[发明专利]一种用户异常行为检测方法、装置及系统

权利要求书

1.一种用户异常行为检测方法，包括：

获得用户行为信息；

从用户行为信息中提取与用户行为相关的用户行为特征值；

根据用户行为特征值的聚类特性，计算每一类用户行为相关的用户行为特征值的聚类质心；

以所述聚类质心为中心，确定用户正常行为的标准基线；

计算用户行为信息的用户行为特征值与聚类质心的距离；

将计算得到的距离与所述标准基线进行比较，判断用户行为信息是否属于异常行为信息。

2.如权利要求1所述的用户异常行为检测方法，其特征在于，

所述用户行为信息为预设周期内获得的全部用户行为信息。

3.如权利要求1所述的用户异常行为检测方法，其特征在于，

所述根据用户行为特征值的聚类特性，计算每一类用户行为相关的用户行为特征值的聚类质心，包括：

从每一类用户行为特征值中选定一个初始质心；

计算用户行为信息的用户行为特征值与各个初始质心的距离；

指派用户行为信息的用户行为特征值给最小距离对应的初始质心；

重新计算每一类用户行为特征值的修正质心；

判断修正质心与初始质心是否变化，如果变化超过预设阈值则以修正心作为初始质心重新计算；如果变化不超过预设阈值则确定修正质心为该类用户行为特征值的聚类质心。

4.如权利要求3所述的用户异常行为检测方法，其特征在于，

所述初始质心，采用随机选定或者指定的方式选定。

5.如权利要求3所述的用户异常行为检测方法，其特征在于，

所述预设阈值为0或任意指定的数值。

6.如权利要求1所述的用户异常行为检测方法，其特征在于，

所述以所述聚类质心为中心，确定用户正常行为的标准基线，采用欧几里得空间中的距离计算每个用户行为特征值到对应的质心的距离。

7.如权利要求1所述的用户异常行为检测方法，其特征在于，

所述用户行为信息，包括用户登录行为信息和用户业务操作行为信息。

8.如权利要求7所述的用户异常行为检测方法，其特征在于，

所述用户登录行为信息，包括ssh日志、telnet日志、ftp日志、sftp日志、数据库登录日志、业务应用登录日志、pop3登录日志、imap登录日志中的任意一种或多种。

9.如权利要求7所述的用户异常行为检测方法，其特征在于，

所述用户业务操作行为信息，包括用户操作记录日志。

10.一种用户异常行为检测装置，其特征在于，包括：

信息采集模块，用于获得用户行为信息；

特征值提取模块，用于从用户行为信息中提取与用户行为相关的用户行为特征值；

第一处理模块，用于根据用户行为特征值的聚类特性，计算每一类用户行为相关的用户行为特征值的聚类质心；

第二处理模块，用于以所述聚类质心为中心，确定用户正常行为的标准基线；

第三处理模块，用于计算用户行为信息的用户行为特征值与聚类质心的距离；

比较模块，用于将计算得到的距离与所述标准基线进行比较，判断用户行为信息是否属于异常行为信息。

11.如权利要求10所述的用户异常行为检测装置，其特征在于，

所述信息采集模块，用于采集预设周期内的全部用户行为信息。