(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111507934.0 (22)申请日 2021.12.10 (71)申请人 中山大学 地址 510275 广东省广州市新港西路13 5号 (72)发明人 余顺争　彭思洁　 (74)专利代理 机构 广州嘉权专利商标事务所有 限公司 4 4205 代理人 梁嘉琦 (51)Int.Cl. G06K 9/62(2022.01) H04L 9/40(2022.01) (54)发明名称 基于用户行为轮廓聚类的异常检测方法和 系统 (57)摘要 本发明公开了基于用户行为轮廓聚类的异 常检测方法和系统， 本发明通过 获取至少两个用 户的历史行为数据， 根据预设间隔的时间窗口对 历史行为数据进行第一划分处理并进行多元行 为模式学习， 得到每一时间窗口的第一用户行为 轮廓， 分别对第一用户行为轮廓进行第一聚类确 定每一时间窗口对应的正常行为模式以及异常 行为模式； 根据历史行为数据、 每一时间窗口对 应的正常行为模式以及异常行为模式生成正常 行为模式库和恶意行为模式库， 在最大程度利用 用户个人历史行为数据的前提下， 进行用户集合 行为模式的挖掘， 从而构建了用户集合的正常行 为模式库以及恶意行为模式库， 提高了异常行为 检测方法的有效性， 本发明可广泛应用于计算机 领域。 权利要求书3页 说明书11页 附图1页 CN 114398945 A 2022.04.26 CN 114398945 A 1.基于用户行为轮廓聚类的异常检测方法， 其特 征在于， 包括： 获取用户集 合的历史行为数据； 所述用户集 合包括至少两个用户； 根据预设间隔的时间窗口对所述历史行为数据进行第 一划分处理， 并对第 一划分处理 结果进行多元 行为模式学习， 得到每一所述时间窗口 的第一用户行为轮廓； 分别对所述第 一用户行为轮廓进行第 一聚类， 确定每一所述 时间窗口对应的正常行为 模式以及异常行为模式； 根据所述历史行为数据、 每一所述 时间窗口对应的所述正常行为模式以及所述异常行 为模式， 生成正常行为模式库和恶意行为模式库； 根据所述正常行为模式库以及所述恶意行为模式库对待检测用户进行检测， 得到检测 结果。 2.根据权利要求1所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述获取 用户集合的历史行为数据， 包括： 获取所述用户集合所有行为域的日志数据并进行合并； 所述行为域包括访问网页行 为、 发送邮件行为、 登陆或登出设备行为、 连接或断开移动设备行为以及查看文件行为中的 至少两种； 将合并后的日志数据按照 时间顺序进行排序， 生成历史行为日志文件， 得到所述历史 行为数据。 3.根据权利要求1所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述根据 预设间隔的时间窗口对所述历史行为数据进行第一划分处 理， 包括： 根据预设间隔的时间窗口对所述历史行为数据进行第 一划分， 得到每一所述 时间窗口 的行为特征向量； 每一所述行为特征向量具有多个维度的特征， 所述特征表征用户的行为 属性值； 对所述行为特 征向量进行 预处理。 4.根据权利要求3所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述对所 述行为特 征向量进行 预处理， 包括： 进行标准化处理； 所述标准化处理为当所述 时间窗口中所述行为特征向量的维度 数量 少于预设维度， 对所述时间窗口的所述行为特征向量进行补零操作， 将补零操作结果中所 述特征均为0的维度确定为目标维度， 删除所述目标维度， 计算各个所述 维度的所述特征之 间的相关性并将相关性大于等于预设相关性阈值的所述特 征去除； 对标准化处理结果中每一维度的特 征进行归一 化处理。 5.根据权利要求3所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述对第 一划分处理结果进行多元行为模式学习， 得到每一所述时间窗口的第一用户行为轮廓， 包 括： 对预处理后的行为特征向量进行DBSCAN聚类， 得到每一所述时间窗口的若干第一类 别； 根据每一所述第 一类别对应的特征进行均值处理， 确定每一所述 时间窗口中每一所述 第一类别对应的特 征向量中心； 分别计算每一所述时间窗口的所述第一类别 中特征的数量与预处理后的所述时间窗 口的行为特 征向量中所有特 征的数量的比例；权　利　要　求　书 1/3 页 2 CN 114398945 A 2根据所述比例以及所述特 征向量中心生成每一所述时间窗口 的第一用户行为轮廓。 6.根据权利要求5所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述分别 对所述第一用户行为轮廓进行第一聚类， 确定每一所述时间窗口对应的正常行为模式以及 异常行为模式， 包括： 分别对所述第一用户行为轮廓进行第一聚类， 得到每一所述时间窗口 的第二类别； 获取每一所述第二类别中所述特 征向量中心的第一数量； 将所述第一数量大于等于预设阈值的第 二类别作为正常行为模式， 并将所述第 一数量 小于所述预设阈值的第二类别作为异常行为模式。 7.根据权利要求6所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述根据 所述历史行为数据、 每一所述时间窗口对应的所述正常行为模式以及所述异常行为模式， 生成正常行为模式库和恶意行为模式库， 包括： 从所述历史行为数据中确定对应的用户在每一所述 时间窗口下的原始行为日志记录； 所述原始行为日志 记录包括所有行为 域中的原 始行为； 确定属于所述异常行为模式的原始行为是否为恶意行为， 根据确定为所述恶意行为的 原始行为生成恶意行为模式库； 根据属于所述正常行为模式以及属于所述异常行为模式且非所述恶意行为的原始行 为， 生成正常行为模式库。 8.根据权利要求5所述基于用户行为轮廓聚类的异常检测方法， 其特征在于： 所述根据 所述正常行为模式库以及所述恶意行为模式库对待检测用户进行检测， 得到检测结果， 包 括第一方式或者第二方式： 第一方式： 当所述待检测用户不存在历史数据， 获取当前行为特征向量， 计算所述当前行为特征 向量与所述 正常行为模式库的第一相似度以及与所述恶意行为模式库的第二相似度； 当所述第一相似度大于等于相似度阈值， 确定所述当前行为特征向量为正常行为模 式； 当所述第二相似度大于等于所述相似度阈值， 确定所述当前行为特征向量为异常行为 模式； 当所述第一相似度以及所述第 二相似度均 大于等于所述相似度阈值， 获取所述当前行 为特征向量出现在所述时间窗口内的概率， 根据所述概率以及所述比例的比较结果， 确定 所述当前 行为特征向量为正常行为模式或异常行为模式； 当所述第一相似度以及所述第 二相似度均小于所述相似度阈值， 确定所述当前行为特 征向量是否为恶意行为以确定所述当前 行为特征向量为正常行为模式或异常行为模式； 第二方式： 当所述待检测用户存在历史数据， 根据预设间隔的所述 时间窗口对所述历史数据进行 第二划分处理， 并对第二划分处理结果进行多元行为模式学习， 得到每一所述时间窗口的 第二用户行为轮廓， 所述第二用户行为轮廓包括多个维度的维度元素， 所述维度元素表征 待检测用户的行为属性 值； 分别计算每一所述维度 元素与所述正常行为模式库的第 一欧氏距离， 以及计算每一所 述第二用户行为轮廓与所述恶意行为模式库的第二欧氏距离；权　利　要　求　书 2/3 页 3 CN 114398945 A 3