CN114661568B 异常操作行为检测方法、装置、设备及存储介质 （中国联合网络通信集团有限公司）

间范围内目标用户对数据库进行操作的第一原确定第一时间范围内各单位时间段的各类用户作行为次数确定各单位时间段的时间段异常分标用户的操作习惯的操作行为确定为异常操作2采集第一时间范围内目标用户对数据库进行操作的第一根据所述第一原始日志中的结构化查询语句确定第一时间范围内各单位时间段的各根据各单位时间段的各类用户操作行为次数确定各单位时间段的采用有序加权平均算子对所述时间段异常分数进行有序加权算术根据所述数据异常分数确定所述目标用户是否存在异所述根据各单位时间段的各类用户操作行为次数确定各单位时间段的时间段异常分将所述各单位时间段的各类用户操作行为次数分别代入对应的概根据换算算法将所述各单位时间段的各类用户操作行为的概率转换为各单位时间段对所述各单位时间段的各类用户操作行为的异常分数进行加权，Sop,t=(1-pop,r)*100获取预先构建的各预设关键字段与各类用户操作行为的将各单位时间段的包含预设关键字段的结构化查询语句的数量确定为对应的各单位采集第二时间范围内目标用户对数据库进行操作的第二原始日志；所根据所述第二原始日志中的结构化查询语句构造各类用户操作将各类用户操作行为的面板数据代入核密度估计算法中，确定各单位时间异常分数进行有序加权算术平均，确定所述目标用户在第一时间范围内的数据异常分数，按从大到小的顺序对所述时间段异常分数进行3根据排序后的时间段异常分数与所述时间段加权向量进行有序加权加权算术平均结果确定为所述目标用户在第一时若确定所述数据异常分数大于预设分数阈值，则确定所述目标用户存在异常操作行若确定所述数据异常分数小于或等于预设分数阈值，则确定日志采集模块，用于采集第一时间范围内目标用户对数据库进行操作的第一原始日操作次数确定模块，用于根据所述第一原始日志中的结构化第一分数确定模块，用于根据各单位时间段的各类用户第二分数确定模块，用于采用有序加权平均算子对所述时行为确定模块，用于根据所述数据异常分数确定所述目标用户是否存在异常操作行概率确定单元，用于将所述各单位时间段的各类用户操作行为次数分别分数确定单元，用于根据换算算法将所述各单位时间段的各对所述各单位时间段的各类用户操作行为的异常分数进行加权，Sop,t=(1-pop,r)*100所述处理器执行所述存储器存储的计算机执行指令，以实现如权利要求1-5中任一项8.一种计算机可读存储介质，其特征在于，所4[0008]根据所述第一原始日志中的结构化查询语句确定第一时间范围内各单位时间段[0009]根据各单位时间段的各类用户操作行为次数确定各单位时间段的时间段异常分[0014]将各单位时间段的包含预设关键字段的结构化查询语句的数量确定为对应的各[0016]将所述各单位时间段的各类用户操作行为次数分别代入5[0020]根据所述第二原始日志中的结构化查询语句构造各类用户操所述面板数据包括时间粒度聚合统计后的用户操[0023]根据换算算法将所述各单位时间段的各类用户操作行为的概率转换为各单位时-pop有序加权算术平均结果确定为所述目标用户在第一时间[0032]可选地，所述根据所述数据异常分数确定所述目标用户67[0059]由于在现有技术中操作指标及操作指标阈值是人工根据已经发生过的异常或攻[0061]下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述[0063]图2为本申请实施例一提供的异常操作行为检测方法流程图，本申请实施例针对内的数据库原始日志，从数据库原始日志中获取包括目标用户的用户标识的第一原始日8结构化查询语句的数量确定为对应的各单位时间段可以通过结构化查询语句的上下文判断结构化查询语句的语义实现对结构化查询语句的的时段操作异常分数为ST2，P1，单位时间段T2的用户操作行为P2的时段操作异常分数为也可以按预先设置的规则及时间段异常分数的数量生成，有序加权算术平均算子的公式9段加权向量也为从小到大的顺序排序；也可以对时间段异常分数按从大到小的顺序排序，则获取的时间段加权向量也为从大到小的顺类操作异常分数进行有序加权算术平均，确定目标用户在第一时间范围内的数据异常分异常分数超过预设分数阈值的目标用户确定为存在异常操作行为的目标用户。[0085]图3为本申请实施例二提供的异常操作行为检测方法流程图，本申请实施例结合可以预先设置增操作对应的预设关键字段为INSERT，删操作对应的预设关键字段为[0102]具体地，可以将各单位时间段的各类用户操作行为的概对各单位时间段的各类用户操作行为的分数采用加权平均法确定各单位时间段的时间段[0104]本申请实施例中，确定各单位时间段的时间段异常分数的一种具体实现方式如[0105]步骤S2051、根据换算算法将各单位时间段的各类用户操作行为的概率转换为各-pop作行为的异常分数进行加权求和，将加权求和结果确定为各单位时间段的时间段异常分i的和为1。DUS间为两小时为例，分别对12个单位时间段的各类用户操作行为的异常分数进行加权求和，目标用户在第一时间范围内的该单位时间段存在异常操[0122]示例性地，时间段异常分数的个数n为12，预先设置的等差数列的首项数值A为[0136]图4为本申请实施例三提供的异常操作行为检测方法流程图，在上述实施例二的[0147]其中，核密度估计是一种用于估计随机变量未知概率密度函数的非参数检验方计算法可以简单地理解为将每个样本作为中心点对应超参自动搜索模块GridSearchCV对带宽h计算法中，获得的fh(x)即可确定为样本对应的单位时间段的用户操作行为类型对应的概采用核密度估计算法确定的概率密度函数将各单位时间段的各类用户操作行为次数转换[0156]图6为本申请实施例四提供的异常操作行为检测装置的结构示意图。本申请实施例提供的异常操作行为检测装置可以执行异常操作行为检测方法实施例提供的处理流程。[0158]操作次数确定模块602，用于根据第一原始日志中的结构化查询语句确定第一时[0159]第一分数确定模块603，用于根据各单位时间段的各类用户操作行为次数确定各[0160]第二分数确定模块604，用于采用有序加权平均算子对时间段异常分数进行有序[0162]本申请实施例提供的装置可以具体用于执行上述实施例-pop据；处理器701运行计算机执行指令时实现上述任一方法实施例提供的异常操作行为检测者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中