[发明专利]一种基于大数据分析的威胁行为分析方法及服务器

权利要求书

1.一种基于大数据分析的威胁行为分析方法，其特征在于，应用于大数据分析服务器，该方法至少包括：

确定疑似风险会话二元组，所述疑似风险会话二元组涵盖第一待分析会话行为数据和第二待分析会话行为数据，所述第一待分析会话行为数据的行为热力评分大于所述第二待分析会话行为数据的行为热力评分；

通过所述第一待分析会话行为数据和所述第二待分析会话行为数据，确定完成更新的第二待分析会话行为数据，所述完成更新的第二待分析会话行为数据的注意力约束条件与所述第二待分析会话行为数据的注意力约束条件一致，所述完成更新的第二待分析会话行为数据的行为热力评分大于所述第二待分析会话行为数据的行为热力评分；

通过所述第一待分析会话行为数据和所述完成更新的第二待分析会话行为数据，确定所述第一待分析会话行为数据与所述完成更新的第二待分析会话行为数据之间的第一威胁行为识别结果；

其中，所述通过所述第一待分析会话行为数据和所述第二待分析会话行为数据，确定完成更新的第二待分析会话行为数据，包括：

对所述第一待分析会话行为数据和所述第二待分析会话行为数据进行第一关键行为内容挖掘操作，确定显性行为内容差异分布，所述显性行为内容差异分布涵盖所述第一待分析会话行为数据中的第一用户活动事件与所述第二待分析会话行为数据中的第二用户活动事件之间的第一显性比较结果，所述第一用户活动事件与所述第二用户活动事件为相同主题的用户活动事件；

将所述显性行为内容差异分布作为更新指示对所述第一待分析会话行为数据进行更新操作，确定所述完成更新的第二待分析会话行为数据；

其中，所述将所述显性行为内容差异分布作为更新指示对所述第一待分析会话行为数据进行更新操作，确定完成更新的第二待分析会话行为数据，包括：通过所述第一显性比较结果，确定显性威胁更新指示；借助所述显性威胁更新指示对所述第一用户活动事件进行更新操作，确定所述完成更新的第二待分析会话行为数据；

其中，所述通过所述第一待分析会话行为数据和所述完成更新的第二待分析会话行为数据，确定所述第一待分析会话行为数据与所述完成更新的第二待分析会话行为数据之间的第一威胁行为识别结果，包括：

分别对所述第一待分析会话行为数据和所述完成更新的第二待分析会话行为数据进行关键行为内容挖掘操作，确定所述第一待分析会话行为数据的第一关键行为内容和所述完成更新的第二待分析会话行为数据的第二关键行为内容；

通过所述第一关键行为内容和所述第二关键行为内容之间的共性特征，确定所述第一用户活动事件与所述第一用户活动事件在所述完成更新的第二待分析会话行为数据中的相同主题的用户活动事件之间的第二显性比较结果；

通过所述第二显性比较结果确定所述第一威胁行为识别结果；

其中，在通过所述第一关键行为内容和所述第二关键行为内容之间的共性特征，确定所述第一威胁行为识别结果之前，所述方法还包括以下其中一项：将所述第一关键行为内容中的关联用户活动事件集作为更新指示对所述第二关键行为内容中的关联用户活动事件集进行更新操作，确定所述第一关键行为内容和所述第二关键行为内容之间的共性特征；将所述第二关键行为内容中的关联用户活动事件集作为更新指示对所述第一关键行为内容中的关联用户活动事件集进行更新操作，确定所述第一关键行为内容和所述第二关键行为内容之间的共性特征；

其中：

所述行为热力评分包括会话行为数据的特征识别度、会话行为数据的数据纯度、会话行为数据的细节评价中的一项或者一项以上；

所述注意力约束条件为业务会话过程中的限定指标，包括会话行为数据的采集条件和采集侧重点；

所述关键行为内容挖掘操作为关键描述提取操作，或者为关键描述提取操作和关键描述翻译操作的整合，或者为特征提取操作。