[发明专利]异常用户检测方法、装置、电子设备及存储介质

说明书

本发明涉及信息安全技术领域，提供了一种异常用户检测方法、装置、电子设备及存储介质，该方法包括获取当前日志数据；将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，无监督机器学习集成模型包括至少一个子模型；根据第一异常用户集和第二异常用户集，确定异常用户。采用本发明的异常用户检测方法，操作简单，能够高效的检测异常用户，可靠性强，同时准确率高。

技术领域

本发明一般涉及信息安全技术领域，具体涉及一种异常用户检测方法、装置、电子设备及存储介质。

背景技术

现代社会，互联网技术已深入到人们生活的方方面面，并呈现出用户数量庞大和使用目的繁杂等特点，因此对异常用户进行有效检测便迫在眉睫。

常见的例如，公开号为CN101990003B的中国发明专利，提出一种基于IP地址属性的用户行为监控系统与方法，通过离线技术数据获取模块、在线数据实时分析模块、数据中心和分析模块协同工作完成用户行为的监控。

目前相关技术通过有监督的机器学习来检测异常用户，但这种方式在数据量大的情况下运算复杂度高，并且不稳定，具有局限性。

发明内容

鉴于相关技术中的上述缺陷或不足，期望提供一种异常用户检测方法、装置、电子设备及存储介质，能够高效的检测异常用户，同时准确率高。

第一方面，本发明提供一种异常用户检测方法，该方法包括：

获取当前日志数据；

将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集，无监督机器学习集成模型包括至少一个子模型；

根据第一异常用户集和第二异常用户集，确定异常用户。

可选的，在本发明一些实施例中，将当前日志数据通过无监督机器学习集成模型输出第一异常用户集，包括：

分别向每个子模型输入当前日志数据，获得子模型对应的子异常用户；

计算各子模型对应的子异常用户的并集，作为第一异常用户集。

可选的，在本发明一些实施例中，无监督机器学习集成模型通过如下方式得到：

获取不同日期的历史日志数据；

根据历史日志数据对各子模型进行训练和测试，并统计各子模型的异常检出次数；

计算各子模型的异常检出次数在总异常检出次数中的占比，获得子模型对应的权重。

可选的，在本发明一些实施例中，子模型包括孤立森林模型、局部异常因子模型和单类支持向量机模型中的至少一种。

可选的，在本发明一些实施例中，将当前日志数据通过基于规则的统计分析输出第二异常用户集，包括：

分别统计当前日志数据在每个特征维度上的均值和标准差；

筛选各特征维度上超过均值±2倍标准差对应的用户，形成第二异常用户集。

可选的，在本发明一些实施例中，将当前日志数据分别通过无监督机器学习集成模型输出第一异常用户集，以及通过基于规则的统计分析输出第二异常用户集之前，该方法还包括：

对当前日志数据进行预处理，预处理包括结构化处理和特征工程化处理。

可选的，在本发明一些实施例中，该方法还包括：

定位异常用户所处特征维度；

计算特征维度上正常用户的密集度，以及异常用户到正常用户群体中心的欧氏距离；

根据密集度和欧氏距离，获得异常用户的异常程度。

第二方面，本发明提供一种异常用户检测装置，该装置包括：

获取模块，用于获取当前日志数据；