[发明专利]基于无监督算法的用户异常检测方法及装置

权利要求书

1.一种基于无监督算法的用户异常检测方法，其特征在于，包括：

获取web系统的用户行为日志数据；

根据所述用户行为日志数据对应的多个业务场景类别，分别计算出目标用户在多个不同时间周期内的贝叶斯平均值，所述贝叶斯平均值是根据目标用户的单维行为特征数据确定的；

根据目标用户在多个业务场景类别，以及多个不同时间周期内的贝叶斯平均值，利用不同的无监督模型分别得到目标用户在每个业务场景类别中的初始评估结果；

根据所述初始评估结果中的评估标签类型，通过对所述初始评估结果中的评估分值进行调整，得到目标用户的异常检测结果；

其中，根据所述初始评估结果中的评估标签类型，通过对所述初始评估结果中的评估分值进行调整，得到目标用户的异常检测结果步骤，包括：

若目标用户在业务场景类别中的评估标签类型为异常标签，则将所述目标用户在所述业务场景类别中的评估分值调整为所述业务场景类别对应的第一异常风险分值，所述第一异常风险分值为所述业务场景类别的异常基准分值；

若目标用户在业务场景类别中的评估标签类型为正常标签，则将所述业务场景类别的异常基准分值作为权重值，计算出所述目标用户在业务场景类别中的第二异常风险分值；

根据所述第一异常风险分值和第二异常风险分值，确定目标用户的异常检测结果。

2.根据权利要求1所述的方法，其特征在于，所述根据所述用户行为日志数据对应的多个业务场景类别，分别计算出目标用户在多个不同时间周期内的贝叶斯平均值的步骤，包括：

对用户行为日志数据进行业务场景类别分组，得到目标用户标识对应的多个业务场景类别的用户行为日志数据；

针对每个业务场景类别，分别得到目标用户标识对应的多个不同时间周期内的第一初始单维行为特征数据；

根据所述每个业务场景类别对应的所述第一初始单维行为特征数据，利用贝叶斯平均算法计算得到目标用户在每个时间周期内的贝叶斯平均值。

3.根据权利要求2所述的方法，其特征在于，所述多个业务场景类别的用户行为日志数据类型包括：系统操作次数信息、用户登录次数信息、敏感接口调用次数信息、敏感数据访问量信息、短间隔操作次数信息中的一个或者多个。

4.根据权利要求2所述的方法，其特征在于，所述根据所述每个业务场景类别对应的所述第一初始单维行为特征数据，利用贝叶斯平均算法计算得到目标用户在每个时间周期内的贝叶斯平均值步骤，包括：

将当前时间周期内目标用户的第一初始单维行为特征数据在相邻时间周期内的初始单维行为特征数据中的占比，作为第二初始单维行为特征数据；

根据当前周期内目标用户的第二初始单维行为特征数据，通过均值处理得到相对全量用户的第三初始单维行为特征数据；

根据当前周期内全量用户的第一初始单维行为特征数据，通过均值处理得到相对全量用户的第四初始单维行为特征数据；

根据所述第一初始单维行为特征数据、第二初始单维行为特征数据、第三初始单维行为特征数据和第四初始单维行为特征数据，确定目标用户在每个时间周期内的贝叶斯平均值。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述根据目标用户在多个业务场景类别，以及多个不同时间周期内的贝叶斯平均值，利用不同的无监督模型分别得到目标用户在每个业务场景类别中的初始评估结果步骤，包括：

确定与所述多个业务场景类别对应的多个孤立森林模型；

利用每个业务场景类别对应的孤立森林模型，根据目标用户在多个不同时间周期内的贝叶斯平均值，得到目标用户在每个业务场景类别中的初始评估结果。

6.根据权利要求1所述的方法，其特征在于，所述根据所述第一异常风险分值和第二异常风险分值，确定目标用户的异常检测结果步骤，包括：

根据目标用户对应的业务场景类别数量，确定用于修正目标用户异常检测结果的业务场景级联系数；

根据目标用户在前操作时间与当前时间的间隔时长，确定用于修正目标用户异常检测结果的衰减系数；

将所述业务场景级联系数和/或衰减系数作为权重系数，根据所述第一异常风险分值和第二异常风险分值，确定目标用户的异常检测结果。