[发明专利]用于用户网络活动异常检测的系统、方法和计算机程序产品

说明书

描述一种用于用户网络活动异常检测的系统、方法和计算机程序产品。所述方法包括接收与多个用户的网络资源活动相关联的网络资源数据，以及从所述网络资源数据生成多层图的多个层。所述多个层中的每个层可以包括由多个边缘连接的多个节点，所述多个节点与用户相关联，所述多个边缘表示节点相关性。所述方法还包括从所述多个层生成多个邻接矩阵，以及基于所述多个邻接矩阵的加权和生成合并单层图。所述方法还包括针对所述合并单层图中的每个节点生成异常得分，以及基于所述异常得分确定一组异常用户。

相关申请交叉引用

本申请要求2020年10月16日提交并且标题为“用于用户网络活动异常检测的系统、方法和计算机程序产品(System,Method,and Computer Program Product for UserNetwork Activity Anomaly Detection)”的第63/092,670号美国临时专利申请的优先权，所述申请的全部公开内容特此以引用的方式并入本文中。

技术领域

本公开大体上涉及网络行为分析，并且在非限制性实施例或方面中涉及用于通过对行为进行多层绘图来进行异常检测的系统、方法和计算机程序产品。

背景技术

检测群体内的异常对于许多不同类型的系统是有益的。然而，典型的异常检测是基于单层信息。这与现实世界应用中常见的条件不匹配，在现实世界应用中可能需要多个输入来确定群体内的异常。此外，基于与给定用户的对等方的活动的比较，所述用户的行为可能是异常的，也可能不是异常的。因此，有必要基于组成员之间的关系将群体分成不同的组，并且基于多个输入来标识组内的异常。这样做会提高检测异常网络活动的准确性，进而通过准确标识和响应异常行为来节约网络资源，无论是通过缓解所述行为还是重新分配网络资源以适应异常行为。

发明内容

根据一些非限制性实施例或方面，提供一种用于用户网络活动异常检测的计算机实施的方法。所述方法包括利用至少一个处理器，在包括至少一个网络资源的网络上接收与多个用户的网络资源活动相关联的网络资源数据。所述方法还包括利用至少一个处理器，从所述网络资源数据生成多层图的多个层。所述多个层中的每个层包括由多个边缘连接的多个节点。所述多个节点中的每个节点与所述多个用户中的用户相关联。所述多个边缘中的每个边缘表示所述节点的相关性。每个层表示根据网络资源活动的唯一参数的节点的相关性。所述方法还包括利用至少一个处理器，生成与所述多个层中的每个层相关联的邻接矩阵以产生多个邻接矩阵。所述方法还包括利用至少一个处理器，将权重分配给所述多个邻接矩阵中的每个邻接矩阵以产生多个权重。所述方法还包括利用至少一个处理器，通过使用所述多个权重基于所述多个邻接矩阵的加权和合并所述多个层来生成合并单层图，所述合并单层图包括合并的一组节点。所述方法还包括利用至少一个处理器，通过针对所述合并的一组节点中的每个节点，基于所述节点的属性和在所述合并的一组节点中连接到所述节点的至少一个对等节点的至少一个属性生成异常得分，生成一组异常得分。所述方法还包括利用至少一个处理器，基于所述一组异常得分确定所述多个用户中的一组异常用户。

在另外的非限制性实施例或方面中，所述方法还可包括(a)利用至少一个处理器，基于至少一个损失函数修改所述多个权重以产生修改后的多个权重。所述方法还可包括(b)利用至少一个处理器，通过使用所述修改后的多个权重基于所述多个邻接矩阵的加权和合并所述多个层来生成更新后的合并单层图。所述方法还可包括(c)利用至少一个处理器，基于所述更新后的合并单层图生成一组新的异常得分。所述方法还可包括(d)利用至少一个处理器，基于所述一组新的异常得分更新所述一组异常用户。

在另外的非限制性实施例或方面中，所述至少一个损失函数可包括至少两个损失函数的加权和。所述至少两个损失函数可包括至少部分地基于所述合并单层图的损失函数。所述方法还可包括通过在每次新执行步骤(a)之前改变所述至少两个损失函数的所述加权和的权重，在无监督的训练环境中重复执行上述步骤(a)-(d)。