异常用户行为检测方法技术

本发明专利技术涉及网络安全领域，公开了一种异常用户行为检测方法

【技术实现步骤摘要】
异常用户行为检测方法、装置、设备及存储介质


[0001]本专利技术涉及网络安全
，尤其涉及一种异常用户行为检测方法
、
装置
、
设备及存储介质
。

技术介绍

[0002]目前，随着互联网金融的发展，在基于互联网进行金融交易的过程中欺诈风险也逐步提升
。
为了维护金融体系的稳定，并保护交易双方的合法权益，金融反欺诈领域中，采取了多种不同异常检测手段以对欺诈用户进行识别
。
[0003]基于用户动作模式的异常检测是一个重要反诈手段，然而动作的识别通常是使用传统的如网络埋点数据分析或是简单分类的方式，因此需要与企业的业务进行绑定形成规则设置，泛化性较低，且所能识别动作偏向于粗粒度动作，需要在金融交易行为发生时才能进行识别，无法及时进行风险干预
。
[0004]上述内容仅用于辅助理解本专利技术的技术方案，并不代表承认上述内容是相关技术
。

技术实现思路

[0005]本专利技术的主要目的在于提供了一种异常用户行为检测方法
、
装置
、
设备及存储介质，旨在解决在金融反欺诈场景中由于传统方式中只能结合企业的业务与用户网络行为进行异常识别的规则设置，泛化性较低，对异常用户行为的识别不够及时有效的技术问题
。
[0006]为实现上述目的，本专利技术提供了一种异常用户行为检测方法，所述方法包括以下步骤：获取当前用户的前端传感数据；基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况
。
[0007]可选地，所述获取当前用户的前端传感数据，包括：获取所述当前用户的传感器采集数据；通过前端编码模型对所述当前用户的传感器采集数据进行特征提取，获得所述当前用户的传感行为嵌入特征；所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据之前，包括：获取所述当前会话时刻的网页行为；通过后端编码模型对所述当前会话时刻的网页行为进行特征提取，获得所述当前会话时刻的异常埋点嵌入特征；相应地，所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据，包括：
基于当前会话时刻，查询在所述当前会话时刻的异常埋点嵌入特征
。
[0008]可选地，所述获取当前用户的前端传感数据之前，包括：初始化待训练的前端编码模型，所述前端编码模型包括二维卷积层和图注意网络层；获取各传感器采集数据，并基于所述传感器采集数据对应的采集时间点建立时间图；通过各采集时间点对应的时间图对所述前端编码模型进行训练，获得经过训练的前端编码模型
。
[0009]可选地，所述获取当前用户的前端传感数据之前，包括：基于
Bert
模型初始化后端编码模型；获取网页的埋点流水日志，并结合异常标记样本，构建训练数据集；通过所述训练数据集对所述后端编码模型进行训练，获得经过训练的后端编码模型
。
[0010]可选地，所述获取当前用户的前端传感数据之前，包括：初始化二部图推理模型；分别获取所述前端编码模型和所述后端编码模型的训练输出数据，其中，所述前端编码模型的训练输出数据为传感行为嵌入特征，所述后端编码模型的训练输出数据为异常埋点嵌入特征；根据所述传感行为嵌入特征和所述异常埋点嵌入特征构建无向图；基于会话时刻确定所述无向图中的连接边关系，并根据所述连接边关系对所述二部图推理模型进行更新，获得预设二部图推理模型
。
[0011]可选地，所述将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵，包括：根据所述当前用户的传感行为嵌入特征和所述当前会话时刻的异常埋点嵌入特征确定待预测节点特征，并将所述待预测节点特征输入预设二部图推理模型；通过所述预设二部图推理模型对所述待预测节点特征进行节点匹配，获得邻接矩阵
。
[0012]可选地，所述根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况，包括：根据所述邻接矩阵判断所述传感行为嵌入特征与所述异常埋点嵌入特征是否存在连接边关系；若是，则判定所述当前用户的行为存在异常情况，生成排查预警信息
。
[0013]此外，为实现上述目的，本专利技术还提出一种异常用户行为检测装置，所述装置包括：数据获取模块，用于获取当前用户的前端传感数据；数据查询模块，用于基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；模型推理模块，用于将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；
Access Memory
，
RAM
），也可以是稳定的非易失性存储器（
Non
‑
Volatile Memory
，
NVM
），例如磁盘存储器
。
存储器
1005
可选的还可以是独立于前述处理器
1001
的存储装置
。
[0022]本领域技术人员可以理解，图1中示出的结构并不构成对异常用户行为检测设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置
。
[0023]如图1所示，作为一种存储介质的存储器
1005
中可以包括操作系统
、
网络通信模块
、
用户接口模块以及异常用户行为检测程序
。
[0024]在图1所示的异常用户行为检测设备中，网络接口
1004
主要用于与网络服务器进行数据通信；用户接口
1003
主要用于与用户进行数据交互；本专利技术异常用户行为检测设备中的处理器
1001、
存储器
1005
可以设置在异常用户行为检测设备中，所述异常用户行为检测设备通过处理器
1001
调用存储器
1005
中存储的异常用户行为检测程序，并执行本专利技术实施例提供的异常用户行为检测方法
。
[0025]本专利技术实施例提供了一种异常用户行为检测方法，参照图2，图2为本专利技术异常用户行为检测方法第一实施例的流程示意图
。
[0026]本实施例中，所述异常用户行为检测方法包括以下步骤：步骤
S10
：获取当前用户的前端传感数据
。
[0027]需要说明的是，本实施例方法可以是应用在金融反欺诈场景中，还可以是应用在其他需要进行异常用户行为检测的场景中
。
本实施例方法的执行主体可以是具有数据传输，数据存储，模型调用
、
网络通信以及程序运行功能的计算服务设备，例如手机
、
平板电脑
、
个人电脑
、
异常用户行为检测设备等
。
还可以是实现相同或相似功能的其他电子设备
。本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种异常用户行为检测方法，其特征在于，所述方法包括：获取当前用户的前端传感数据；基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况
。2.
如权利要求1所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据，包括：获取所述当前用户的传感器采集数据；通过前端编码模型对所述当前用户的传感器采集数据进行特征提取，获得所述当前用户的传感行为嵌入特征；所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据之前，包括：获取所述当前会话时刻的网页行为；通过后端编码模型对所述当前会话时刻的网页行为进行特征提取，获得所述当前会话时刻的异常埋点嵌入特征；相应地，所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据，包括：基于当前会话时刻，查询在所述当前会话时刻的异常埋点嵌入特征
。3.
如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：初始化待训练的前端编码模型，所述前端编码模型包括二维卷积层和图注意网络层；获取各传感器采集数据，并基于所述传感器采集数据对应的采集时间点建立时间图；通过各采集时间点对应的时间图对所述前端编码模型进行训练，获得经过训练的前端编码模型
。4.
如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：基于
Bert
模型初始化后端编码模型；获取网页的埋点流水日志，并结合异常标记样本，构建训练数据集；通过所述训练数据集对所述后端编码模型进行训练，获得经过训练的后端编码模型
。5.
如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：初始化二部图推理模型；分别获取所述前端编码模型和所述后端编码模型的训练输出数据，其中，所述前端编码模型的训练输出数据为传感行为嵌入特征，所述后端编码...

【专利技术属性】
技术研发人员：韩柳，步遐，
申请(专利权)人：中邮消费金融有限公司，
类型：发明
国别省市：