[发明专利]异常用户检测方法、装置、电子设备及存储介质

权利要求书

1.一种异常用户检测方法，其特征在于，所述异常用户检测方法包括：

获取当前日志数据；

将所述当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，所述无监督机器学习集成模型包括至少一个子模型；

根据所述第一异常用户集和所述第二异常用户集，确定异常用户。

2.根据权利要求1所述的异常用户检测方法，其特征在于，所述将所述当前日志数据通过无监督机器学习集成模型输出第一异常用户集，包括：

分别向每个所述子模型输入所述当前日志数据，获得所述子模型对应的子异常用户；

计算各所述子模型对应的子异常用户的并集，作为所述第一异常用户集。

3.根据权利要求1所述的异常用户检测方法，其特征在于，所述无监督机器学习集成模型通过如下方式得到：

获取不同日期的历史日志数据；

根据所述历史日志数据对各所述子模型进行训练和测试，并统计各所述子模型的异常检出次数；

计算各所述子模型的异常检出次数在总异常检出次数中的占比，获得所述子模型对应的权重。

4.根据权利要求1至3中任意一项所述的异常用户检测方法，其特征在于，所述子模型包括孤立森林模型、局部异常因子模型和单类支持向量机模型中的至少一种。

5.根据权利要求4所述的异常用户检测方法，其特征在于，所述将所述当前日志数据通过基于规则的统计分析输出第二异常用户集，包括：

分别统计所述当前日志数据在每个特征维度上的均值和标准差；

筛选各所述特征维度上超过所述均值±2倍所述标准差对应的用户，形成所述第二异常用户集。

6.根据权利要求5所述的异常用户检测方法，其特征在于，所述将所述当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集之前，还包括：

对所述当前日志数据进行预处理，所述预处理包括结构化处理和特征工程化处理。

7.根据权利要求5所述的异常用户检测方法，其特征在于，还包括：

定位所述异常用户所处特征维度；

计算所述特征维度上正常用户的密集度，以及所述异常用户到所述正常用户群体中心的欧氏距离；

根据所述密集度和所述欧氏距离，获得所述异常用户的异常程度。

8.一种异常用户检测装置，其特征在于，所述装置包括：

获取模块，用于获取当前日志数据；

输出模块，用于将所述当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，所述无监督机器学习集成模型包括至少一个子模型；

确定模块，用于根据所述第一异常用户集和所述第二异常用户集，确定异常用户。

9.一种电子设备，其特征在于，所述电子设备包括处理器和存储器，所述存储器中存储有至少一段程序、代码集或指令集，所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现权利要求1至7中任意一项所述的异常用户检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现权利要求1至7中任意一项所述的异常用户检测方法的步骤。