[发明专利]一种机器行为的识别方法及系统

说明书

本发明公开一种机器行为的识别方法，包括以下方法：获取目标日志及目标日志中相邻两次操作的时间间隔，所述目标日志对应于同一用户且按照所述用户的操作时间进行排序；分别计算不同数量的连续时间间隔的变异系数；获取变异系数小于预设波动系数时，连续时间间隔的最大数量；当所述最大数量大于预设数量时，将所述最大数量对应的操作行为确认为机器行为。本发明通过对操作行为的间隔时间进行计算和判断识别是否为机器行为，计算过程简单有效，容易实现。要求的日志数据简单，可以适用于任何场景。输出的结果可解释性很强，容易找到具有机器行为的相关记录。

技术领域

本发明涉及计算机数据安全，具体来说是一种机器行为的识别方法及系统。

背景技术

恶意的机器行为，比如说暴力破解、撞库等行为会对应用系统、用户资产产生巨大的损失。WAF等安全设备的普及，会减少高频类的机器行为攻击。黑客同时也会升级机器行为的逻辑，人工和机器同时操作，通过这个方式绕过安全设备。

现有技术中常采用的放置机器行为的方法有：

1、通过登录控制。如，验证码技术、滑动窗口等等技术。这些技术需要对系统做改造，对用户的体验也不是很友好，登录后的机器操作行为就没法识别。

2、进行机器学习中采用有监督的算法。采用有监督的方法，需要大量的人工标签，由于正负样本比例差距很大，所以人工打标签的工作比较困难。

如公开号为CN109522692B公开的一种网页机器行为检测方法及系统，方法包括获取多条网页操作行为样本，其中，多条网页操作行为样本包括多条具有机器行为标签的机器行为样本、多条具有人类行为标签的人类行为样本和多条不具有标签的未知行为样本：从多条网页操作行为样本分别提取行为特征：将每条网页操作行为样本作为一个样本点，基于提取的行为特征计算各个样本点之间的距离：基于计算出的各个样本点之间的距离，构建将k近邻图和互k近邻图融合的融合k近邻图：基于构建的融合k近邻图，对各个样本点执行聚类分析：基于聚类分析的结果，从己具有标签的样本点开始向不具有标签的样本点执行标签扩散：根据标签扩散的结果确定未知行为样本器是否为机器行为。该方法存在上述的需要打标签困难的问题。

3、利用概率来识别是否具有机器行为。该方法一般通设置时间间隔很小的阈值，判断2次操作的间隔低于这个阈值，则识别为机器行为。该方法不适用低频的机器操作行为。

如公开号为CN108965207B公开的一种机器行为识别方法与装置，方法包括：获取第一时间段内的至少一条请求数据，并存储入第一数据区：计算第一数据区中请求数据至少一个字段的字段值在第二时间段内的出现概率，第二时间段长于第一时间段：以及将出现概率与预设值进行比较，并根据比较结果判断请求数据是否对应机器行为。本公开提供的机器行为识别方法可以提高对电子商务中黑产恶意抢购的机器行为的识别准确率。该方法对于低频的机器行为则无法识别。

4、基于无监督的算法，识别出机器行为，再通过有监督的算法，提高算法精准度。用此算法的确可以提高算法的精准度。但是需要大量的日志数据来分析，比如需要鼠标操作行为、键盘操作行为等数据。现有的大多数系统都不会保留此类数据，并且识别出的结果解释性不够强。

发明内容

本发明所要解决的技术问题在于如何提供一种简单易操作、结果解释性强的连续机器行为的识别方法。

本发明通过以下技术手段实现解决上述技术问题的：

一种机器行为的识别方法，包括以下方法：

获取目标日志及目标日志中相邻两次操作的时间间隔，所述目标日志对应于同一用户且按照所述用户的操作时间进行排序；

分别计算不同数量的连续时间间隔的变异系数；

获取变异系数小于预设波动系数时，连续时间间隔的最大数量；