CN109818942A - 一种基于时序特征的用户帐号异常检测方法及装置 - Google Patents

Abstract

本发明实施例提供一种基于时序特征的用户帐号异常检测方法，所述方法包括：根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；获取用户帐号的当前数据，根据所述多个异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。本发明是技术方案通过基于时序模型的用户帐号评测和基于关联规则分析的异常特征集匹配，捕捉用户的动态行为变化，提高实际应用中的异常帐号检测的准确性和可解释性。

Description

一种基于时序特征的用户帐号异常检测方法及装置

技术领域

本发明涉及网络安全领域，具体涉及一种基于时序特征的用户帐号异常检测方法及装置。

背景技术

常用的网络帐号、主机帐号被盗可能会造成信息泄露、资金损失，或者对用户间的信任关系造成影响。因此，异常帐号检测一直是安全研究领域的关键问题之一。针对异常帐号所带来的威胁，学术界和工业界都提出了大量的检测方案，根据这些方案所采用核心算法的不同具体可以分为四类：

第一种是基于经验知识的检测方法。基于经验知识打分的方法过于依赖专家知识，且没有普适性。异常盗号行为通常会动态变化来逃避异常检测，当前的经验规则不一定会适应之后的用户数据，需要开发人员一直跟踪数据变化且更新打分规则，设计开发成本太大。此外，不同的应用场景有不同的业务规则，需要依赖领域知识设计该场景下的检测算法，因此该方法没有可拓展性和可借鉴性。

第二种是有监督分类方法，利用用户的行为特征以及发布的内容来区分正常帐号和异常帐号。基于分类的检测方法需要大量的带标记数据集，然而现实中的应用场景通常很难收集到大量的异常数据集，且样本类别极度不均衡。此外，该类方法只能够检测已知的训练集中的异常类型，对于未出现的异常无法检测出来。

第三种是聚类检测方法。该类方法相比于第二种分类方法，不需要提前对样本数据进行标识。基于聚类的检测方法不容易检测不同类型的异常帐号，且计算复杂性较高。

第四种是基于社交关系的图挖掘异常检测方法。社交网络应用的一个重要特性就是用户帐号之间存在联系，如微博中的相互关注、微信的好友关系等。该类方法的一个基本假设是正常用户与异常用户在社交关系图中有不同的连接方式和结构。基于图挖掘的检测方法需要基于社交关系构建用户关系图，然而社交网络应用中用户群庞大且关系复杂，因此构建图以及图挖掘的计算量极大。另外，该方法只能检测与其他帐号有联系的异常行为，准确率比较低。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

以上的这些检测方法只考虑了用户的静态行为特征，比如用户的个人信息、好友关系等，没有考虑时序特征，无法捕捉用户的动态行为。由于异常盗号行为一直处于动态变化中，因此需要经常更新检测模型，计算成本大，特别是基于图挖掘的算法，没有实用价值。基于分类和基于聚类的方法的检测准确率都依赖于具体的机器学习算法，并且检测结果没有可解释性，不了解具体因为哪些原因用户被判为异常，不利于分析用户的异常行为。

发明内容

本发明实施例提供一种基于时序特征的用户帐号异常检测方法，通过基于时序模型的用户帐号评测和基于关联规则分析的异常特征集匹配，捕捉用户的动态行为变化，提高实际应用中的异常帐号检测的准确性和可解释性。

一方面，本发明实施例提供了一种基于时序特征的用户帐号异常检测方法，所述方法包括：

根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。

另一方面，本发明实施例提供了一种基于时序特征的用户帐号异常检测装置，所述装置包括：

模型构建单元，用于根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

检测单元，用于获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

计算单元，用于计算所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

判断单元，用于当所述综合异常得分大于预设分数阈值时，判定用户帐号为异常用户帐号。

上述技术方案具有如下有益效果：本发明实施例提供的一种基于时序特征的用户帐号异常检测方法，相比于以往的异常检测方法，通过基于时序模型的用户帐号评测，该方法能捕捉用户的动态行为变化，能提高实际应用中的检测准确性。并且按照多个特征维度进行评定，其检测结果有很好的可解释性，可以批量分析账户的异常行为，有助于持续优化算法。相比现有技术中的基于分类、聚类、图挖掘的算法，本申请的方法计算复杂性低，且动态更新的成本也比较小。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例的用户帐号异常检测方法的流程图；

图2是本发明实施例的用户帐号异常检测装置的结构示意图；

图3是本发明又一实施例的用户帐号异常检测装置的结构示意图；

图4是本发明实施例的模型构建单元的结构示意图；

图5是本发明实施例的关联判断单元的结构示意图；

图6是本发明实施例的帐号异常监测算法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明提供的一种基于时序特征的用户帐号异常检测方法，包括：

101、根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

该步骤中，首先对多个维度下的用户历史记录数据，所述多个特征维度包括：所述用户帐号下的登录次数、登录时间段及图文发送数量。常见的时间序列检测模型有指数平滑模型、移动平均模型以及以鲁棒局部加权回归作为平滑方法的时间序列分解方法(STL)等等。

102、获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

该步骤中，对于新的待测用户数据，在多个特征维度下分别使用对应的时间序列模型进行异常打分，并且将分值进行归一化，压缩至[0,1]区间。

103、将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

104、当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。

上述两个步骤中，对用户数据在各个维度下的分值进行加和取平均，得到一个综合异常得分，倘若用户的异常分数超过给定阈值(0.5)将被判定为异常用户，否则为正常用户。

通过分析检测多个特征维度下用户实际活动与正常模型偏离度是否在一定的阈值之内，对用户的行为进行决策推断，发现行为是否有异常。

上述方法能捕捉用户的动态行为变化，能提高实际应用中的检测准确性。因为实际应用场景中，用户的行为往往具有周期性特征，通过将当前用户行为与历史记录进行比较能有效识别异常行为。

通过从多个维度分别构建时序模型对用户的当前状态进行判断，以及明确的异常关联特征集匹配，我们能清楚的知道用户被判别为异常的原因。对异常检测结果有比较好的可解释性。

通过上述步骤检测帐号异常的方法的动态更新的成本小。用户的异常行为常处于动态变化中，今天的检测算法不一定适合于明天的用户行为状态。以往的检测算法每隔一段时间需要重新训练一次，计算维护成本大。该方法通过维护序列数据以及提取时序特征，能时刻检测到行为异常。

进一步地，所述根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型，包括：

将所述历史记录数据在多个特征维度下通过以鲁棒局部加权回归作为平滑方法的时间序列分解方法进行时间序列分解；

通过广义离群检验算法识别经过时间序列分解后的每个特征维度下的数据的离群点，构建用户的多个特征维度的时间序列异常检测算法模型。

即采用Seasonal Hybrid ESD模型，是先用STL把时间序列分解，然后再用广义离群检验算法Generalized ESD识别离群点，即异常点，该模型常用于检测具有周期性、趋势等特征的序列异常点，比较符合我们的应用场景。

进一步优选选地，所述方法还包括：

如果所述综合异常得分小于或等于预设分数阈值，判定该用户帐号为待测用户帐号；

通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号。

即利用数据挖掘中的关联规则分析的方法可以发现用户特征之间的联系，识别异常特征组合。

进一步地，所述通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号，包括：

获取所有用户帐号的特征数据；

具体为对所有用户提取用户帐号的特征数据，所述用户帐号的特征数据包括静态特征(用户属性和行为特征，比如粉丝数量、是否绑定手机等等)和动态特征(比如每天登录次数与历史数据的同比值、环比值、以及方差等等)。

使用关联规则分析法分析已识别的异常用户帐号的特征数据，根据所述异常用户帐号的特征数据的共现频率，确定异常关联特征集；

具体为对于已识别的异常用户帐号，使用关联规则分析法得到异常用户帐号的特征数据中，共现率高的的特征，将共现率高的的特征作为异常关联特征集。在我们的技术实现中使用FP-Growth算法，相比于Apriori算法，FP-Growth算法更高效。

将待测用户帐号的特征数据与所述异常关联特征集进行异常特征匹配，若所述待测用户帐号的特征数据与异常关联特征集具有匹配项，则判定该待测用户帐号为异常用户帐号。

具体为对已经判断的不属于异常的用户进行异常关联特征集匹配，若该用户的特征组合属于异常关联特征集中的某一条，则将该用户判定为异常用户。

通过异常关联特征集的判断是对基于时序模型的异常检测结果进行补充。对判定为正常的用户进行异常特征集匹配，能够提高检测算法的召回率，避免遗漏。

通过以上两个判断模块，分析用户的时序特征来检测异常帐户能达到比较好的准确性，且检测结果可解释。若用户在时序特征的检测模块中被判定为异常用户，可以很清楚的得到具体在哪个时序特征维度异常分数值比较高，若用户在通过异常关联特征集的判断模块中被判定为异常，也能明确知道具体触犯了哪一条异常规则集，以此我们能分析批量用户的异常行为，制定一些有效策略预防减少被盗风险。

如图2所示，本发明提供的一种基于时序特征的用户帐号异常检测装置，包括：

模型构建单元21，用于根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

检测单元22，用于获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

计算单元23，用于计算所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

判断单元24，用于当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。

进一步地，如图4所示所述模型构建单元21，包括：

数据分解模块211，用于将所述历史记录数据在多个特征维度下通过以鲁棒局部加权回归作为平滑方法的时间序列分解方法进行时间序列分解；

构建模块212，用于通过广义离群检验算法识别经过时间序列分解后的每个特征维度下的数据的离群点，构建用户的多个特征维度的时间序列异常检测算法模型。

进一步地，所述多个特征维度包括：所述用户帐号下的登录次数、登录时间段及图文发送数量。

进一步优选地，所述判断单元还用于，如果所述综合异常得分小于或等于预设分数阈值，判定该用户帐号为待测用户帐号；以及，

如图3所示，所述装置还包括：

关联判断单元25，用于通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号。

进一步地，如图5所示所述关联判断单元25，包括：

特征数据获取模块251，用于获取所有用户帐号的特征数据；

特征数据分析模块252，用于使用关联规则分析法分析已识别的异常用户帐号的特征数据，根据所述异常用户帐号的特征数据的共现频率，确定异常关联特征集；

关联判断模块253，用于将待测用户帐号的特征数据与所述异常关联特征集进行异常特征匹配，若所述待测用户帐号的特征数据与异常关联特征集具有匹配项，则判定该待测用户帐号为异常用户帐号。

应该明白，公开的过程中的步骤的特定顺序或层次是示例性方法的实例。基于设计偏好，应该理解，过程中的步骤的特定顺序或层次可以在不脱离本公开的保护范围的情况下得到重新安排。所附的方法权利要求以示例性的顺序给出了各种步骤的要素，并且不是要限于所述的特定顺序或层次。

在上述的详细描述中，各种特征一起组合在单个的实施方案中，以简化本公开。不应该将这种公开方法解释为反映了这样的意图，即，所要求保护的主题的实施方案需要比清楚地在每个权利要求中所陈述的特征更多的特征。相反，如所附的权利要求书所反映的那样，本发明处于比所公开的单个实施方案的全部特征少的状态。因此，所附的权利要求书特此清楚地被并入详细描述中，其中每项权利要求独自作为本发明单独的优选实施方案。

为使本领域内的任何技术人员能够实现或者使用本发明，上面对所公开实施例进行了描述。对于本领域技术人员来说；这些实施例的各种修改方式都是显而易见的，并且本文定义的一般原理也可以在不脱离本公开的精神和保护范围的基础上适用于其它实施例。因此，本公开并不限于本文给出的实施例，而是与本申请公开的原理和新颖性特征的最广范围相一致。

上文的描述包括一个或多个实施例的举例。当然，为了描述上述实施例而描述部件或方法的所有可能的结合是不可能的，但是本领域普通技术人员应该认识到，各个实施例可以做进一步的组合和排列。因此，本文中描述的实施例旨在涵盖落入所附权利要求书的保护范围内的所有这样的改变、修改和变型。此外，就说明书或权利要求书中使用的术语“包含”，该词的涵盖方式类似于术语“包括”，就如同“包括，”在权利要求中用作衔接词所解释的那样。此外，使用在权利要求书的说明书中的任何一个术语“或者”是要表示“非排它性的或者”。

本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块(illustrative logical block)，单元，和步骤可以通过电子硬件、电脑软件，或两者的结合进行实现。为清楚展示硬件和软件的可替换性(interchangeability)，上述的各种说明性部件(illustrative components)，单元和步骤已经通用地描述了它们的功能。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。

本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。

本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用户终端中的不同的部件中。

在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于时序特征的用户帐号异常检测方法，其特征在于，所述方法包括：

根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

将所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。

2.根据权利要求1所述的基于时序特征的用户帐号异常检测方法，其特征在于，所述根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型，包括：

将所述历史记录数据在多个特征维度下通过以鲁棒局部加权回归作为平滑方法的时间序列分解方法进行时间序列分解；

通过广义离群检验算法识别经过时间序列分解后的每个特征维度下的数据的离群点，构建用户的多个特征维度的时间序列异常检测算法模型。

3.根据权利要求1所述的基于时序特征的用户帐号异常检测方法，其特征在于，所述多个特征维度包括：所述用户帐号下的登录次数、登录时间段、及图文发送数量。

4.根据权利要求1所述的基于时序特征的用户帐号异常检测方法，其特征在于，所述方法还包括：

如果所述综合异常得分小于或等于预设分数阈值，判定该用户帐号为待测用户帐号；

通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号。

5.根据权利要求4所述的基于时序特征的用户帐号异常检测方法，其特征在于，所述通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号，包括：

获取所有用户帐号的特征数据；

使用关联规则分析法分析已识别的异常用户帐号的特征数据，根据已识别的异常用户帐号的特征数据的共现频率，确定异常关联特征集；

将待测用户帐号的特征数据与所述异常关联特征集进行异常特征匹配，若所述待测用户帐号的特征数据与异常关联特征集具有匹配项，则判定该待测用户帐号为异常用户帐号。

6.一种基于时序特征的用户帐号异常检测装置，其特征在于，所述装置包括：

模型构建单元，用于根据用户帐号的历史记录数据，构建多个特征维度的时间序列异常检测算法模型；

检测单元，用于获取用户帐号的当前数据，根据所述多个特征维度的时间序列异常检测算法模型，从所述多个特征维度分别对所述当前数据进行异常检测，得到所述当前数据在所述多个特征维度的分值；

计算单元，用于计算所述多个特征维度的分值的平均值，作为所述当前数据的综合异常得分；

判断单元，用于当所述综合异常得分大于预设分数阈值时，判定该用户帐号为异常用户帐号。

7.根据权利要求6所述的基于时序特征的用户帐号异常检测装置，其特征在于，所述模型构建单元，包括：

数据分解模块，用于将所述历史记录数据在多个特征维度下通过以鲁棒局部加权回归作为平滑方法的时间序列分解方法进行时间序列分解；

构建模块，用于通过广义离群检验算法识别经过时间序列分解后的每个特征维度下的数据的离群点，构建用户的多个特征维度的时间序列异常检测算法模型。

8.根据权利要求6所述的基于时序特征的用户帐号异常检测装置，其特征在于，所述多个特征维度包括：所述用户帐号下的登录次数、登录时间段、及图文发送数量。

9.根据权利要求6所述的基于时序特征的用户帐号异常检测装置，其特征在于，所述判断单元还用于，如果所述综合异常得分小于或等于预设分数阈值，判定该用户帐号为待测用户帐号；以及，

所述装置还包括：

关联判断单元，用于通过用户帐号间的基于关联规则分析的异常特征匹配，进一步判断待测用户帐号是否为异常用户帐号。

10.根据权利要求9所述的基于时序特征的用户帐号异常检测装置，其特征在于，所述关联判断单元，包括：

特征数据获取模块，用于获取所有用户帐号的特征数据；

特征数据分析模块，用于使用关联规则分析法分析已识别的异常用户帐号的特征数据，根据所述异常用户帐号的特征数据的共现频率，确定异常关联特征集；

关联判断模块，用于将待测用户帐号的特征数据与所述异常关联特征集进行异常特征匹配，若所述待测用户帐号的特征数据与异常关联特征集具有匹配项，则判定该用户帐号为异常用户帐号。