[发明专利]基于PKI平台的异常行为检测方法及装置

权利要求书

1.一种基于公钥基础设施PKI平台的异常行为检测方法，其特征在于，包括：

监控用户实时行为；

将所述用户实时行为与预先建立的角色行为模式库进行匹配；

根据匹配结果，判断是否存在异常行为。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。

3.如权利要求2所述的方法，其特征在于，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：

从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；

从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。

4.如权利要求3所述的方法，其特征在于，所述根据匹配结果，判断是否存在异常行为，包括：

当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。

5.如权利要求1-4任一所述的方法，其特征在于，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：

按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；

当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。

6.一种基于PKI平台的异常行为检测装置，其特征在于，包括：监控单元、匹配单元及判断单元；其中，

所述监控单元，用于监控用户实时行为；

所述匹配单元，用于将所述用户实时行为与预先建立的角色行为模式库进行匹配；

所述判断单元，用于根据匹配结果，判断是否存在异常行为。

7.如权利要求6所述的装置，其特征在于，所述装置还包括：建立单元，用于建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。

8.如权利要求7所述的装置，其特征在于，所述匹配单元，具体用于：

从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。

9.如权利要求8所述的装置，其特征在于，所述判断单元，具体用于：当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。

10.如权利要求6-9任一所述的装置，其特征在于，所述匹配单元，具体用于按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。