获得最大化处理后的第二互信息；将所述第一互信息输入正样本鉴别器，并将所述第二互信息输入负样本鉴别器，获得所述内网机的行为日志数据对应的人员行为特征。

可选地，所述基于第一节点特征集和第一元路径集获取第一元路径特定节点特征集，包括：

通过以下公式获取所述第一元路径特定节点特征集：

其中，为所述第一元路径特定节点特征集中的第i个节点对应的第一特定特征，为第一节点级的编码器，为所述第一节点特征集中第i个节点的原始特征，为所述第一元路径集中第i个第一元路径对应的邻接矩阵，，n为所述多个节点的数量。

可选地，所述将所述第一元路径特定节点特征集输入第一注意力模块，获得所述目标异构图的第一节点表示，包括：