CN119484003A 一种基于日志和流量数据进行用户异常行为分析的方法 （陕西华电榆横煤电有限责任公司榆横发电厂）

一种基于日志和流量数据进行用户异常行一种基于日志和流量数据进行用户异常行为分键行为特征偏离群体行为基线的偏离度DEV和用户实时行为序列与个人行为基线的匹配度定用户行为是否异常，并确定异常行为风险等2采集用户行为数据，所述用户行为数据包括历史用户行为数据和实时用户行为数据；对实时用户行为数据进行特征提取，得到用户的关键行为特征；根据用户的关键行为特征偏离群体行为基线的偏离度DEV和用户实时行为序列与该用2.根据权利要求1所述的一种基于日志和流量数据进行用户异常行为分析的方法，其基于历史用户行为数据，对用户的行为习惯进行聚类，得到n1基于第j'个用户群体内所有用户的历史用户行为数据，计算第j为维度上的正常行为阈值，将第j'个用户群体在所有行为维度上的正常行为阈值进行组3.根据权利要求1所述的一种基于日志和流量数据进行用户异常行为分析的方法，其4.根据权利要求3所述的一种基于日志和流量数据进行用户异常行为分析的方法，其sup将所有关键用户的历史行为序列视为一个序列数据库D，设定最小支持度阈值min；supk表示频繁行为事件集中的第k个频繁行为事件；3在每个投影数据库中，通过递归方法扩展频繁行为事件前缀，将前缀和与前缀对应的投影数据库挖掘得到的频繁序列模式进行组5.根据权利要求2所述的一种基于日志和流量数据进行用户异常行为分析的方法，其计算用户的关键行为特征中每个特征的数值与该用户所属用户群体在相应行为维度对每个特征的偏离度进行加权平均，得到用户的关键行为特征偏离该用6.根据权利要求4所述的一种基于日志和流量数据进行用户异常行为分析的方法，其计算用户实时行为序列与该用户的个人行为基线中每条频繁序列将相似度集合中的最小值作为用户实时行为序列与该用户个人行为基线的匹配度7.根据权利要求1所述的一种基于日志和流量数据进行用户异常行为分析的方法，其ggp根据用户实时行为序列与该用户个人行为基线的匹配度SimScp根据用户异常行为综合风险分值与预设的风险等级阈值，确定用户8.一种基于日志和流量数据进行用户异常行为分析的系统，其用于实现权利要求1_7基线构建模块：用于采集用户行为数据，所述用户行为数据包括历异常行为判定模块：用于对实时用户行为数据进行特征提4度SimScore低于预设的个人异常判断阈值δ,则将该用户的关键行为特征判定为个人异常异常风险等级划分模块：用于根据用户的关键行为特征偏离群体行为基线的偏离度DEV和用户实时行为序列与该用户个人行为基线的匹配度SimScore，确定用户的异常行为9.一种电子设备，包括存储器、中央处理器以及存中任一项所述的一种基于日志和流量数据进行用户异常行程序，所述计算机程序被执行时实现权利要求1_7中任一项所述的一种基于日志和流量数5[0003]公开号为CN112416730A的中国专利申请公开了一种用户上网行为分析方法、装6[0010]根据用户的关键行为特征偏离群体行为基线的偏离度DEV和用户实时行为序列与[0021]将所有关键用户的历史行为序列视为一个序列数据库D，设定最小支持度阈值个行为事件标记为频繁行为事件；将所有频繁行为事件组成频繁行为事件集{I1,I2,…,[0027]计算用户的关键行为特征中每个特征的数值与该用户所属用户群体在相应行为7[0030]计算用户实时行为序列与该用户的个人行为基线中每条[0031]将相似度集合中的最小值作为用户实时行为序列与该用户个人行为基线的匹配[0034]根据用户的关键行为特征偏离群体行为基线的偏离度DEV，得到群体异常风险分ggpp[0036]根据群体异常风险分值Rg和个人异常风险分值Rp，计算用户异常匹配度SimScore低于预设的个人异常判断阈值δ,则将该用户的关键行为特征判定为个人度DEV和用户实时行为序列与该用户个人行为基线的匹配度SimScore，确定用户的异常行8[0047]图1为本发明中一种基于日志和流量数据进行用户异常行为分析的方法的原理流[0048]图2为本发明的一种基于日志和流量数据进行用户异常行为分析的方法中构建群[0049]图3为本发明的一种基于日志和流量数据进行用户异常行为分析的方法中构建个[0050]图4为本发明的一种基于日志和流量数据进行用户异常行为分析的方法中计算用[0051]图5为本发明的一种基于日志和流量数据进行用户异常行为分析的方法中计算用户实时行为序列与该用户个人行为基线的匹配度[0052]图6为本发明的一种基于日志和流量数据进行用户异常行为分析的方法中确定用[0053]图7为本发明中一种基于日志和流量数据进行用户异常行为分析的系统的功能模[0058]请参阅图1所示，本实施例提供了一种基于日志和流量数据进行用户异常行为分9和实时用户行为数据；所述历史用户行为数据包括历史用户日志数据和历史用户流量数有行为维度上的正常行为阈值进行组合，得到第j'个用户群体的群体行为基线[T1,j,,j′个用户群体内第j个用户在行为维度i上的用户行为数据在时间t维度上的平均行为模式；这是一个衡量用户群体正常状态下在某个时间段内的行为参考α和γ控制了阈值对历史行为和行为复杂度变化的响应强度，这使得该公式能够根据实际行为序列；[0098]步骤S1332，扫描序列数据库D，统计第i'个行为事件出现的频率Fi'，若Fi'＞k)；投影数据库D|(Ix)是序列数据库D中所有以频繁行为事件Ix为前缀的后缀序列构成[0101]步骤S1335，将前缀和与前缀对应的投影数据库挖掘得到的频繁序列模式进行组[0111]{time:'2022_01_0108:00:00',ip:'192.168.1.101',action:'login',resource:'db_server'},[0112]{time:'2022_01_0108:05:00',ip:'192.168.1.101',action:'query',resource:'database1'},[0113]{time:'2022_01_0108:30:00',ip:'192.168.1.101',action:'logout',resource:'db_server'}为事件在所有用户行为序列中出现的频率或次数。最小支持度阈值min是一个预设的参以该前缀开头的序列组成的子数据库。对于每个频繁行为事件Ix，构建一个投影数据库D|[0121]设最小支持度阈值min为2，表示只有出现2次及以上的行为事件才被视为频繁有模式差异很大，偏离了正常的行为轨迹，就可能意味着风险。例如<(login,update,221.192.168.0/24网段。某天监测发现该用户登录次数骤增到20次，登录IP变为境外的[0154]最后通过行为聚合分析，发现这些异常登录事件前后伴随着大量敏感数据的访断阈值ε,则将该用户的关键行为特征判定为群体异常行为；将用户的关键行为特征序列化，得到用户实时行为序列，计算用户实时行为序列与该用户个人行为基线的匹配度判定为个人异常行为；根据用户的关键行为特征偏离群体行为基线的偏离度DEV和用户实[0166]步骤S2130，将日志关键特征和流量关键特征进行聚合，得到用户的关键行为特[0167]具体而言，实时用户日志数据和实时用户流量数据反映了用户当前的行为状[0170]通过设定关键特征提取规则，可从海量实时数据中自动提取异常相关的行为特[0173]步骤S2210，计算用户的关键行为特征中每个特征的数值与该用户所属用户群体的正常行为阈值。计算用户的关键行为特征中每个特征的数值与相应正常行为阈值的差[0180]步骤S2310，计算用户实时行为序列与该用户的个人行为基线中每条频繁序列模[0181]步骤S2320，将相似度集合中的最小值作为用户实时行为序列与该用户个人行为[0183]设定个人异常判断阈值δ,若SimScore<δ,则认为明显不符合用户个人行为模式，ggppg[0192]所述根据用户的关键行为特征偏离群体行为基线的偏离度DEV，得到群体异常风g[0196]duration：表示群体异常行为的持续时间，时间越长，导致的危害可能越大，gg2[0203]SensiScore：表示异常行为序列的敏感程度，涉及越敏感的资源和操作，pp[0209]根据用户异常行为综合风险分值R与预设的风险等级阈值，将异常行为划分为不lowlow[0215]本实施例在实施例1的基础之上，提供了一种基于日志和流量数据进行用户异常匹配度SimScore低于预设的个人异常判断阈值δ,则将该用户的关键行为特征判定为个人度DEV和用户实时行为序列与该用户个人行为基线的匹配度SimScore，确定用户的异常行有行为维度上的正常行为阈值进行组合，得到第j'个用户群体的群体行为基线[T1,j9,j9个用户群体在第2个行为维度上的正常行为阈值，Tn2,j9表示在第n2个行为维度上的正常行为序列；[0230]步骤S1332，扫描序列数据库D，统计第i'个行为事件出现的频率Fi'，若Fi'＞k)；投影数据库D|(Ix)是序列数据库D中所有以频繁行为事件Ix为前缀的后缀序列构成[0233]步骤S1335，将前缀和与前缀对应的投影数据库挖掘得到的频繁序列模式进行组[0237]步骤S2130，将日志关键特征和流量关键特征进行聚合，得到用户的关键行为特[0239]步骤S2210，计算用户的关键行为特征中每个特征的数值与该用户所属用户群体[0242]步骤S2310，计算用户实时行为序列与该用户的个人行为基线中每条频繁序列模[0243]步骤S2320，将相似度集合中的最小值作为用户实时行为序列与该用户个人行为离度DEV和用户实时行为序列与该用户个人行为基线的匹配度SimScore，确定用户的异常ggpp[0251]根据本申请实施方式的方法或系统也可以借助图8所示的电子设备的架构来实DEV超过预设的群体异常判断阈值ε,则将该用户的关键行为