CN109120629A - 一种异常用户识别方法及装置 - Google Patents

一种异常用户识别方法及装置 Download PDF

Info

Publication number
CN109120629A
CN109120629A CN201811012728.0A CN201811012728A CN109120629A CN 109120629 A CN109120629 A CN 109120629A CN 201811012728 A CN201811012728 A CN 201811012728A CN 109120629 A CN109120629 A CN 109120629A
Authority
CN
China
Prior art keywords
user
data
behavior
under
identified
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811012728.0A
Other languages
English (en)
Other versions
CN109120629B (zh
Inventor
赵志伟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
New H3C Security Technologies Co Ltd
Original Assignee
New H3C Security Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by New H3C Security Technologies Co Ltd filed Critical New H3C Security Technologies Co Ltd
Priority to CN201811012728.0A priority Critical patent/CN109120629B/zh
Publication of CN109120629A publication Critical patent/CN109120629A/zh
Application granted granted Critical
Publication of CN109120629B publication Critical patent/CN109120629B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本申请实施例提供了一种异常用户识别方法及装置，包括：获取待识别用户的当前行为数据；提取当前行为数据在多个行为维度中各行为维度下的当前特征数据；获取待识别用户的运维信息和地理信息；根据待识别用户的运维信息和地理信息，确定与运维信息和地理信息匹配的待识别用户所属目标群组；针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果；若第一判断结果为不匹配，则确定待识别用户为异常用户。应用本申请实施例提供的技术方案，能够实现识别出异常的网络准入用户。

Description

一种异常用户识别方法及装置
技术领域
本申请涉及网络安全领域，特别是涉及一种异常用户识别方法及装置。
背景技术
随着网络技术的大量应用与快速发展，网络信息安全威胁也在不断增加。在企业网中，新的安全威胁不断的涌现，病毒日益肆虐，为了解决现有安全防御体系中的不足，很多企业都部署了EAD(Endpoint Admission Defense，端点准入防御)解决方案和VPN(Virtual Private Network，虚拟专用网络)网关，整合单点防御系统，加强对用户的管理，实施统一的安全策略，提高网络终端的主动抵抗能力。
然而，在企业网络的管理中，仍然面临着网络准入用户异常登录的安全威胁，如何快速、简单、直接的识别出异常登录的网络准入用户，也就是，如何快速、简单、直接的识别出异常用户，是企业网络管理中迫切需要解决的问题。
发明内容
本申请实施例的目的在于提供一种异常用户识别方法及装置，以实现识别出异常用户。具体技术方案如下：
在第一方面，本申请实施例提供了一种异常用户识别方法，所述方法包括：
获取待识别用户的当前行为数据；
提取所述当前行为数据在多个行为维度中各行为维度下的当前特征数据；
获取所述待识别用户的运维信息和地理信息；
根据所述待识别用户的运维信息和地理信息，确定与所述运维信息和地理信息匹配的所述待识别用户所属目标群组；
针对每一所述行为维度，判断在该行为维度下的当前特征数据是否与所述目标群组对应的群组特征基线数据匹配，得到第一判断结果；
若所述第一判断结果为不匹配，则确定所述待识别用户为异常用户。
在第二方面，本申请实施例提供了一种异常用户识别装置，所述装置包括：
第一获取模块，用于获取待识别用户的当前行为数据；
提取模块，用于提取所述当前行为数据在多个行为维度中各行为维度下的当前特征数据；
第二获取模块，用于获取所述待识别用户的运维信息和地理信息；
第一确定模块，用于根据所述待识别用户的运维信息和地理信息，确定与所述运维信息和地理信息匹配的所述待识别用户所属目标群组；
判断模块，用于针对每一所述行为维度，判断在该行为维度下的当前特征数据是否与所述目标群组对应的群组特征基线数据匹配，得到第一判断结果；
第二确定模块，用于若所述第一判断结果为不匹配，则确定所述待识别用户为异常用户。
在第三方面，本申请实施例提供了一种电子设备，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现第一方面提供的任一方法步骤。
在第四方面，本申请实施例提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现第一方面提供的任一方法步骤。
本申请实施例提供的异常用户识别方法及装置，获取待识别用户的当前行为数据，提取当前行为数据在多个行为维度中各行为维度下的当前特征数据。另外，确定待识别用户所属目标群组，针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果。若第一判断结果为不匹配，则确定待识别用户为异常用户。
可见，本申请实施例中，根据待识别用户的所属的目标群组的群组特征基线数据，确定待识别用户是否为异常用户，而一个群组中用户的特征基线基本相似，采用群组特征基线数据能够有效的识别出异常登录的网络准入用户，识别出异常用户。当然，实施本申请的任一产品或方法必不一定需要同时达到以上所述的所有优点。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的异常用户识别方法的第一种流程示意图；
图2为本申请实施例提供的异常用户识别方法的第二种流程示意图；
图3为本申请实施例提供的特征基线数据确定方法的一种流程示意图；
图4为本申请实施例提供的异常用户识别装置的一种结构示意图；
图5为本申请实施例提供的电子设备的一种结构示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
为便于理解，下面对本申请实施例中出现的词语进行解释说明。
网络准入用户：为准许接入网络的用户。例如，一个企业中，该企业的工作员工为允许接入该企业的企业网络的用户。
网络准入设备：为来访者提供网络接入管理的设备，例如可以通过用户名、密码等信息验证来访者是否能够接入网络，可以收集用户登录日志，还可以通过划分不同VLAN来管理用户终端设备。网络准入设备可以为SSL-VPN(Security Socket Layer VPN，安全套接层虚拟专用网络)、EAD、Citrix(思杰)等设备。
为了能够识别出异常登录的网络准入用户，识别出异常用户，本申请实施例提供了一种异常用户识别方法，该方法可以应用于服务器。
上述异常用户识别方法中，获取待识别用户的当前行为数据，提取当前行为数据在多个行为维度中各行为维度下的当前特征数据。另外，确定待识别用户所属目标群组，针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果。若第一判断结果为不匹配，则确定待识别用户为异常用户。可见，本申请实施例中，根据待识别用户的所属的目标群组的群组特征基线数据，确定待识别用户是否为异常用户，而一个群组中用户的特征基线基本相似，采用群组特征基线数据能够有效的识别出异常登录的网络准入用户，识别出异常用户。
下面通过具体实施例，对本申请进行详细说明。
参考图1，图1为本申请实施例提供的异常用户识别方法的第一种流程示意图。为便于理解，下面以执行主体为服务器为例进行说明。该异常用户识别方法包括如下步骤。
步骤101，获取待识别用户的当前行为数据。
本申请实施例中，待识别用户为网络准入用户，例如，某一企业某一部门的工作人员。当前行为数据为当前时刻待识别用户的行为数据。例如，当前时刻为10:00，当前行为数据为10:00待识别用户的行为数据。
服务器可以从SSL-VPN(Security Socket Layer VPN，安全套接层虚拟专用网络)、EAD、Citrix(思杰)等网络准入设备获取待识别用户的行为日志，根据行为日志中信息，确定待识别用户的当前行为数据。
一个实施例中，行为日志中包括信息如表1所示。
表1
用户名 登录时间 登录IP 访问资源IP 登录终端 登录终端类型
其中，用户名为用户的标识。登录时间为用户登录网络的时间。登录IP(InternetProtocol，网络协议)为用户登录网络时使用的IP地址。访问资源IP为用户要访问的资源的IP地址。登录终端为用户登录网络时使用的终端标识。其中，终端标识可以为终端的MAC(Media Access Control，媒体访问控制)地址。登录终端类型为用户登录网络时使用的终端的类型。登录终端类型包括但不限于PC(Person Computer，个人电脑)，Mobile Device(移动设备)，平板电脑等。
服务器可以提取包括上述表1中信息的待识别用户的行为日志，作为待识别用户的当前行为数据。
为了提供异常用户识别的准确性，一个实施例中，服务器可根据运维信息、地理信息和访问的应用系统等，对行为日志进行补充。其中，运维信息包括用户所属部门和在部门中的角色等。用户所属部门包括不限于技术部、顾问部、财务部等。在部门中的角色即为在部门中的工作职责。例如，技术部分为开发人员和测试人员。地理信息包括用户登录网络的地点。具体的，表2所示。
表2
本申请实施例中，角色可以划分为软件工程师、软件测试工程师、产品经理、运维人员、销售、主管、项目经理等。
为了对行为日志进行补充，一个实施例中，服务器中存储有用户与运维信息的对应关系。在获取到待识别用户的行为日志后，服务器从存储的用户与运维信息的对应关系中，获取待识别用户对应的运维信息。另外，服务器通过网络准入设备获取到待识别用户的地理信息和访问的应用系统。服务器根据获取的运维信息、地理信息和访问的应用系统，对待识别用户的行为日志进行补充。
步骤102，提取当前行为数据在多个行为维度中各行为维度下的当前特征数据。
服务器中预设有多个行为维度。对于多个行为维度中每一行为维度，服务器从当前行为数据中，提取在该行为维度下的当前特征数据。一个实施例，预设的多个行为维度可参考表2所示。也就是，服务器从当前行为数据中，分别提取用户的登录时间、登录IP、访问资源IP、登录终端、登录终端类型、用户所属部门、用户承担的角色、登录的地点、访问的应用系统等特征数据，作为当前特征数据。
步骤103，获取待识别用户的运维信息和地理信息。
其中，运维信息包括用户所属部门和在部门中的角色等。用户所属部门包括不限于技术部、顾问部、财务部等。在部门中的角色即为在部门中的工作职责。例如，技术部分为开发人员和测试人员。地理信息包括用户登录网络的地点。
一个实施例中，服务器可以中表2所示的行为日志中获取到待识别用户的运维信息和地理信息。
本申请实施例中不限定步骤103与步骤102的执行顺序，步骤103可以在步骤102之前执行，也可以在步骤102之后执行，还可以与步骤102同时执行。
步骤104，根据待识别用户的运维信息和地理信息，确定与该运维信息和地理信息匹配的待识别用户所属目标群组。
在本申请的一个实施例中，群组由运维信息、地理信息相同的多个用户可构成，即一个群组中的用户，他们所属部门、承担的角色、登录的地点均相同。例如，待识别用户所属部门为技术部，待识别用户在技术部的角色为测试人员，登录的地点为合肥，则确定目标群组为技术部、测试人员、合肥对应的群组。
另一个实施例中，群组由运维信息相同的多个用户构成。再一个实施例中，群组由地理信息相同的多个用户构成。
步骤105，针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果。
本申请实施例中，对于每一行为维度，服务器判断该行为维度下的当前特征数据是否与该行为维度下目标群组对应的群组特征基线数据匹配，进而得到该行为维度下的第一判断结果。第一判断结果包括当前特征数据与目标群组对应的群组特征基线数据匹配的第一结果信息，或当前特征数据与目标群组对应的群组特征基线数据不匹配的第二结果信息。其中，目标群组对应的群组特征基线数据为判定目标群组中用户是否为异常用户的基准。
例如，在登录时间的行为维度下，目标群组对应的群组特征基线数据为7:30-10:00。若在登录时间的行为维度下，待识别用户的当前特征数据为8:00，8:00位于7:30-10:00之间，则得到在登录时间的行为维度下的第一判断结果包括第一结果信息，也就是，在登录时间的行为维度下，当前特征数据与目标群组对应的群组特征基线数据匹配。若在登录时间的行为维度下，待识别用户的当前特征数据为11:00，11:00未位于7:30-10:00之间，则得到在登录时间的行为维度下的第一判断结果包括第二结果信息，也就是，在登录时间的行为维度下，当前特征数据与目标群组对应的群组特征基线数据不匹配。
再例如，在访问的应用系统的行为维度下，目标群组对应的群组特征基线数据为{应用A，应用B}。若在访问的应用系统的行为维度下，待识别用户的当前特征数据为应用A，则得到在访问的应用系统的行为维度下的第一判断结果包括第一结果信息，也就是，在访问的应用系统的行为维度下，当前特征数据与目标群组对应的群组特征基线数据匹配。若在访问的应用系统的行为维度下，待识别用户的当前特征数据为应用C，则得到在访问的应用系统的行为维度下的第一判断结果包括第二结果信息，也就是，在访问的应用系统的行为维度下，当前特征数据与目标群组对应的群组特征基线数据不匹配。
步骤106，若第一判断结果为不匹配，则确定待识别用户为异常用户。
其中，该异常用户即为异常登录的网络准入用户。
例如，对于每一行为维度，若该行为维度下的第一判断结果包括第二结果信息，则服务器确定待识别用户在该行为维度下的行为异常，待识别用户为异常用户。若所有行为维度下的第一判断结果均包括第一结果信息，则服务器确定待识别用户为正常用户。
本申请实施例提供的技术方案中，根据待识别用户的所属的目标群组的群组特征基线数据，确定待识别用户是否为异常用户，一个群组中用户的特征基线基本相似，采用群组特征基线数据能够有效的识别出异常登录的网络准入用户，识别出异常用户。
在本申请的一个实施例中，为了进一步提高异常用户识别的准确性，参考图2，图2为本申请实施例提供的异常用户识别方法的第二种流程示意图，该异常用户识别方法包括如下步骤。
步骤201，获取待识别用户的当前行为数据。
步骤202，提取当前行为数据在多个行为维度中各行为维度下的当前特征数据。
步骤203，获取待识别用户的运维信息和地理信息。
步骤204，根据待识别用户的运维信息和地理信息，确定与该运维信息和地理信息匹配的待识别用户所属目标群组。
步骤205，针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果。
步骤201-205与步骤101-105相同。
步骤206，针对每一行为维度，判断在该行为维度下的当前特征数据是否与待识别用户对应的用户特征基线数据匹配，得到第二判断结果。
本申请实施例中，对于每一行为维度，服务器判断该行为维度下的当前特征数据是否与该行为维度下待识别用户对应的用户特征基线数据匹配，进而得到该行为维度下的第一判断结果。第一判断结果包括当前特征数据与待识别用户对应的用户特征基线数据匹配的第三结果信息，或当前特征数据与待识别用户对应的用户特征基线数据不匹配的第四结果信息。其中，待识别用户对应的用户特征基线数据为：判断待识别用户为异常用户还是为正常用户的基准。
本申请实施例中不限定步骤205与步骤206的执行顺序，步骤205可以在步骤206之前执行，也可以在步骤206之后执行，还可以与步骤206同时执行。
步骤207，根据第一判断结果和第二判断结果，确定待识别用户是否为异常用户。
在本申请的一个实施例中，对于每一行为维度，若该行为维度下的第一判断结果包括第二结果信息，且该行为维度下的第二判断结果包括第四结果信息，也就是，该行为维度下的第一判断结果和第二判断结果均为不匹配，则服务器确定待识别用户在该行为维度下的行为异常，待识别用户为异常用户。对于每一行为维度，若该行为维度下的第一判断结果包括第一结果信息，和/或该行为维度下的第二判断结果包括第三结果信息，则服务器确定待识别用户在该行为维度下的行为正常。若待识别用户在所有行为维度下均行为正常，则服务器确定待识别用户为正常用户。本实施例中，结合了用户特征基线数据和群组特征基线数据进行异常用户识别，即考虑了群组的特征，也考虑了用户本身的特征，提高了识别出异常用户的准确率。
在本申请的另一个实施例中，对于每一行为维度，若该行为维度下的第一判断结果包括第二结果信息，或该行为维度下的第二判断结果包括第四结果信息，则服务器可确定待识别用户为异常用户。本实施例中，基于用户特征基线数据进行异常用户识别，和基于群组特征基线数据进行异常用户识别，这两种识别方式中，只要有一种识别方式的识别结果为不匹配，则确定待识别用户为异常用户，提高了识别出异常用户的效率。
在本申请的一个实施例中，在获取待识别用户的当前行为数据之前，还需要确定用户特征基线数据，以及群组特征基线数据。具体的，可参考图3，图3为本申请实施例提供的特征基线数据确定方法的一种流程示意图。该方法包括如下步骤。
步骤301，获取属于目标群组中的多个用户中各用户的历史行为数据。
本申请实施例中，目标群组中的多个用户为网络准入用户。历史行为数据可为当前时刻之前预设时长内待识别用户的行为数据。例如，当前时刻为10:00，预设时长为1个月。历史行为数据为10:00前一个月内用户的行为数据。
历史行为数据的获取可参考上述当前行为数据的获取。
步骤302，针对每一用户的每一历史行为数据，提取该用户的该历史行为数据中在各行为维度下的历史特征数据。
步骤302与步骤102相似，可参考上述步骤102处的描述。
步骤303，基于每一行为维度下的历史特征数据，确定该行为维度下各用户对应的用户特征基线数据。
例如，获取到用户A的历史行为数据为前一个月内用户A每天的行为数据，获取到用户B的历史行为数据为前一个月内用户A每天的行为数据。则可以从用户A每天的行为数据中，提取行为维度1下每一天的历史特征数据(aA1，aA2……aA30)，行为维度2下每一天的历史特征数据(bA1，bA2……bA30)。可以从用户B每天的行为数据中，提取行为维度1下每一天的历史特征数据(aB1，aB2……aB30)，行为维度2下每一天的历史特征数据(bB1，bB2……bB30)。
此时，可以根据历史特征数据(aA1，aA2……aA30)确定行为维度1下用户A对应的用户特征基线数据aA，根据历史特征数据(bA1，bA2……bA30)确定行为维度2下用户A对应的用户特征基线数据bA。可以根据历史特征数据(aB1，aB2……aB30)确定行为维度1下用户B对应的用户特征基线数据aB，根据历史特征数据(bB1，bB2……bB30)确定行为维度2下用户B对应的用户特征基线数据bB。
在本申请的一个实施例中，在确定用户特征基线数据时，对于多个行为维度中每一行为维度下的每一用户，服务器可以获取该用户在该行为维度下的历史特征数据中的第一历史数据特征，作为该行为维度下该用户对应的用户特征基线数据。其中，第一历史数据特征的数量与该用户在该行为维度下的多个历史特征数据的数量的比值超过预设比例阈值。
例如，以登录时间的行为维度为例，预设比例阈值为95％。若统计一个用户A超过95％的登录时间为7:30-9:30，确定在登录时间的行为维度下用户A的用户特征基线数据为7:30-9:30。
在本申请的一个实施例中，为了提高后续使用用户特征基线数据进行异常用户识别的准确性，服务器可以为对用户特征基线数据进行扩展并缓存。例如，服务器预先存储有用户特征基线参考数据与用户的对应关系。在确定一用户的用户特征基线数据后，从预先存储有用户特征基线参考数据与用户的对应关系中，获取该用户对应的用户特征基线参考数据，根据该用户特征基线参考数据对确定该用户的用户特征基线数据进行扩展并缓存。
仍以登录时间的行为维度为例进行说明，若确定在登录时间的行为维度下用户A的用户特征基线数据为7:30-9:30，考虑到工作时间段内都可能发生登录行为，预先存储有用户A对应的用户特征基线参考数据为8:00-21:30，因此可将在登录时间的行为维度下用户A的用户特征基线数据为扩展为7:30-21:30。
步骤304，基于每一行为维度下各用户对应的用户特征基线数据，确定在该行为维度下所述目标群组对应的群组特征基线数据。
在本申请的一个实施例中，在确定群组特征基线数据时，对于多个行为维度中的每一行为维度，服务器获取该行为维度下的用户特征基线数据的并集，作为该行为维度下所述目标群组对应的群组特征基线数据。
例如，以登录时间的行为维度为例，若群组X包括用户A和用户B，确定在登录时间的行为维度下用户A的用户特征基线数据为7:30-9:30，用户A的用户特征基线数据为8:00-10:00，则确定在登录时间的行为维度下群组X对应的群组特征基线数据为7:30-10:00。
再例如，以访问的应用系统的行为维度为例，群组X包括用户A和用户B，确定在访问的应用系统的行为维度下用户A的用户特征基线数据为{应用A，应用B}，用户B的用户特征基线数据为{应用A，应用X}，则确定在访问的应用系统的行为维度下群组X对应的群组特征基线数据为{应用A，应用B，应用X}。
在本申请的一个实施例中，为了提高异常用户识别的准确率，服务器可以每间隔一段时间，重新执行上述步骤301-304，更新用户特征基线数据和群组特征基线数据。
根据上述异常用户识别方法实施例，本申请实施例还提供了一种异常用户识别装置。参考图4，图4为本申请实施例提供的异常用户识别装置的一种结构示意图。该装置包括如下模块。
第一获取模块401，用于获取待识别用户的当前行为数据；
提取模块402，用于提取当前行为数据在多个行为维度中各行为维度下的当前特征数据；
第二获取模块403，用于获取待识别用户的运维信息和地理信息；
第一确定模块404，用于根据待识别用户的运维信息和地理信息，确定与该运维信息和地理信息匹配的待识别用户所属目标群组；
判断模块405，用于针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果；
第二确定模块406，用于若第一判断结果为不匹配，则确定待识别用户为异常用户。
可选的，判断模块405，还可以用于针对每一行为维度，判断在该行为维度下的当前特征数据是否与待识别用户对应的用户特征基线数据匹配，得到第二判断结果；
此时，第二确定模块406，具体可以用于若第一判断结果为不匹配，且第二判断结果为不匹配，则确定待识别用户为异常用户。
可选的，上述异常用户识别装置还可包括：第三确定模块(图4中未示出)和第四确定模块(图4中未示出)；
获取模块401，还可以用于在获取待识别用户的当前行为数据之前，获取属于目标群组的多个用户中各用户的历史行为数据；
提取模块402，还可以用于针对每一用户的每一历史行为数据，提取该用户的该历史行为数据中在各行为维度下的历史特征数据；
第三确定模块，用于基于每一行为维度下的历史特征数据，确定该行为维度下各用户对应的用户特征基线数据；
第四确定模块，用于基于每一行为维度下各用户对应的用户特征基线数据，确定在该行为维度下目标群组对应的群组特征基线数据。
可选的，第三确定模块，具体可以用于对于每一行为维度下的每一用户，获取该用户在该行为维度下的历史特征数据中的第一历史数据特征，作为该行为维度下该用户对应的用户特征基线数据；第一历史数据特征的数量与该用户在该行为维度下的历史特征数据的数量的比值超过预设比例阈值。
可选的，第四确定模块，具体可以用于对于多个每一行为维度，获取该行为维度下各用户对应的用户特征基线数据的并集，作为该行为维度下目标群组对应的群组特征基线数据。
应用本申请实施例提供的异常用户识别装置中，根据待识别用户的所属的目标群组的群组特征基线数据，确定待识别用户是否为异常用户，而一个群组中用户的特征基线基本相似，采用群组特征基线数据能够有效的识别出异常登录的网络准入用户，识别出异常用户。
根据上述异常用户识别方法实施例，本申请实施例还提供了一种电子设备，如图5所示，包括处理器501和机器可读存储介质502，机器可读存储介质502存储有能够被处理器501执行的机器可执行指令。处理器被机器可执行指令促使实现上述图1-3所示的异常用户识别方法的任一步骤。其中，异常用户识别方法包括如下步骤。
获取待识别用户的当前行为数据；
提取当前行为数据在多个行为维度中各行为维度下的当前特征数据；
获取所述待识别用户的运维信息和地理信息；
根据待识别用户的运维信息和地理信息，确定与该运维信息和地理信息匹配的待识别用户所属目标群组；
针对每一行为维度，判断在该行为维度下的当前特征数据是否与目标群组对应的群组特征基线数据匹配，得到第一判断结果；
若第一判断结果为不匹配，则确定待识别用户为异常用户。
应用本申请实施例提供的电子设备中，根据待识别用户的所属的目标群组的群组特征基线数据，确定待识别用户是否为异常用户，而一个群组中用户的特征基线基本相似，采用群组特征基线数据能够有效的识别出异常登录的网络准入用户，识别出异常用户。
在本申请的一个实施例中，如图5所示，电子设备还可以包括：通信接口503和通信总线504；其中，处理器501、机器可读存储介质502、通信接口503通过通信总线504完成相互间的通信，通信接口503用于上述电子设备与其他设备之间的通信。
根据上述异常用户识别方法实施例，本申请实施例还提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，机器可执行指令促使处理器实现上述图1-3所示的异常用户识别方法的任一步骤。
上述通信总线可以是PCI(Peripheral Component Interconnect，外设部件互连标准)总线或EISA(Extended Industry Standard Architecture，扩展工业标准结构)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。
上述机器可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)，也可以包括NVM(Non-Volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。另外，机器可读存储介质还可以是至少一个位于远离前述处理器的存储装置。
上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processing，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于异常用户识别装置、电子设备、机器可读存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims (12)

1.一种异常用户识别方法，其特征在于，所述方法包括：
获取待识别用户的当前行为数据；
提取所述当前行为数据在多个行为维度中各行为维度下的当前特征数据；
获取所述待识别用户的运维信息和地理信息；
根据所述待识别用户的运维信息和地理信息，确定与所述运维信息和地理信息匹配的所述待识别用户所属目标群组；
针对每一所述行为维度，判断在该行为维度下的当前特征数据是否与所述目标群组对应的群组特征基线数据匹配，得到第一判断结果；
若所述第一判断结果为不匹配，则确定所述待识别用户为异常用户。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
针对每一所述行为维度，判断在该行为维度下的当前特征数据是否与所述待识别用户对应的用户特征基线数据匹配，得到第二判断结果；
所述若所述第一判断结果为不匹配，则确定所述待识别用户为异常用户的步骤，包括：
若所述第一判断结果为不匹配，且所述第二判断结果为不匹配，则确定所述待识别用户为异常用户。
3.根据权利要求1所述的方法，其特征在于，在获取待识别用户的当前行为数据之前，还包括：
获取属于所述目标群组的多个用户中各用户的历史行为数据；
针对每一所述用户的每一历史行为数据，提取该用户的该历史行为数据中在各所述行为维度下的历史特征数据；
基于每一所述行为维度下的历史特征数据，确定该行为维度下各用户对应的用户特征基线数据；
基于每一所述行为维度下各用户对应的用户特征基线数据，确定在该行为维度下所述目标群组对应的群组特征基线数据。
4.根据权利要求3所述的方法，其特征在于，所述基于每一所述行为维度下的历史特征数据，确定该行为维度下各用户对应的用户特征基线数据的步骤，包括：
对于每一所述行为维度下的每一用户，获取该用户在该行为维度下的历史特征数据中的第一历史数据特征，作为该行为维度下该用户对应的用户特征基线数据；所述第一历史数据特征的数量与该用户在该行为维度下的历史特征数据的数量的比值超过预设比例阈值。
5.根据权利要求3所述的方法，其特征在于，所述基于每一所述行为维度下各用户对应的用户特征基线数据，确定在该行为维度下所述目标群组对应的群组特征基线数据的步骤，包括：
对于每一所述行为维度，获取该行为维度下各用户对应的用户特征基线数据的并集，作为该行为维度下所述目标群组对应的群组特征基线数据。
6.一种异常用户识别装置，其特征在于，所述装置包括：
第一获取模块，用于获取待识别用户的当前行为数据；
提取模块，用于提取所述当前行为数据在多个行为维度中各行为维度下的当前特征数据；
第二获取模块，用于获取所述待识别用户的运维信息和地理信息；
第一确定模块，用于根据所述待识别用户的运维信息和地理信息，确定与所述运维信息和地理信息匹配的所述待识别用户所属目标群组；
判断模块，用于针对每一所述行为维度，判断在该行为维度下的当前特征数据是否与所述目标群组对应的群组特征基线数据匹配，得到第一判断结果；
第二确定模块，用于若所述第一判断结果为不匹配，则确定所述待识别用户为异常用户。
7.根据权利要求6所述的装置，其特征在于，所述判断模块，还用于针对每一所述行为维度，判断在该行为维度下的所述当前特征数据是否与所述待识别用户对应的用户特征基线数据匹配，得到第二判断结果；
所述第二确定模块，具体用于若所述第一判断结果为不匹配，且所述第二判断结果为不匹配，则确定所述待识别用户为异常用户。
8.根据权利要求6所述的装置，其特征在于，所述装置还包括：第三确定模块和第四确定模块；
所述第一获取模块，还用于在获取待识别用户的当前行为数据之前，获取属于所述目标群组的多个用户中各用户的历史行为数据；
所述提取模块，还用于针对每一所述用户的每一历史行为数据中，提取该用户的该历史行为数据中在各所述行为维度下的历史特征数据；
所述第三确定模块，用于基于每一所述行为维度下的历史特征数据，确定该行为维度下各用户对应的用户特征基线数据；
所述第四确定模块，用于基于每一所述行为维度下各用户对应的用户特征基线数据，确定在该行为维度下所述目标群组对应的群组特征基线数据。
9.根据权利要求8所述的装置，其特征在于，所述第三确定模块，具体用于对于每一所述行为维度下的每一用户，获取该用户在该行为维度下的历史特征数据中的第一历史数据特征，作为该行为维度下该用户对应的用户特征基线数据；所述第一历史数据特征的数量与该用户在该行为维度下的历史特征数据的数量的比值超过预设比例阈值。
10.根据权利要求8所述的装置，其特征在于，所述第四确定模块，具体用于对于每一所述行为维度，获取该行为维度下各用户对应的用户特征基线数据的并集，作为该行为维度下所述目标群组对应的群组特征基线数据。
11.一种电子设备，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-5任一所述的方法步骤。
12.一种机器可读存储介质，其特征在于，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求1-5任一所述的方法步骤。
CN201811012728.0A 2018-08-31 2018-08-31 一种异常用户识别方法及装置 Active CN109120629B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811012728.0A CN109120629B (zh) 2018-08-31 2018-08-31 一种异常用户识别方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811012728.0A CN109120629B (zh) 2018-08-31 2018-08-31 一种异常用户识别方法及装置

Publications (2)

Publication Number Publication Date
CN109120629A true CN109120629A (zh) 2019-01-01
CN109120629B CN109120629B (zh) 2021-07-30

Family

ID=64861514

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811012728.0A Active CN109120629B (zh) 2018-08-31 2018-08-31 一种异常用户识别方法及装置

Country Status (1)

Country Link
CN (1) CN109120629B (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110209551A (zh) * 2019-05-24 2019-09-06 北京奇艺世纪科技有限公司 一种异常设备的识别方法、装置、电子设备及存储介质
CN110991505A (zh) * 2019-11-22 2020-04-10 拉扎斯网络科技（上海）有限公司 异常对象识别方法和装置以及异常行为识别方法和装置
CN111259948A (zh) * 2020-01-13 2020-06-09 中孚安全技术有限公司 一种基于融合机器学习算法的用户安全行为基线分析方法
CN111401478A (zh) * 2020-04-17 2020-07-10 支付宝(杭州)信息技术有限公司 数据异常识别方法以及装置
WO2020164274A1 (zh) * 2019-02-13 2020-08-20 平安科技（深圳）有限公司 网络验证数据的发送方法、装置、存储介质和服务器
CN111865941A (zh) * 2020-07-03 2020-10-30 北京天空卫士网络安全技术有限公司 一种异常行为识别方法和装置
CN115577701A (zh) * 2022-09-23 2023-01-06 刘娇平 针对大数据安全的风险行为识别方法、装置、设备及介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101902366A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 一种业务行为异常检测方法和系统
EP3206153A1 (en) * 2016-02-09 2017-08-16 Darktrace Limited Cyber security
CN107888574A (zh) * 2017-10-27 2018-04-06 深信服科技股份有限公司 检测数据库风险的方法、服务器及存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101902366A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 一种业务行为异常检测方法和系统
EP3206153A1 (en) * 2016-02-09 2017-08-16 Darktrace Limited Cyber security
CN107888574A (zh) * 2017-10-27 2018-04-06 深信服科技股份有限公司 检测数据库风险的方法、服务器及存储介质

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020164274A1 (zh) * 2019-02-13 2020-08-20 平安科技（深圳）有限公司 网络验证数据的发送方法、装置、存储介质和服务器
CN110209551A (zh) * 2019-05-24 2019-09-06 北京奇艺世纪科技有限公司 一种异常设备的识别方法、装置、电子设备及存储介质
CN110209551B (zh) * 2019-05-24 2023-12-08 北京奇艺世纪科技有限公司 一种异常设备的识别方法、装置、电子设备及存储介质
CN110991505A (zh) * 2019-11-22 2020-04-10 拉扎斯网络科技（上海）有限公司 异常对象识别方法和装置以及异常行为识别方法和装置
CN110991505B (zh) * 2019-11-22 2023-12-26 拉扎斯网络科技（上海）有限公司 异常对象识别方法和装置以及异常行为识别方法和装置
CN111259948A (zh) * 2020-01-13 2020-06-09 中孚安全技术有限公司 一种基于融合机器学习算法的用户安全行为基线分析方法
CN111401478A (zh) * 2020-04-17 2020-07-10 支付宝(杭州)信息技术有限公司 数据异常识别方法以及装置
CN111865941A (zh) * 2020-07-03 2020-10-30 北京天空卫士网络安全技术有限公司 一种异常行为识别方法和装置
CN115577701A (zh) * 2022-09-23 2023-01-06 刘娇平 针对大数据安全的风险行为识别方法、装置、设备及介质
CN115577701B (zh) * 2022-09-23 2023-09-19 刘娇平 针对大数据安全的风险行为识别方法、装置、设备及介质

Also Published As

Publication number Publication date
CN109120629B (zh) 2021-07-30

Similar Documents

Publication Publication Date Title
CN109120629A (zh) 一种异常用户识别方法及装置
US11138300B2 (en) Multi-factor profile and security fingerprint analysis
US10740411B2 (en) Determining repeat website users via browser uniqueness tracking
US9275348B2 (en) Identifying participants for collaboration in a threat exchange community
US8856928B1 (en) Protecting electronic assets using false profiles in social networks
US10491621B2 (en) Website security tracking across a network
CN107465651A (zh) 网络攻击检测方法及装置
EP3067817A1 (en) Dynamic data masking for mainframe application
US11087334B1 (en) Method and system for identifying potential fraud activity in a tax return preparation system, at least partially based on data entry characteristics of tax return content
CN108353079A (zh) 对针对基于云的应用的网络威胁的检测
CN106357609B (zh) 一种创建用户的方法和系统、公网服务器及私有云设备
CN108052824A (zh) 一种风险防控方法、装置及电子设备
CN114139178A (zh) 基于数据链路的数据安全监测方法、装置和计算机设备
Camp Reconceptualizing the role of security user
CN109510800B (zh) 一种网络请求处理方法、装置、电子设备及存储介质
EP2896005A1 (en) Multi-factor profile and security fingerprint analysis
CN109446807A (zh) 用于识别拦截恶意机器人的方法、装置以及电子设备
DeSombre et al. Surveillance technology at the fair: Proliferation of cyber capabilities in international arms markets
WO2020208429A1 (en) System and method to find origin and to prevent spread of false information on an information sharing systems
CN108933678A (zh) 运维审计系统
Yuqing Research on personal information security on social network in big data era
CN111767481A (zh) 访问处理方法、装置、设备和存储介质
Mondek et al. Security analytics in the big data era
US20220321563A1 (en) Automated Bot Blocking
Vieira Nicole Eagan:“Cybersecurity is very fast becoming an all-out arms race”

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant