CN106911668A - 一种基于用户行为模型的身份认证方法及系统 - Google Patents

Abstract

一种基于用户行为模型的身份认证方法及系统，包括：根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应。根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息；计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息训练用户行为分类器；根据用户行为分类器判定用户行为是否异常。

Description

一种基于用户行为模型的身份认证方法及系统

技术领域

本发明涉及一种用户安全认证系统，特别是涉及一种基于用户行为模型的身份认证方法及系统。

背景技术

随着互联网和网上购物地飞速发展，网络安全问题也成为了与国家、社会、个人息息相关的问题。人们使用的现有身份安全认证方法的网络环境依然存在一些安全威胁，针对网上交易的安全威胁也显著增多。如果诸如身份信息被盗、账户遭到非法入侵和身份识别和认证错误这样的网络安全问题不能够得到解决，将会严重影响用户对网络平台的信任，从而阻碍互联网在中国乃至世界的发展。因此研究如何构建安全可信的网络平台有着十分重要的现实意义，自适应性高且且能准确地对用户身份信息进行认证的系统及方法成为在线网络平台安全技术的一个重要研究方向。

身份认证是捍卫网络安全的第一道大门，身份认证主要用于阻拦非法用户对账户的访问以及非法程序控制的入侵行为。现有主要的身份认证方法包括依赖用户名与密码结合的传统方式以及类似指纹识别、声纹识别及瞳孔识别等生物信息认证这两种主要方法。用户名对应密码的用户认证架构在技术上易于实现，却存在诸多安全隐患(例如盗号攻击)；生物信息认证相对可靠，却对硬件设备有较强的依赖性(例如指纹采集器)。传统的身份认证模式认证条件单一，且需额外的硬件设备进行采集。存在“用户名-密码”方法的漏洞，同时系统使用生物信息方法的附加的硬件使得使用成本提高。

现有的身份认证技术针对用户身份的可信性问题，主要为基于密码及生物信息识别身份认证系统及方法。这两类传统系统在识别用户身份时身份非法判定条件较为单一，认证过程的准确性较低，且未考虑用户行为模式之间的差距。一旦遭到非法程序或已盗取合法身份信息的非法用户的入侵时，缺乏有效的身份认证安全防护措施以阻止可疑用户，身份认证漏洞明显。

综上，现有技术中的身份认证方法及系统存在认证方式简单、对硬件依赖性较大、认证过程精确度较低及系统安全性低的技术问题。

发明内容

鉴于以上现有技术的缺点，本发明的目的在于提供一种基于用户行为模型的身份认证方法及系统。一种基于用户行为模型的身份认证方法，包括：

S1、根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应；

S2、根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息；

S3、计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息训练用户行为分类器；

S4、根据用户行为分类器判定用户行为是否异常。

于本发明的一实施方式中，根据用户行为分类器判定用户行为是否异常是在有用户上线的情况下进行的，其余步骤在无用户上线的情况下进行。

于本发明的一实施方式中，步骤S1、根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应，包括：

S11、按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列；

S12、对比原有的行为序列列表，判断用户行为序列对应的用户行为是否发生过；

S13、若否，则将用户行为序列编入行为序列列表；

S14、若是，则保留原有的行为序列列表；

S15、将行为序列列表存入本地。

于本发明的一实施方式中，步骤S2、根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息，包括：

S21、预设行为模型包括一元模型、二元模型、三元模型和决策模型，统计该用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率，其中元数为行为子序列长度，决策模型用于计算多元行为序列的条件概率；

S22、按照行为子序列长度对新用户行为序列进行切分，得到切分子序列；

S23、将特定长度的切分子序列输入特定元数的预设行为模型；

S24、四个预设行为模型根据新用户子序列的出现概率得出累加结果；

S25、根据累加结果分别计算出新用户行为序列与四个设定行为模型的相似度。

于本发明的一实施方式中，步骤S3、计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息训练用户行为分类器，包括：

S31、预设合法用户的历史行为序列和任一非法用户的历史行为序列作为数据集；

S32、采用逻辑回归算法循环更新分类器信息，根据新的相似度得出线性组合参数；

S33、发送分类器信息和线性组合参数。

于本发明的一实施方式中，步骤S4、根据用户行为分类器判定用户行为是否异常，包括：

S41、接收判断信息和行为序列列表中最新行为序列；

S42、根据判断信息判断最新行为序列对应的用户行为是否异常；

S43、若是，则发送报警判定结果；

S44、若否，则发送正常判定结果。

于本发明的一实施方式中，一种基于用户行为模型的身份认证系统，包括：分析模块、统计模块、分类器更新模块和判断模块；分析模块，用于根据服务器端收集的用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应；统计模块，用于根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息，统计模块与分析模块连接；分类器更新模块，计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息进行训练用户行为分类器，分类器更新模块与统计模块连接；判断模块，用于根据用户行为分类器判定用户行为是否异常，判断模块与分类器更新模块连接。

于本发明的一实施方式中，判断模块在有用户上线的情况下工作，分析模块、行为数据统计模块和分类器更新模块在无用户上线的情况下工作。

于本发明的一实施方式中，分析模块包括：行为采集模块、识别模块、列表更新模块、原序模块和列表存储模块；行为采集模块，用于按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列；识别模块，用于对比原有的行为序列列表，判断用户行为序列对应的用户行为是否发生过；列表更新模块，用于在用户行为序列对应的用户行为未发生过时，将用户行为序列编入行为序列列表，列表更新模块与识别模块连接；原序模块，用于在用户行为序列对应的用户行为发生过时，保留原有的行为序列列表，原序模块与识别模块连接；列表存储模块，将行为序列列表存入本地，列表存储模块与列表更新模块及原序模块连接。

于本发明的一实施方式中，统计模块，包括：预设模型模块、序列切分模块、序列输入模块、概率累加模块和相似度计算模块；预设模型模块，用于预设包括一元模型、二元模型、三元模型和决策模型，统计用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率；其中元数为行为子序列长度，决策模型用于计算多元行为序列的条件概率；序列切分模块，用于按照行为子序列长度对新用户行为序列进行切分，得到切分子序列；序列输入模块，用于将特定长度的切分子序列输入特定元数的预设行为模型，序列输入模块与序列切分模块连接；概率累加模块，用于根据新用户子序列的出现概率得出累加结果，概率累加模块与序列输入模块连接；相似度计算模块，用于根据累加结果分别计算出新用户行为序列与四个设定行为模型的相似度，相似度计算模块与概率累加模块连接。

于本发明的一实施方式中，分类器更新模块，包括：离线设定模块、判断信息更新模块和判断信息发送模块；离线设定模块，用于预设合法用户的历史行为序列和任一非法用户的历史行为序列作为数据集；判断信息更新模块，用于根据逻辑回归算法循环更新分类器信息，根据新的相似度得出线性组合参数，判断信息更新模块与离线设定模块连接；判断信息发送模块，发送分类器信息和线性组合参数，判断信息发送模块与判断信息更新模块连接。

于本发明的一实施方式中，判断模块包括：判断信息接收模块、异常判断模块、警报结果发送模块和正常结果发送模块；判断信息接收模块，用于接收判断信息和行为序列列表中最新行为序列；异常判断模块，用于根据判断信息判断最新行为序列对应的用户行为是否异常，异常判断模块与判断信息接收模块连接；警报结果发送模块，用于在最新行为序列对应的用户行为异常时，发送报警判定结果，警报结果发送模块与异常判断模块连接；正常结果发送模块，用于在最新行为序列对应的用户行为非异常时，发送正常判定结果，正常结果发送模块与异常判断模块连接。

于本发明的一实施方式中，一种基于用户行为模型服务器端报警方法，包括：

S11’、收集用户最近的行为序列，生成日志文件；

S12’、发送日志文件；

S13’、接收判断结果；

S14’、判断是否收到警报结果；

S15’、若是，则对异常状态报警，判断用户身份非法；

S16’、若否，则判断用户身份合法。

于本发明的一实施方式中，一种服务器端包括：日志生成模块、行为序列输入模块、判断结果接收模块、报警判定模块、服务器报警模块和合法身份识别模块；日志生成模块，用于收集用户最近的行为序列，生成日志文件；行为序列输入模块，用于发送日志文件，行为序列输入模块与日志生成模块连接；判断结果接收模块，用于接收判断结果；报警判定模块，判断是否收到警报结果；服务器报警模块，用于在收到报警结果时，对异常状态报警，判断用户身份非法，服务器报警模块与报警判定模块连接；合法身份识别模块，用于在收到正常结果时，判断用户身份合法，合法身份识别模块与报警判定模块连接。

如上所述，本发明提供的一种基于用户行为模型的身份认证方法及系统，具有以下有益效果：本发明利用用户特征信息作为用户的行为模式生成依据，利用分类器进行用户合法性的认证，可有效地避免传统技术中身份认证模式认证条件单一且需额外的硬件设备进行采集的技术局限性。本发明在用户上线使用网络平台的过程中即可对对用户行为特征的识别分类判断该用户是否为合法用户，消除了传统技术中“用户名-密码”方法的漏洞，可以在有用户在线时进行对用户身份进行认证，同时减少了传统技术中系统使用生物信息方法的附加的硬件使得使用成本。

本发明提供的一种基于用户行为模型的身份认证方法及系统的身份认证技术针对用户身份的可信性问题，完全基于用户行为特征模型，避免了传统的基于密码及生物信息识别身份认证系统及方法在识别用户身份时身份非法判定条件较为单一，认证过程的准确性较低的缺点，考虑用户行为模式之间的差距。在遭到非法程序或已盗取合法身份信息的非法用户的入侵时，能够采取有效的身份认证安全防护措施以阻止可疑用户。

综上，本发明解决了现有技术中的身份认证方法及系统存在认证方式简单、对硬件依赖性较大、认证过程精确度较低及系统安全性低的技术问题，具有较好的自适应性、可拓展性和安全性。

附图说明

图1显示为一种基于用户行为模型的身份认证方法步骤示意图。

图2显示为本发明的行为信息更新步骤示意图。

图3显示为本发明的行为序列统计模型示意图。

图4显示为本发明的分类判断信息计算步骤示意图。

图5显示为本发明的基于用户行为模型的身份认证系统异常判断步骤示意图。

图6显示为本发明的一种基于用户行为模型的身份认证系统模块示意图。

图7显示为本发明的分析模块示意图。

图8显示为本发明的统计模块示意图。

图9显示为本发明的分类器更新模块示意图。

图10显示为本发明的判断模块示意图。

图11显示为本发明的一种基于用户行为模型服务器报警方法步骤示意图。

图12显示为一种服务器端模块示意图。

元件标号说明

1 基于用户行为模型的身份认证系统

11 分析模块

12 统计模块

13 分类器更新模块

14 判断模块

111 行为采集模块

112 识别模块

113 列表更新模块

114 原序模块

115 列表存储模块

121 预设模型模块

122 序列切分模块

123 序列输入模块

124 概率累加模块

125 相似度计算模块

131 离线设定模块

132 判断信息更新模块

133 判断信息发送模块

141 判断信息接收模块

142 异常判断模块

143 警报结果发送模块

144 正常结果发送模块

21 日志生成模块

22 行为序列输入模块

23 判断结果接收模块

24 报警判定模块

25 服务器报警模块

26 合法身份识别模块

步骤标号说明

图1 S1～S4

图2 S11～S15

图3 S21～S25

图4 S31～S33

图5 S41～S44

图11 S11’～S16’

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效。

请参阅图1至图12，须知，本说明书所附图式所绘示的结构，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容所能涵盖的范围内。同时，本说明书中所引用的如”上”、”下”、”左”、”右”、”中间”及”一”等的用语，亦仅为便于叙述的明了，而非用以限定本发明可实施的范围，其相对关系的改变或调整，在无实质变更技术内容下，当亦视为本发明可实施的范畴。

请参阅图1，显示本发明的一种基于用户行为模型的身份认证方法步骤示意图，如图1所示，本发明的目的在于提供一种基于用户行为模型的身份认证方法及系统。一种基于用户行为模型的身份认证方法，包括：

S1、根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应，所述日志文件在服务器中，作为认证输入数据；

S2、根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息，用户行为信息与序列对应，对按照特点长度切分的子序列得出各个长度序列出现的概率，将概率累加；

S3、计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息训练用户行为分类器，对用户行为分类器进行循环训练动态更新；

S4、根据用户行为分类器判定用户行为是否异常，判断异常过程的输出数据为对用户身份的认证结果。

步骤S4、根据用户行为分类器判定用户行为是否异常是在有用户上线的情况下进行的，步骤S1、步骤S2及步骤S3在无用户上线的情况下进行。

请参阅图2，显示为本发明的行为信息更新步骤示意图，如图2所示，步骤S1、根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应，包括：

S11、按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列，系统的分析模块将按照时间上由近及远的顺序，以登陆/注销事件作为序列划分的依据，在服务器日志中采集用户u的n条行为序列(n可以根据用户来调整)。其中每一个数字和字符串(用户u点击过的URL)都是一一对应关系；

S12、对比原有的行为序列列表，判断用户行为序列对应的用户行为是否发生过；

S13、若否，则将用户行为序列编入行为序列列表，这里的行为是指用户点击网站链接的行为，然后将字符串形式的行为序列转化成数字形式的行为序列；

S14、若是，则保留原有的行为序列列表；

S15、将行为序列列表存入本地。

请参阅图3，显示为本发明的行为序列统计模型示意图，如图3所示，步骤S2、根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息，包括：

S21、预设行为模型包括一元模型、二元模型、三元模型和决策模型，统计该用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率，其中元数为行为子序列长度，决策模型用于计算多元行为序列的条件概率，本系统包括四种行为模型：一元模型、二元模型、三元模型和决策模型，不同的行为模型相当于对行为模式的不同描述方式；

S22、按照行为子序列长度对新用户行为序列进行切分，得到切分子序列，一元、二元和三元模型是指按照长度1(1＝1，2，3)把收集到的行为序列切分成子序列(当1＝1时是只由一个行为构成的子“序列”)，当用户u的一条新序列s出现时，将s也按照长度1(1＝1，2，3)进行切分，作为各个行为模型的输入数据；

S23、将特定长度的切分子序列输入特定元数的预设行为模型，统计该用户的所有长度为1的行为子序列在同长度的所有子序列中出现的概率，最终得到各个子序列和其出现概率的一一对应关系，即为一种行为模型；决策模型是一种马尔可夫模型，它是一条二元子序列和概率的对应关系。这里的概率是二元序列(a，b)在已知行为a出现的条件下行为b出现的概率；

S24、四个预设行为模型根据新用户子序列的出现概率得出累加结果，四个行为模型将根据子序列的出现概率，对s的所有子序列的概率进行累加，从而计算出s和相应模型的相似程度；

S25、根据累加结果分别计算出新用户行为序列与四个设定行为模型的相似度，统计模块将计算出四个相似度。

请参阅图4，显示为本发明的分类判断信息计算步骤示意图，如图4所示，步骤S3、计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息训练用户行为分类器，包括：

S31、预设合法用户的历史行为序列和任一非法用户的历史行为序列作为数据集，将统计模块计算出来的四个相似度进行线性组合，得到的就是对新序列进行判定的依据，但是这个线性组合的参数是未知的，当用户u处于线下状态时，机器学习模块将会使用用户u的历史行为序列(正样本)和另外一名和用户u行为模式相差较大的用户u^’的历史行为序列(负样本)作为数据集；

S32、采用逻辑回归算法循环更新分类器信息，根据新的相似度得出线性组合参数，机器学习模块的任务就是根据收集到的数据来学习这个线性组合的参数；

S33、发送分类器信息和线性组合参数，采用逻辑回归算法来训练分类器，得到线性组合的参数，并进一步优化身份认证的准确率。随着用户u不断地访问网站，机器学习模块将会根据更新的数据来重新训练分类器，得到新的线性组合参数，使其能实时对用户进行监控，从而避免因为行为模型过时而造成的错误判断。

请参阅图5，显示为本发明的基于用户行为模型的身份认证系统异常判断步骤示意图，如图5所示，步骤S4、根据用户行为分类器判定用户行为是否异常，包括：

S41、接收判断信息和行为序列列表中最新行为序列，当用户u处于线上状态时，判定模块从日志文件中提取出用户u的最新行为序列s_n，用其余三个模块工作得到的分类器来判定s_n是否异常；

S42、根据判断信息判断最新行为序列对应的用户行为是否异常；

S43、若是，则发送报警判定结果，一旦出现异常，则服务器报警，以便阻止可疑用户继续从服务器请求数据；

S44、若否，则发送正常判定结果。

请参阅图6，显示为本发明的一种基于用户行为模型的身份认证系统示意图，如图6所示，一种基于用户行为模型的身份认证系统1，包括：分析模块11、统计模块12、分类器更新模块13和判断模块14；分析模块11，用于根据服务器端收集的用户行为信息，按照预设时序对原有行为信息进行更新并保存，其中用户行为信息与用户行为对应；统计模块12，用于根据预设行为模型，计算用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与预设行为模型的相似度信息，统计模块12与分析模块11连接；分类器更新模块13，计算相似度信息，更新用户行为信息和用户行为判断参数，并结合更新的用户行为信息进行训练用户行为分类器，分类器更新模块13与统计模块12连接；判断模块14，用于根据用户行为分类器判定用户行为是否异常，判断模块14与分类器更新模块13连接。

判断模块在有用户上线的情况下工作，分析模块、行为数据统计模块和分类器更新模块在无用户上线的情况下工作。

请参阅图7，显示为本发明的分析模块示意图，如图7所示，分析模块11包括：行为采集模块111、识别模块112、列表更新模块113、原序模块114和列表存储模块115；行为采集模块111，用于按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列；识别模块112，用于对比原有的行为序列列表，判断用户行为序列对应的用户行为是否发生过；列表更新模块113，用于在用户行为序列对应的用户行为未发生过时，将用户行为序列编入行为序列列表，列表更新模块113与识别模块112连接；原序模块114，用于在用户行为序列对应的用户行为发生过时，保留原有的行为序列列表，原序模块114与识别模块112连接；列表存储模块115，将行为序列列表存入本地，列表存储模块115与列表更新模块113及原序模块114连接，用正则表达式限制IP地址，比较已经收集到的行为序列数量m和系统设定的目标数量n，判断序列数量是否小于目标数量，若是，则在未分析的日志条目中，从后往前分析一行，若否，将行为序列列表存入本地；当未发现Login事件时继续遍历日志，当发现Login事件时，新建一个空序列，从前往后分析下一行，如果发现Logout事件时，将新事件加入行为序列列表中，若未发现Logout事件，则对比已经出现过的行为序列列表，若此行为从未发生过，则将此行为添加到行为序列列表并编号，其中编号置于该序列末尾。

请参阅图8，显示为本发明的统计模块示意图，如图8所示，统计模块12，包括：预设模型模块121、序列切分模块122、序列输入模块123、概率累加模块124和相似度计算模块125；预设模型模块121，用于预设包括一元模型、二元模型、三元模型和决策模型，统计用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率，其中元数为行为子序列长度，决策模型用于计算多元行为序列的条件概率；序列切分模块122，用于按照行为子序列长度对新用户行为序列进行切分，得到切分子序列；序列输入模块123，用于将特定长度的切分子序列输入特定元数的预设行为模型，序列输入模块123与序列切分模块122连接；概率累加模块124，用于根据新用户子序列的出现概率得出累加结果，概率累加模块124与序列输入模块123连接；相似度计算模块125，用于根据累加结果分别计算出新用户行为序列与四个设定行为模型的相似度，相似度计算模块125与概率累加模块124连接，系统的统计模块将采用统计方法从收集到的n条行为序列中挖掘出用户u的行为模式。。一元、二元和三元模型是指按照长度1(1＝1，2，3)把收集到的行为序列切分成子序列(当1＝1时是只由一个行为构成的子“序列”)。统计该用户的所有长度为1的行为子序列在同长度的所有子序列中出现的概率，最终得到各个子序列和其出现概率的一一对应关系，即为一种行为模型；决策模型是一种马尔可夫模型，它是一条二元子序列和概率的对应关系。这里的概率是二元序列(a，b)在已知行为a出现的条件下行为b出现的概率。行为模型的构建流程如图4所示。当用户u的一条新序列s出现时，将s也按照长度l(1＝1，2，3)进行切分，作为各个行为模型的输入数据。

请参阅图9，显示为本发明的分类器更新模块示意图，如图9所示，分类器更新模块13，包括：离线设定模块131、判断信息更新模块132和判断信息发送模块133；离线设定模块131，用于预设合法用户的历史行为序列和任一非法用户的历史行为序列作为数据集；判断信息更新模块132，用于根据逻辑回归算法循环更新分类器信息，根据新的相似度得出线性组合参数，判断信息更新模块132与离线设定模块131连接；判断信息发送模块133，发送分类器信息和线性组合参数，判断信息发送模块133与判断信息更新模块连接132，将统计模块计算出来的四个相似度进行线性组合，得到的就是对新序列进行判定的依据，但是这个线性组合的参数是未知的。机器学习模块的任务就是根据收集到的数据来学习这个线性组合的参数。机器学习模块的工作原理如图5所示。当用户u处于线下状态时，机器学习模块将会使用用户u的历史行为序列(正样本)和另外一名和用户u行为模式相差较大的用户u＾′的历史行为序列(负样本)作为数据集。采用逻辑回归算法来训练分类器，得到线性组合的参数，并进一步优化身份认证的准确率。随着用户u不断地访问网站，机器学习模块将会根据更新的数据来重新训练分类器，得到新的线性组合参数，使其能实时对用户进行监控，从而避免因为行为模型过时而造成的错误判断。

请参阅图10，显示为本发明的判断模块示意图，如图10所示，判断模块14包括：判断信息接收模块141、异常判断模块142、警报结果发送模块143和正常结果发送模块144；判断信息接收模块141，用于接收判断信息和行为序列列表中最新行为序列；异常判断模块142，用于根据判断信息判断最新行为序列对应的用户行为是否异常，异常判断模块142与判断信息接收模块141连接；警报结果发送模块143，用于在最新行为序列对应的用户行为异常时，发送报警判定结果，警报结果发送模块143与异常判断模块142连接；正常结果发送模块144，用于在最新行为序列对应的用户行为非异常时，发送正常判定结果，正常结果发送模块144与异常判断模块143连接。根据将四个相似度线性组合，得到的中和相似度，判断身份认证是否出现异常。当用户u处于线上状态时，此时系统实时监控用户的新行为序列，并进行身份认证，此时判定模块工作，其余三个模块暂时停止工作，当用户u处于线上状态时，判定模块从日志文件中提取出用户u的最新行为序列s_n，用其余三个模块工作得到的分类器来判定s_n是否异常。

请参阅图11，显示为本发明的一种基于用户行为模型服务器报警方法，如图11所示，一种基于用户行为模型服务器端报警方法，包括：

S11’、收集用户最近的行为序列，生成日志文件，日志文件在服务器中管理，对用户的URL等行为信息进行记录和更新；

S12’、发送日志文件，将日志文件作为输入数据输入基于用户行为模型的身份认证方法及系统；

S13’、接收判断结果，基于用户行为模型的身份认证系统安装于服务器中，将身份认证结果作为输出，输出至服务器；

S14’、判断是否收到警报结果；

S15’、若是，则对异常状态报警，判断用户身份非法，阻止可疑用户继续从服务器请求数据；

S16’、若否，则判断用户身份合法，允许合法用户继续处于登录状态。

请参阅图12，显示为一种服务器端模块示意图，如图12所示，一种服务器端2包括：日志生成模块21、行为序列输入模块22、判断结果接收模块23、报警判定模块24、服务器报警模块25和合法身份识别模块26；日志生成模块21，用于收集用户最近的行为序列，生成日志文件；行为序列输入模块22，用于发送日志文件，行为序列输入模块22与日志生成模块连接21；判断结果接收模块23，用于接收判断结果；报警判定模块24，判断是否收到警报结果；服务器报警模块25，用于在收到报警结果时，对异常状态报警，判断用户身份非法，服务器报警模块25与报警判定模块24连接；合法身份识别模块26，用于在收到正常结果时，判断用户身份合法，合法身份识别模块26与报警判定模块连接24，一旦出现异常，则服务器报警，以便阻止可疑用户继续从服务器请求数据。

综上所述，本发明提供的一种基于用户行为模型的身份认证方法及系统。本发明具有以下有益效果：本发明利用用户的特征信息作为用户的行为模式生成依据，利用分类器进行用户合法性的认证，可有效地避免传统技术中身份认证模式认证条件单一且需额外的硬件设备进行采集的技术局限性。本发明在用户上线使用网络平台的过程中即可对对用户行为特征的识别分类判断该用户是否为合法用户，消除了传统技术中“用户名-密码”方法的漏洞，可以在有用户在线时进行对用户身份进行认证，同时减少了传统技术中系统使用生物信息方法的附加的硬件使得使用成本。本发明提供的一种基于用户行为模型的身份认证方法及系统的身份认证技术针对用户身份的可信性问题，完全基于用户行为特征模型，避免了传统的基于密码及生物信息识别身份认证系统及方法在识别用户身份时身份非法判定条件较为单一，认证过程的准确性较低的缺点，考虑用户行为模式之间的差距。在遭到非法程序或已盗取合法身份信息的非法用户的入侵时，能够采取有效的身份认证安全防护措施以阻止可疑用户。综上，本发明解决了现有技术中的身份认证方法及系统存在认证方式简单、对硬件依赖性较大、认证过程精确度较低及系统安全性低的技术问题，具有较好的自适应性、可拓展性和安全性，具有很高的商业价值和实用性。

Claims (14)

1.一种基于用户行为模型的身份认证方法，其特征在于，包括：

根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有所述行为信息进行更新并保存，其中所述用户行为信息与用户行为对应；

根据预设行为模型，计算所述用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与所述预设行为模型的相似度信息；

计算所述相似度信息，更新所述用户行为信息和用户行为判断参数，并结合更新的所述用户行为信息训练所述用户行为分类器；

根据用户行为分类器判定用户行为是否异常。

2.根据权利要求1所述的方法，其特征在于，所述根据用户行为分类器判定用户行为是否异常是在有用户上线的情况下进行的，其余步骤在无用户上线的情况下进行。

3.根据权利要求1所述的方法，其特征在于，所述根据服务器端发送的日志文件收集用户行为信息，按照预设时序对原有所述行为信息进行更新并保存，其中所述用户行为信息与用户行为对应，包括：

按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列；

对比原有的行为序列列表，判断所述用户行为序列对应的用户行为是否发生过；

若否，则将所述用户行为序列编入所述行为序列列表；

若是，则保留原有的所述行为序列列表；

将行为序列列表存入本地。

4.根据权利要求1所述的方法，其特征在于，所述根据预设行为模型，计算所述用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与所述预设行为模型的相似度信息，包括：

所述预设行为模型包括一元模型、二元模型、三元模型和决策模型，统计该用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率，其中元数为所述行为子序列长度，决策模型用于计算多元行为序列的条件概率；

按照所述行为子序列长度对新用户行为序列进行切分，得到切分子序列；

将特定长度的切分子序列输入特定元数的预设行为模型；

所述四个所述预设行为模型根据所述新用户子序列的所述出现概率得出累加结果；

根据所述累加结果分别计算出所述新用户行为序列与四个所述设定行为模型的相似度。

5.根据权利要求1或4所述的方法，其特征在于，所述计算所述相似度信息，更新所述用户行为信息和用户行为判断参数，并结合更新的所述用户行为信息训练所述用户行为分类器，包括：

预设合法用户的历史行为序列和任一非法用户的所述历史行为序列作为数据集；

采用逻辑回归算法循环更新分类器信息，根据新的所述相似度得出线性组合参数；

发送所述分类器信息和所述线性组合参数。

6.根据权利要1或3所述的方法，其特征在于，所述根据用户行为分类器判定用户行为是否异常，包括：

接收判断信息和所述行为序列列表中最新行为序列；

根据所述判断信息判断所述最新行为序列对应的用户行为是否异常；

若是，则发送报警判定结果；

若否，则发送正常判定结果。

7.一种基于用户行为模型的身份认证系统，其特征在于，包括：分析模块、统计模块、分类器更新模块和判断模块；

所述分析模块，用于根据服务器端收集的用户行为信息，按照预设时序对原有所述行为信息进行更新并保存，其中所述用户行为信息与用户行为对应；

所述统计模块，用于根据预设行为模型，计算所述用户行为信息，得出特定行为出现概率并累加，计算出用户行为信息与所述预设行为模型的相似度信息；

所述分类器更新模块，计算所述相似度信息，更新所述用户行为信息和用户行为判断参数，并结合更新的所述用户行为信息进行训练所述用户行为分类器；

所述判断模块，用于根据用户行为分类器判定用户行为是否异常。

8.根据权利要求7所述的系统，其特征在于，包括：所述判断模块在有用户上线的情况下工作，所述分析模块、所述行为数据统计模块和所述分类器更新模块在无用户上线的情况下工作。

9.根据权利要求7所述的系统，其特征在于，所述分析模块包括：行为采集模块、识别模块、列表更新模块、原序模块和列表存储模块；

所述行为采集模块，用于按照时间上由近及远的顺序，以登陆事件和注销事件作为序列划分的依据，在服务器日志中采集用户行为序列；

所述识别模块，用于对比原有的行为序列列表，判断所述用户行为序列对应的用户行为是否发生过；

所述列表更新模块，用于在所述用户行为序列对应的用户行为未发生过时，将所述用户行为序列编入所述行为序列列表；

所述原序模块，用于在所述用户行为序列对应的用户行为发生过时，保留原有的所述行为序列列表；

所述列表存储模块，将行为序列列表存入本地。

10.根据权利要求7所述的系统，其特征在于，所述统计模块，包括：预设模型模块、序列切分模块、序列输入模块、概率累加模块和相似度计算模块；

所述预设模型模块，用于预设包括一元模型、二元模型、三元模型和决策模型，统计所述用户的所有行为子序列在同长度的所有子序列中出现的概率及条件概率；其中元数为所述行为子序列长度，决策模型用于计算多元行为序列的条件概率；

所述序列切分模块，用于按照所述行为子序列长度对新用户行为序列进行切分，得到切分子序列；

所述序列输入模块，用于将特定长度的切分子序列输入特定元数的预设行为模型；

所述概率累加模块，用于根据新用户子序列的所述出现概率得出累加结果；

所述相似度计算模块，用于根据所述累加结果分别计算出所述新用户行为序列与四个所述设定行为模型的相似度。

11.根据权利要求7或10所述的系统，其特征在于，所述分类器更新模块，包括：离线设定模块、判断信息更新模块和判断信息发送模块；

所述离线设定模块，用于预设合法用户的历史行为序列和任一非法用户的所述历史行为序列作为数据集；

所述判断信息更新模块，用于根据逻辑回归算法循环更新分类器信息，根据新的所述相似度得出线性组合参数；

所述判断信息发送模块，发送所述分类器信息和所述线性组合参数。

12.根据权利要求7或9所述的系统，其特征在于，所述判断模块包括：判断信息接收模块、异常判断模块、警报结果发送模块和正常结果发送模块；

所述判断信息接收模块，用于接收判断信息和所述行为序列列表中最新行为序列；

所述异常判断模块，用于根据所述判断信息判断所述最新行为序列对应的用户行为是否异常；

所述警报结果发送模块，用于在所述最新行为序列对应的用户行为异常时，发送报警判定结果；

所述正常结果发送模块，用于在所述最新行为序列对应的用户行为非异常时，发送正常判定结果。

13.一种基于用户行为模型服务器端报警方法，其特征在于，包括：

收集用户最近的行为序列，生成日志文件；

发送所述日志文件；

接收判断结果；

判断是否收到警报结果；

若是，则对异常状态报警，判断用户身份非法；

若否，则判断用户身份合法。

14.一种服务器端，其特征在于，包括：日志生成模块、行为序列输入模块、判断结果接收模块、报警判定模块、服务器报警模块和合法身份识别模块；

所述日志生成模块，用于收集用户最近的行为序列，生成日志文件；

所述行为序列输入模块，用于发送所述日志文件；

所述判断结果接收模块，用于接收判断结果；

所述报警判定模块，判断是否收到警报结果；

所述服务器报警模块，用于在收到报警结果时，对异常状态报警，判断用户身份非法；

所述合法身份识别模块，用于在收到正常结果时，判断用户身份合法。