[发明专利]异常行为检测方法、装置、设备和存储介质

权利要求书

1.一种异常行为检测方法，其特征在于，包括：

根据第一级行为安全基线的第一参数和第一行为数据，获取第一级行为安全基线；所述第一参数包括用于生成所述第一级行为安全基线的参数；

根据第二级行为安全基线的第二参数和所述第一级行为安全基线，获取第二级行为安全基线；所述第二参数包括用于生成所述第二级行为安全基线的参数；

根据所述第二级行为安全基线对第二行为数据进行异常行为检测。

2.根据权利要求1所述的异常行为检测方法，其特征在于，所述根据第一级行为安全基线的第一参数和第一行为数据，获取第一级行为安全基线，包括：

根据所述第一参数中包括的第一周期长度和所述第一行为数据中包括的行为发生的时间戳，确定所述第一级行为安全基线的第一生成周期；所述第一生成周期是由所述第一生成周期的周期开始时间和周期结束时间确定的；

根据所述第一参数中包括的第一数据处理方式和所述第一生成周期，对所述第一行为数据进行处理，得到所述第一级行为安全基线。

3.根据权利要求2所述的异常行为检测方法，其特征在于，所述根据所述第一参数中包括的第一周期长度和所述第一行为数据中包括的行为发生的时间戳，确定所述第一级行为安全基线的第一生成周期，包括：

根据所述第一行为数据中包括的行为发生的时间戳以及所述第一周期长度，确定所述第一生成周期的周期开始时间；

若所述周期开始时间满足第一条件，则根据所述周期开始时间以及所述第一周期长度，确定所述第一生成周期的周期结束时间；所述第一条件为所述周期开始时间晚于所述行为发生的时间戳减去所述第一周期长度。

4.根据权利要求3所述的异常行为检测方法，其特征在于，所述第一生成周期的数量为多个，所述确定所述第一生成周期的周期结束时间之后，还包括：

步骤a1、根据所述第一参数中包括的第一迭代步长，更新所述第一生成周期的周期开始时间；

步骤b1、若更新后的所述周期开始时间满足所述第一条件，则根据更新后的所述周期开始时间以及所述第一周期长度，确定所述第一生成周期的周期结束时间；重复执行上述步骤a1和步骤b1，直至所述周期开始时间不满足所述第一条件。

5.根据权利要求1-4任一项所述的异常行为检测方法，其特征在于，所述根据第二级行为安全基线的第二参数和所述第一级行为安全基线，获取第二级行为安全基线，包括：

根据所述第二参数中包括的第二周期长度和第一级行为安全基线的时间戳，确定所述第二级行为安全基线的第二生成周期；

根据所述第二生成周期和第二数据处理方式，对所述第一级行为安全基线进行处理，得到第二级行为安全基线。

6.根据权利要求5所述的异常行为检测方法，其特征在于，所述根据所述第二参数中包括的第二周期长度和第一级行为安全基线的时间戳，确定所述第二级行为安全基线的第二生成周期，包括：

根据所述第一级行为安全基线的时间戳以及所述第二周期长度，确定所述第二生成周期的周期开始时间；

若所述周期开始时间满足第二条件，则根据所述周期开始时间以及所述第二周期长度，确定所述第二生成周期的周期结束时间；所述第二条件为所述周期开始时间晚于所述第一级行为安全基线的时间戳减去所述第二周期长度。

7.根据权利要求6所述的异常行为检测方法，其特征在于，所述第二生成周期的数量为多个，所述确定所述第二生成周期的周期结束时间之后，还包括：

步骤a2、根据所述第二参数中包括的第二迭代步长，更新所述第二生成周期的周期开始时间；

步骤b2、若更新后的所述周期开始时间满足所述第二条件，则根据更新后的所述周期开始时间以及所述第二周期长度，确定所述第二生成周期的周期结束时间；重复执行上述步骤a2和步骤b2，直至所述周期开始时间不满足所述第二条件。