用户异常行为识别方法、装置、设备、存储介质和程序.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN113992340A(43)申请公布日2022.01.28(21)申请号202111057943.4(22)申请日2021.09.09(71)申请人奇安信科技集团股份有限公司地址100088北京市西城区新街口外大街28号102号楼3层332号申请人网神信息技术（北京）股份有限公司(72)发明人张怀广岳晓郭国强齐向东吴云坤(74)专利代理机构北京路浩知识产权代理有限公司11002代理人王宇杨(51)Int.Cl.H04L9/40(2022.01)权利要求书2页说明书10页附图5页(54)发明名称用户异常行为识别方法、装置、设备、存储介质和程序(57)摘要本发明实施例提供一种用户异常行为识别方法、装置、设备、存储介质和程序。该方法包括：获取目标用户的用户行为基线；所述用户行为基线包括：所述目标用户在预设时间范围内各个第一时间段内发生的至少一种用户行为中各用户行为的行为数据；若所述目标用户的当前行为的行为数据与所述用户行为基线中所述当前行为的行为数据的差异超过差异阈值，则根据所述用户行为基线，确定所述当前行为在所述当前行为发生时间对应的第二时间段发生的第一概率；若所述第一概率小于或等于第一概率阈值，则确定所述当前行为是异常行为。本发明实施例的方法提高了识别异常行为的准确性。CN113992340ACN113992340A权利要求书1/2页1.一种用户异常行为识别方法，其特征在于，包括：获取目标用户的用户行为基线；所述用户行为基线包括：所述目标用户在预设时间范围内各个第一时间段内发生的至少一种用户行为中各用户行为的行为数据；若所述目标用户的当前行为的行为数据与所述用户行为基线中所述当前行为的行为数据的差异超过差异阈值，则根据所述用户行为基线，确定所述当前行为在所述当前行为发生时间对应的第二时间段发生的第一概率；其中，所述用户行为基线中所述当前行为的行为数据为所述当前行为在所述当前行为发生时间对应的第一时间段的行为数据；若所述第一概率小于或等于第一概率阈值，则确定所述当前行为是异常行为。2.根据权利要求1所述的用户异常行为识别方法，其特征在于，所述确定所述当前行为在所述当前行为发生时间对应的第二时间段发生的第一概率，包括：根据所述用户行为基线，确定所述目标用户在所述预设时间范围内各个第二时间段内分别发生至少一种用户行为中各用户行为的第一概率；根据所述目标用户在各个所述第二时间段内分别发生各所述用户行为的第一概率，确定所述当前行为在所述当前行为发生时间对应的第二时间段发生的第一概率。3.根据权利要求1或2所述的用户异常行为识别方法，其特征在于，所述若所述第一概率小于或等于第一概率阈值，则确定所述当前行为是异常行为，包括：在所述第一概率小于或等于第一概率阈值的情况下，确定所述目标用户所属的用户组在所述当前行为发生时间对应的第二时间段发生所述当前行为的第二概率；若所述第二概率小于或等于第二概率阈值，则确定所述当前行为是异常行为。4.根据权利要求3所述的用户异常行为识别方法，其特征在于，所述确定所述目标用户所属的用户组在所述当前行为发生时间对应的第二时间段发生所述当前行为的第二概率之前，还包括：将多个用户通过聚类方式分为至少一个用户组；根据所述多个用户的用户行为基线，分别确定各个所述用户组在所述预设时间范围内各个第二时间段发生至少一种用户行为中各用户行为的第二概率。5.根据权利要求4所述的用户异常行为识别方法，其特征在于，所述确定所述目标用户所属的用户组在所述当前行为发生时间对应的第二时间段发生所述当前行为的第二概率，包括：根据各个所述用户组在所述预设时间范围内各个第二时间段发生至少一种用户行为中各用户行为的第二概率，确定所述目标用户所属的用户组在所述当前行为发生时间对应的第二时间段发生所述当前行为的第二概率。6.根据权利要求1或2所述的用户异常行为识别方法，其特征在于，所述第二时间段的时长小于所述第一时间段的时长。7.一种用户异常行为识别装置，其特征在于，包括：获取模块，用于获取目标用户的用户行为基线；所述用户行为基线包括：所述目标用户在预设时间范围内各个第一时间段内发生的至少一种用户行为中各用户行为的行为数据；处理模块，用于若所述目标用户的当前行为的行为数据与所述用户行为基线中所述当前行为的行为数据的差异超过差异阈值，则根据所述用户行为基线，确定所述当前行为在所述当前行为发生时间对应的第二时间段发生的第一概率；其中，所述用户行为基线中所2CN113992340A权利要求书2/2页述当前行为的行为数据为所述当前行为在所述当前行为发生时间对应的第一时间段的行为数据；所述处理模块，还用于获取若所述第一概率小于或等于第一概率阈值，则确定所述当前行为是异常行为。8.一种电子