一种用户异常行为检测方法、装置、设备及存储介质制造方法及图纸

本发明专利技术涉及一种用户异常行为检测方法、装置、设备及存储介质。其中用户异常行为检测方法，包括：采集用户当前操作行为进行聚合形成用户当前行为的测试矩阵；将所述测试矩阵输入训练后的卷积神经网络模型中判断用户类型，若用户类型与预设置的用户群体类型不符，则判断用户当前操作行为存在异常；其中，训练后的卷积神经网络模型为将采集用户的历史正常操作行为聚合形成的行为特征矩阵输入卷积神经网络模型训练所得。本发明专利技术公开的方法将多种操作行为进行聚合形成行为特征矩阵；使用深度学习进行特征提取；基于用户群体正常行为特征矩阵对卷积神经网络模型进行训练，对用户当前行为进行检测，提高了用户异常操作行为检测的效率和准确率。

【技术实现步骤摘要】
一种用户异常行为检测方法、装置、设备及存储介质
本专利技术涉及数据挖掘
，尤其涉及基于卷积神经网络的用户异常行为检测，具体涉及一种用户异常行为检测方法、装置、设备及存储介质。
技术介绍
目前用户异常行为检测通常是基于用户的单一行为进行分析，不能很好地反映出现实中用户一系列真实行为的性质。现有的用户异常行为检测在实际应用过程中会产生大量的假报警，导致调查人员花费过多的调查时间，同时也不能较好地覆盖真正的异常事件。另一方面，现有的用户异常行为检测大部分都需要人工提取用户行为的特征，特征提取难度较大；而且检测的细粒度不够，未能较好地考虑用户自身行为以及用户所在群体的行为。因此，目前迫切需要研究出一种新型的基于卷积神经网络的用户异常行为检测方法。通过这种新型的检测方法，改善或解决上述现有技术中存在的问题，即解决基于用户单一行为进行检测很容易出现误报的情况，难于提取用户行为特征及未能考虑用户群体行为的问题。通过这种新型用户异常行为检测方法能够提高异常行为检测的效率和准确率。
技术实现思路
为了解决上述现有技术中存在的问题，本专利技术的目的在于提供一种用户异常行为检测方法、装置、设备及存储介质本文档来自技高网...

【技术保护点】
1.一种用户异常行为检测方法，其特征在于，包括：采集用户当前操作行为进行聚合形成用户当前行为的测试矩阵；将所述测试矩阵输入训练后的卷积神经网络模型中判断用户类型，若用户类型与预设置的用户群体类型不符，则判断用户当前操作行为存在异常；其中，训练后的卷积神经网络模型为将采集用户的历史正常操作行为聚合形成的行为特征矩阵输入卷积神经网络模型训练所得。

【技术特征摘要】
1.一种用户异常行为检测方法，其特征在于，包括：采集用户当前操作行为进行聚合形成用户当前行为的测试矩阵；将所述测试矩阵输入训练后的卷积神经网络模型中判断用户类型，若用户类型与预设置的用户群体类型不符，则判断用户当前操作行为存在异常；其中，训练后的卷积神经网络模型为将采集用户的历史正常操作行为聚合形成的行为特征矩阵输入卷积神经网络模型训练所得。2.根据权利要求1所述的用户异常行为检测方法，其特征在于，所述操作行为包括登录行为、查询行为、数据外发行为中的至少一项。3.根据权利要求2所述的用户异常行为检测方法，其特征在于，所述数据外发行为包括邮件外发行为和/或移动存储设备数据拷出行为。4.根据权利要求1所述的用户异常行为检测方法，其特征在于，用户行为的测试矩阵或行为特征矩阵的获取，包括：分别统计预设周期内用户当前操作行为或历史正常操作行为出现的次数；根据所述操作行为的次数得到各操作行为各自在所述预设周期内的出现概率；根据操作行为的次数及各操作行为各自在所述预设周期内的出现概率确定各操作行为的维数，并形成用户当前测试矩阵或行为特征矩阵。5.根据权利要求1所述的用户异常行为检测方法，其特征在于，所述卷积神经网络模型包括输入层-卷积层-池化层-卷积层-池化层-卷积层-池化层-全连接层-softmax层。6.根据权利要求5所述的用户异常行为检测方法，其特征在于，所述卷积神经网络模型的输入矩阵的行数与操作行为的项数相同，所述卷积神经网络模型的输入矩阵的列数与预设周期的个数相同，所述卷积神经网络的输出节点与预设置的用户群体类型个数相同。7.根据权利要求1所述的用户异常行为检测方法，其特征在于，所述用户异常行为检测方法还包括：根据用户所在群体的特性将用户聚类成M个用户群体类型。8.一种用户异常行为检测装置，其特征在于，包括：采集单元，配置用于采集用户当前操作行为进行聚合形成用户当前的测试矩阵；检测单元，配置用于将所述测试矩阵输入训练后的卷积神经网络模型中判断...

【专利技术属性】
技术研发人员：罗剑江，黄丽诗，胡泽柱，
申请(专利权)人：顺丰科技有限公司，
类型：发明
国别省市：广东,44