异常用户检测方法、装置、电子设备及存储介质制造方法及图纸

本发明专利技术涉及信息安全技术领域，提供了一种异常用户检测方法、装置、电子设备及存储介质，该方法包括获取当前日志数据；将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，无监督机器学习集成模型包括至少一个子模型；根据第一异常用户集和第二异常用户集，确定异常用户。采用本发明专利技术的异常用户检测方法，操作简单，能够高效的检测异常用户，可靠性强，同时准确率高。同时准确率高。同时准确率高。

【技术实现步骤摘要】
异常用户检测方法、装置、电子设备及存储介质


[0001]本专利技术一般涉及信息安全
，具体涉及一种异常用户检测方法、装置、电子设备及存储介质。

技术介绍

[0002]现代社会，互联网技术已深入到人们生活的方方面面，并呈现出用户数量庞大和使用目的繁杂等特点，因此对异常用户进行有效检测便迫在眉睫。
[0003]常见的例如，公开号为CN101990003B的中国专利技术专利，提出一种基于IP地址属性的用户行为监控系统与方法，通过离线技术数据获取模块、在线数据实时分析模块、数据中心和分析模块协同工作完成用户行为的监控。
[0004]目前相关技术通过有监督的机器学习来检测异常用户，但这种方式在数据量大的情况下运算复杂度高，并且不稳定，具有局限性。

技术实现思路

[0005]鉴于相关技术中的上述缺陷或不足，期望提供一种异常用户检测方法、装置、电子设备及存储介质，能够高效的检测异常用户，同时准确率高。
[0006]第一方面，本专利技术提供一种异常用户检测方法，该方法包括：获取当前日志数据；将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，无监督机器学习集成模型包括至少一个子模型；根据第一异常用户集和第二异常用户集，确定异常用户。
[0007]可选的，在本专利技术一些实施例中，将当前日志数据通过无监督机器学习集成模型输出第一异常用户集，包括：分别向每个子模型输入当前日志数据，获得子模型对应的子异常用户；计算各子模型对应的子异常用户的并集，作为第一异常用户集。
[0008]可选的，在本专利技术一些实施例中，无监督机器学习集成模型通过如下方式得到：获取不同日期的历史日志数据；根据历史日志数据对各子模型进行训练和测试，并统计各子模型的异常检出次数；计算各子模型的异常检出次数在总异常检出次数中的占比，获得子模型对应的权重。
[0009]可选的，在本专利技术一些实施例中，子模型包括孤立森林模型、局部异常因子模型和单类支持向量机模型中的至少一种。
[0010]可选的，在本专利技术一些实施例中，将当前日志数据通过基于规则的统计分析输出第二异常用户集，包括：
分别统计当前日志数据在每个特征维度上的均值和标准差；筛选各特征维度上超过均值
±
2倍标准差对应的用户，形成第二异常用户集。
[0011]可选的，在本专利技术一些实施例中，将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集之前，该方法还包括：对当前日志数据进行预处理，预处理包括结构化处理和特征工程化处理。
[0012]可选的，在本专利技术一些实施例中，该方法还包括：定位异常用户所处特征维度；计算特征维度上正常用户的密集度，以及异常用户到正常用户群体中心的欧氏距离；根据密集度和欧氏距离，获得异常用户的异常程度。
[0013]第二方面，本专利技术提供一种异常用户检测装置，该装置包括：获取模块，用于获取当前日志数据；输出模块，用于将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，无监督机器学习集成模型包括至少一个子模型；确定模块，用于根据第一异常用户集和第二异常用户集，确定异常用户。
[0014]第三方面，本专利技术提供一种电子设备，电子设备包括处理器和存储器，存储器中存储有至少一段程序、代码集或指令集，该程序、代码集或指令集由处理器加载并执行以实现第一方面中描述的异常用户检测方法的步骤。
[0015]第四方面，本专利技术提供一种计算机可读存储介质，该计算机可读存储介质存储有一个或者多个程序，一个或者多个程序可被一个或者多个处理器执行，以实现第一方面中描述的异常用户检测方法的步骤。
[0016]从以上技术方案可以看出，本专利技术实施例具有以下优点：本专利技术实施例提供了一种异常用户检测方法、装置、电子设备及存储介质，通过无监督机器学习集成模型检测当前日志数据，输出第一异常用户集，并结合基于规则的统计分析输出的第二异常用户集进行验证，从而根据第一异常用户集和第二异常用户集来确定最终的异常用户，操作简单，能够高效的检测异常用户，可靠性强，同时准确率高。
附图说明
[0017]通过阅读参照以下附图所作的对非限制性实施例的详细描述，本专利技术的其它特征、目的和优点将会变得更明显：图1为本专利技术实施例提供的一种异常用户检测方法的流程示意图；图2为本专利技术实施例提供的一种异常用户检测方法的示例；图3为本专利技术实施例提供的一种特征取值分布示意图；图4为本专利技术实施例提供的一种异常用户检测装置的结构示意图；图5为本专利技术实施例提供的另一种异常用户检测装置的结构示意图；图6为本专利技术实施例提供的又一种异常用户检测装置的结构示意图；图7为本专利技术实施例提供的再一种异常用户检测装置的结构示意图；
图8为本专利技术另一实施例提供的一种异常用户检测装置的结构示意图。
具体实施方式
[0018]为了使本
的人员更好的理解本专利技术方案，下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本专利技术保护的范围。
[0019]本专利技术的说明书和权利要求书及上述附图中的术语“第一”“第二”“第三”“第四”等（如果存在）是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便描述的本专利技术的实施例能够以除了在这里图示或描述的那些以外的顺序实施。
[0020]此外，术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或模块的过程、方法、系统、产品或设备不必限于清楚的列出的那些步骤或模块，而是可包括没有清楚的列出的或对于这些过程、方法、产品或设备固有的其它步骤或模块。
[0021]需要说明的是，在不冲突的情况下，本专利技术中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本专利技术。
[0022]为便于更好的理解本专利技术，下面通过图1至图8详细的阐述本专利技术实施例提供的异常用户检测方法、装置、电子设备及存储介质。
[0023]请参考图1，其为本专利技术实施例提供的一种异常用户检测方法的流程示意图，该方法包括以下步骤：S101，获取当前日志数据。
[0024]示例性的，本专利技术实施例可以在虚拟专用网（Virtual Private Network，VPN）日志收集器中获取当前时间往前追溯24小时内的所有VPN日志数据，并按照时间排序。其中，日志数据的时间范围也可以根据具体业务需求进行适当调整。
[0025]S102，将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，其中无监督机器学习集成模型包括至少一本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种异常用户检测方法，其特征在于，所述异常用户检测方法包括：获取当前日志数据；将所述当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，所述无监督机器学习集成模型包括至少一个子模型；根据所述第一异常用户集和所述第二异常用户集，确定异常用户。2.根据权利要求1所述的异常用户检测方法，其特征在于，所述将所述当前日志数据通过无监督机器学习集成模型输出第一异常用户集，包括：分别向每个所述子模型输入所述当前日志数据，获得所述子模型对应的子异常用户；计算各所述子模型对应的子异常用户的并集，作为所述第一异常用户集。3.根据权利要求1所述的异常用户检测方法，其特征在于，所述无监督机器学习集成模型通过如下方式得到：获取不同日期的历史日志数据；根据所述历史日志数据对各所述子模型进行训练和测试，并统计各所述子模型的异常检出次数；计算各所述子模型的异常检出次数在总异常检出次数中的占比，获得所述子模型对应的权重。4.根据权利要求1至3中任意一项所述的异常用户检测方法，其特征在于，所述子模型包括孤立森林模型、局部异常因子模型和单类支持向量机模型中的至少一种。5.根据权利要求4所述的异常用户检测方法，其特征在于，所述将所述当前日志数据通过基于规则的统计分析输出第二异常用户集，包括：分别统计所述当前日志数据在每个特征维度上的均值和标准差；筛选各所述特征维度上超过所述均值
±
2倍所述标准差对应的用户，形成所述第...

【专利技术属性】
技术研发人员：郭振涛，梁金千，崔培升，
申请(专利权)人：北京亿赛通科技发展有限责任公司，
类型：发明
国别省市：