CN111753293A - 一种操作行为监测方法、装置及电子设备和存储介质 - Google Patents
一种操作行为监测方法、装置及电子设备和存储介质 Download PDFInfo
- Publication number
- CN111753293A CN111753293A CN202010605998.3A CN202010605998A CN111753293A CN 111753293 A CN111753293 A CN 111753293A CN 202010605998 A CN202010605998 A CN 202010605998A CN 111753293 A CN111753293 A CN 111753293A
- Authority
- CN
- China
- Prior art keywords
- target
- operation behavior
- data item
- data
- frequency
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 60
- 238000012544 monitoring process Methods 0.000 title claims abstract description 53
- 230000005484 gravity Effects 0.000 claims abstract description 26
- 238000012806 monitoring device Methods 0.000 claims abstract description 13
- 230000006399 behavior Effects 0.000 claims description 200
- 230000000875 corresponding effect Effects 0.000 claims description 94
- 238000012545 processing Methods 0.000 claims description 23
- 238000002372 labelling Methods 0.000 claims description 22
- 238000010606 normalization Methods 0.000 claims description 9
- 230000008569 process Effects 0.000 claims description 9
- 238000004590 computer program Methods 0.000 claims description 7
- 230000009467 reduction Effects 0.000 claims description 7
- 230000002596 correlated effect Effects 0.000 claims description 6
- 238000010586 diagram Methods 0.000 description 12
- 238000004891 communication Methods 0.000 description 7
- 230000009471 action Effects 0.000 description 4
- 238000004364 calculation method Methods 0.000 description 4
- 230000005236 sound signal Effects 0.000 description 4
- 230000002159 abnormal effect Effects 0.000 description 3
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000003491 array Methods 0.000 description 1
- 238000004422 calculation algorithm Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
- 238000005065 mining Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Alarm Systems (AREA)
Abstract
本申请公开了一种操作行为监测方法、装置及一种电子设备和计算机可读存储介质，该方法包括：获取目标用户的目标历史操作行为数据，按照不同的维度对目标历史操作行为数据进行数据统计以便建立多维坐标系；当接收到目标操作行为时，确定目标操作行为在每个维度对应的目标数据项，并判断多维坐标系中是否存在目标数据项对应的标注点；若是，则将标注点的密度增加一；若否，则在多维坐标系中确定目标数据项对应的标注点，并将标注点的密度设置为一；根据每个坐标轴上所有标注点的密度计算每个坐标轴对应的重心位置，基于所有重心位置确定目标点以便根据目标点的位置对目标操作行为进行安全监测，通过多维坐标定位方案来分析用户行为的安全可信度。
Description
技术领域
本申请涉及服务器技术领域，更具体地说，涉及一种操作行为监测方法、装置及一种电子设备和一种计算机可读存储介质。
背景技术
在信息时代，每时每刻都有数以千万计的用户通过账号密码登录各种各样的服务，但由于网络固有的开放性及资源共享性，账号密码被非法盗用的现象时有发生。尤其是当网络服务器或主机的账号密码泄露，通过密码静态保护的服务器已无法识别用户的合法性，这可能对服务器拥有者及相关企业、单位造成巨大的风险和损失。
在网络支付场景中，采用PrefixSpan关联算法对用户行为进行序列挖掘，保存到特征数据库，继而进行用户行为序列匹配来确认用户支付环境的可信级别。在网络流量场景中，通过用户流量行为表征的与待检测用户信息相匹配来检测。服务器(多为Linux操作系统)上的用户行为与前述场景差异较大，用户通常通过执行各种命令对相关资源进行操作。
因此，如何对服务器中的用户操作行为进行安全性监测是本领域技术人员需要解决的技术问题。
发明内容
本申请的目的在于提供一种操作行为监测方法、装置及一种电子设备和一种计算机可读存储介质，实现了对服务器中的用户操作行为进行安全性监测。
为实现上述目的，本申请提供了一种操作行为监测方法，包括：
获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；
若是，则将所述标注点的密度增加一；
若否，则在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
其中，所述按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系，包括：
按照不同的维度对所述目标历史操作行为数据进行数据统计，得到每个所述维度包含的所有数据项和每个所述数据项的频次，并对所述频次进行归一化处理得到每个所述数据项的标准频次；
建立多维坐标系，并基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上；其中，所述多维坐标系中的坐标轴与所述维度一一对应，A＝1-fA，A为所述数据项的标注位置的坐标值，fA为所述数据项的标准频次。
其中，所述基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上之后，还包括：
确定每个所述坐标轴对应的数据项总数，并计算每个所述坐标轴的单位距离p；其中，p＝1/S，S为所述数据项总数；
相应的，在所述多维坐标系中确定所述目标数据项对应的标注点，包括：
若所述目标历史操作行为数据中存在所述目标数据项，则B＝1-fB，B为所述目标数据项的标注点的坐标值，fB为所述目标数据项在所述目标历史操作行为数据中的标准频次；
若所述目标历史操作行为数据中不存在所述目标数据项，则B＝1+bp，b为正整数，b与所述目标数据项在所述目标操作行为中的频次呈负相关。
其中，对所述频次进行归一化处理得到每个所述数据项的标准频次之前，还包括：
获取所有用户的历史操作行为数据，确定不同用户的历史操作行为数据中的重复数据项；
按照所述重复数据项频次越多权重越低的原则对所述目标历史操作行为数据中的重复数据项进行降噪处理，以便更新所述数据项的频次；
相应的，对所述频次进行归一化处理得到每个所述数据项的标准频次，包括：
对更新后的频次进行归一化处理得到每个所述数据项的标准频次。
其中，所述数据项的频次更新公式为：
其中，f0为所述数据项更新后的频次，f为所述数据项的原始频次，F为所有用户对应的历史操作行为数据中所述数据项的频次总和，N为用户总数，n为出现所述数据项的用户总数，k为经验系数。
其中，所述根据所述目标点的位置对所述目标操作行为进行安全监测，包括：
判断所述目标点是否在预设的安全区域内；若是，则判定所述目标操作行为为安全操作行为；
或，基于所述目标点与所述多维坐标系中原点的距离计算所述目标操作行为的安全可信度；其中，所述安全可信度与所述目标点与所述多维坐标系中原点的距离呈负相关。
其中，所述维度包括工作目录、操作指令和登录标识。
为实现上述目的，本申请提供了一种操作行为监测装置，包括：
建立模块，用于获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
判断模块，用于当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则启动密度更新模块的工作流程；若否，则启动确定模块的工作流程；
所述密度更新模块，用于将所述标注点的密度增加一；
所述确定模块，用于在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
监测模块，用于根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
为实现上述目的，本申请提供了一种电子设备，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如上述操作行为监测方法的步骤。
为实现上述目的，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述操作行为监测方法的步骤。
通过以上方案可知，本申请提供的一种操作行为监测方法，包括：获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则将所述标注点的密度增加一；若否，则在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
本申请提供的操作行为监测方法，将历史操作行为数据按照不同的维度进行统计，建立多维坐标系。当接收到目标操作行为时，将其转换为建立多维坐标系中的点，距离原点越近的点表示可信程度越高，超过原点一定距离的点表示风险程度较高，从而对用户操作行为进行定量分析与监测。由此可见，本申请提供的操作行为监测方法，通过多维坐标定位方案来定量分析用户行为的安全可信度，能够快速监测识别异常用户行为，及时提示风险以降低后续损失。本申请还公开了一种操作行为监测装置及一种电子设备和一种计算机可读存储介质，同样能实现上述技术效果。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。附图是用来提供对本公开的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本公开，但并不构成对本公开的限制。在附图中：
图1为根据一示例性实施例示出的一种操作行为监测方法的流程图；
图2为根据一示例性实施例示出的另一种操作行为监测方法的流程图；
图3为本申请提供的一种应用实施例的整体流程示意图；
图4为维度数据处理装置的详细步骤示意图；
图5为监测装置的详细步骤示意图；
图6为根据一示例性实施例示出的一种操作行为监测装置的结构图；
图7为根据一示例性实施例示出的一种电子设备的结构图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
本申请实施例公开了一种操作行为监测方法，实现了对服务器中的用户操作行为进行安全性监测。
参见图1，根据一示例性实施例示出的一种操作行为监测方法的流程图，如图1所示，包括：
S101：获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
在本实施例中，获取一段时间内目标用户登录服务器的操作行为数据，即目标历史操作行为数据，按照不同的维度对其进行数据统计，得到目标历史操作行为数据包含的所有数据项并确定各维度对应的数据项。基于各数据项的频次建立多维坐标系，多维坐标系中的坐标轴与维度一一对应。
此处的维度可以包括工作目录、操作指令和登录标识。工作目标是指Linux系统上的用户执行一些操作命令所在文件目录，代表用户执行命令时所在的文件树位置，例如“/root/foo”、“/etc/bar”、“/home/userA”等。操作指令是指用户登录Linux操作系统后输入的操作指令，例如“cd/root/foo”、“who am i”、“hdfs dfs-ls/bar”等。
S102：当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则进入S103；若否，则进入S104；
S103：将所述标注点的密度增加一；
S104：在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
在具体实施中，当接收到目标操作行为时，将其转换为多维坐标系中的点。首先确定目标操作行为在每个维度对应的目标数据项，其次将各个目标数据项标注在多维坐标系中，即在各个目标数据项所属维度对应的坐标轴上确定目标数据项对应的标注点，并确定各个目标数据项的密度。
具体的，若目标历史行为数据中存在目标数据项，则目标数据项对应的标注点的坐标值小于1。优选的，目标数据项对应的标注点的坐标值与其在目标历史行为数据中的频次呈负相关，即该目标数据项在目标历史行为数据中的频次越高，其对应的标注点的坐标值越小，越靠近原点。若目标历史行为数据中不存在目标数据项，则目标数据项对应的标注点的坐标值大于1。优选的，目标数据项对应的标注点的坐标值与其在所有目标操作行为中的频次呈负相关，即该目标数据项在所有目标操作行为中的频次越高，其对应的标注点的坐标值越小，越靠近1。
例如，工作目录对应多维坐标系的x轴，操作指令对应y轴，登录标识对应z轴，目标操作行为在各个维度对应的数据项为：工作目录A、操作指令B和登录标识C。若目标历史操作行为数据中存在工作目录A和操作指令B，则工作目录A的标注点位于x轴的[0,1]，操作指令B的标注点位于y轴的[0,1]，登录标识C的标注点位于z轴大于1的位置。
S105：根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
在本步骤中，计算每个坐标轴对应的重心位置，计算公式为：
基于各坐标轴的重心位置可以唯一确定目标点，基于目标点的位置对目标操作行为进行安全监测。作为一种可行的实施方式，所述根据所述目标点的位置对所述目标操作行为进行安全监测的步骤可以包括：判断所述目标点是否在预设的安全区域内；若是，则判定所述目标操作行为为安全操作行为。作为另一种可行的实施方式，所述根据所述目标点的位置对所述目标操作行为进行安全监测的步骤可以包括：基于所述目标点与所述多维坐标系中原点的距离计算所述目标操作行为的安全可信度；其中，所述安全可信度与所述目标点与所述多维坐标系中原点的距离呈负相关。
本申请实施例提供的操作行为监测方法，将历史操作行为数据按照不同的维度进行统计，建立多维坐标系。当接收到目标操作行为时，将其转换为建立多维坐标系中的点，距离原点越近的点表示可信程度越高，超过原点一定距离的点表示风险程度较高，从而对用户操作行为进行定量分析与监测。由此可见，本申请实施例提供的操作行为监测方法，通过多维坐标定位方案来定量分析用户行为的安全可信度，能够快速监测识别异常用户行为，及时提示风险以降低后续损失。
本申请实施例公开了一种操作行为监测方法，相对于上一实施例，本实施例对技术方案作了进一步的说明和优化。具体的：
参见图2，根据一示例性实施例示出的另一种操作行为监测方法的流程图，如图2所示，包括：
S201：获取目标用户的目标历史操作行为数据；
S202：按照不同的维度对所述目标历史操作行为数据进行数据统计，得到每个所述维度包含的所有数据项和每个所述数据项的频次，并对所述频次进行归一化处理得到每个所述数据项的标准频次；
S203：建立多维坐标系，并基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上；
其中，所述多维坐标系中的坐标轴与所述维度一一对应，A＝1-fA，A为所述数据项的标注位置的坐标值，fA为所述数据项的标准频次。
在本实施例中，需要将目标历史操作行为数据中的数据项标注在其所属维度对应坐标轴的[0,1]，因此需要对各数据项的频次进行归一化处理得到标准频次。
优选的，对所述频次进行归一化处理得到每个所述数据项的标准频次之前，还包括：获取所有用户的历史操作行为数据，确定不同用户的历史操作行为数据中的重复数据项；按照所述重复数据项频次越多权重越低的原则对所述目标历史操作行为数据中的重复数据项进行降噪处理，以便更新所述数据项的频次；相应的，对所述频次进行归一化处理得到每个所述数据项的标准频次，包括：对更新后的频次进行归一化处理得到每个所述数据项的标准频次。
在具体实施中，获取所有用户的历史操作行为数据，跨用户统计各数据项的频次，对不同用户均包含的重复数据项，基于频次越多权重越低的原则进行降噪处理，以更新目标历史操作行为中重复数据项的频次，数据项的频次更新公式为：
其中，f0为所述数据项更新后的频次，f为所述数据项的原始频次，F为所有用户对应的历史操作行为数据中所述数据项的频次总和，N为用户总数，n为出现所述数据项的用户总数，k为经验系数，可以根据该数据项在目标用户所属技术领域的重要程度进行调整。
归一化处理的公式为：
数据项的标注位置的坐标值A与其标准频次呈负相关，具体的，A＝1-fA。
S204：当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则进入S205；若否，则进入S206；
S205：将所述标注点的密度增加一；
S206：在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
在本实施例中，对于目标历史操作行为数据中不存在的目标数据项，其标注位置之间的距离可以与对应坐标轴的单位距离相关。具体的，所述基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上之后，还包括：确定每个所述坐标轴对应的数据项总数，并计算每个所述坐标轴的单位距离p；其中，p＝1/S，S为所述数据项总数。
相应的，在所述多维坐标系中确定所述目标数据项对应的标注点，包括：若所述目标历史操作行为数据中存在所述目标数据项，则B＝1-fB，B为所述目标数据项的标注点的坐标值，fB为所述目标数据项在所述目标历史操作行为数据中的标准频次；若所述目标历史操作行为数据中不存在所述目标数据项，则B＝1+bp，b为正整数，b与所述目标数据项在所述目标操作行为中的频次呈负相关。
在具体实施中，对于目标历史操作行为数据中不存在的目标数据项，其标注点的坐标值与其在目标操作行为中的频次呈负相关，该目标数据项在所有目标操作行为中的频次越高，其对应的标注点的坐标值越小，越靠近1，且各目标数据项对应的标注点之间的距离为所属坐标轴单位距离的整数倍。
S207：根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
下面介绍本申请提供的一种应用实施例，其实现包括维度数据处理装置、多维定位装置和监测装置，整体流程示意图如图3所示。
维度数据处理装置：将一段时间内的服务器用户的历史操作行为，先按用户分成不同的数据包，每个数据包按“工作目录”、“操作指令”、“登录标识”分为三个维度，在每个维度中进行统计处理、数据降噪处理和数据归一化处理，本装置详细步骤示意图如图4所示，可以包括以下步骤：
步骤1：把用户数据包按照维度分类，统计各个数据项出现的频次；
步骤2：跨用户分类统计各数据项的频次，对在不同用户分类下的重复的数据项，按照出现越多权重越低的原则进行降噪处理，如下式：
其中，f0为所述数据项更新后的频次，f为所述数据项的原始频次，F为所有用户对应的历史操作行为数据中所述数据项的频次总和，N为用户总数，n为出现所述数据项的用户总数，k为经验系数，一般可取值范围是0.5～2.0。
步骤3：在每个维度，将子步骤2中数据项的频次值，分维度采用“最小-最大归一化”方法映射到[0,1]，处理方法如下式：
多维定位装置：以工作目录、操作指令、登录标识这三个维度数据作三轴坐标系的x，y，z轴，按照逆序的方法以(1-f0')为坐标值将数据项标注在各坐标轴上，并保持数据项与其对应的坐标轴刻度值的绑定关系；
监测装置：对于新到来的数据，按照数据项相等或相似在各维度轴上打点，本装置详细步骤示意图如图5所示：
A.若已存在该数据项，则直接标记位置点Ci；
B.若不存在该数据项，则将此项标记在1之后的位置点Ci，不同项按频次降序；
C.若位置点已标记过，则该点的值增加1，并把这个值记作该点的密度Pi；
D.对于同一维度轴上的多个点，依据下式求得其重心PC：
根据标记的三个PC值，计算其唯一确定的点与原点的距离，则距离越大，安全可信度越低，可以设置一个距离阈值，或一个空间范围表示安全区；如果超出阈值或安全区则认为达到提示风险的下一步操作。
下面对本申请实施例提供的一种操作行为监测装置进行介绍，下文描述的一种操作行为监测装置与上文描述的一种操作行为监测方法可以相互参照。
参见图6，根据一示例性实施例示出的一种操作行为监测装置的结构图，如图6所示，包括：
建立模块601，用于获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
判断模块602，用于当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则启动密度更新模块603的工作流程；若否，则启动确定模块604的工作流程；
所述密度更新模块603，用于将所述标注点的密度增加一；
所述确定模块604，用于在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
监测模块605，用于根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
本申请实施例提供的操作行为监测装置，将历史操作行为数据按照不同的维度进行统计，建立多维坐标系。当接收到目标操作行为时，将其转换为建立多维坐标系中的点，距离原点越近的点表示可信程度越高，超过原点一定距离的点表示风险程度较高，从而对用户操作行为进行定量分析与监测。由此可见，本申请实施例提供的操作行为监测装置，通过多维坐标定位方案来定量分析用户行为的安全可信度，能够快速监测识别异常用户行为，及时提示风险以降低后续损失。
在上述实施例的基础上，作为一种优选实施方式，所述建立模块601包括：
获取单元，用于获取目标用户的目标历史操作行为数据；
统计单元，用于按照不同的维度对所述目标历史操作行为数据进行数据统计，得到每个所述维度包含的所有数据项和每个所述数据项的频次，并对所述频次进行归一化处理得到每个所述数据项的标准频次；
建立单元，用于建立多维坐标系，并基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上；其中，所述多维坐标系中的坐标轴与所述维度一一对应，A＝1-fA，A为所述数据项的标注位置的坐标值，fA为所述数据项的标准频次。
在上述实施例的基础上，作为一种优选实施方式，所述建立模块601还包括：
第一计算单元，用于确定每个所述坐标轴对应的数据项总数，并计算每个所述坐标轴的单位距离p；其中，p＝1/S，S为所述数据项总数；
相应的，所述确定模块604包括：
第一确定单元，用于若所述目标历史操作行为数据中存在所述目标数据项，则B＝1-fB，B为所述目标数据项的标注点的坐标值，fB为所述目标数据项在所述目标历史操作行为数据中的标准频次；
第二确定单元，用于若所述目标历史操作行为数据中不存在所述目标数据项，则B＝1+bp，b为正整数，b与所述目标数据项在所述目标操作行为中的频次呈负相关；
密度设置单元，用于将所述标注点的密度设置为一。
在上述实施例的基础上，作为一种优选实施方式，所述统计单元包括：
统计子单元，用于按照不同的维度对所述目标历史操作行为数据进行数据统计，得到每个所述维度包含的所有数据项和每个所述数据项的频次；
确定子单元，用于获取所有用户的历史操作行为数据，确定不同用户的历史操作行为数据中的重复数据项；
更新子单元，用于按照所述重复数据项频次越多权重越低的原则对所述目标历史操作行为数据中的重复数据项进行降噪处理，以便更新所述数据项的频次；
归一化子单元，用于对更新后的频次进行归一化处理得到每个所述数据项的标准频次。
在上述实施例的基础上，作为一种优选实施方式，所述数据项的频次更新公式为：
其中，f0为所述数据项更新后的频次，f为所述数据项的原始频次，F为所有用户对应的历史操作行为数据中所述数据项的频次总和，N为用户总数，n为出现所述数据项的用户总数，k为经验系数。
在上述实施例的基础上，作为一种优选实施方式，所述监测模块605包括：
第二计算单元，用于根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点；
判断单元，用于判断所述目标点是否在预设的安全区域内；若是，则判定所述目标操作行为为安全操作行为；
在上述实施例的基础上，作为一种优选实施方式，所述监测模块605包括：
第二计算单元，用于根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点；
第三计算单元，用于基于所述目标点与所述多维坐标系中原点的距离计算所述目标操作行为的安全可信度；其中，所述安全可信度与所述目标点与所述多维坐标系中原点的距离呈负相关。
在上述实施例的基础上，作为一种优选实施方式，所述维度包括工作目录、操作指令和登录标识。
关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。
本申请还提供了一种电子设备，参见图7，本申请实施例提供的一种电子设备700的结构图，如图7所示，可以包括处理器11和存储器12。该电子设备700还可以包括多媒体组件13，输入/输出(I/O)接口14，以及通信组件15中的一者或多者。
其中，处理器11用于控制该电子设备700的整体操作，以完成上述的操作行为监测方法中的全部或部分步骤。存储器12用于存储各种类型的数据以支持在该电子设备700的操作，这些数据例如可以包括用于在该电子设备700上操作的任何应用程序或方法的指令，以及应用程序相关的数据，例如联系人数据、收发的消息、图片、音频、视频等等。该存储器12可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，例如静态随机存取存储器(Static Random Access Memory，简称SRAM)，电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，简称EEPROM)，可擦除可编程只读存储器(Erasable Programmable Read-Only Memory，简称EPROM)，可编程只读存储器(Programmable Read-Only Memory，简称PROM)，只读存储器(Read-Only Memory，简称ROM)，磁存储器，快闪存储器，磁盘或光盘。多媒体组件13可以包括屏幕和音频组件。其中屏幕例如可以是触摸屏，音频组件用于输出和/或输入音频信号。例如，音频组件可以包括一个麦克风，麦克风用于接收外部音频信号。所接收的音频信号可以被进一步存储在存储器12或通过通信组件15发送。音频组件还包括至少一个扬声器，用于输出音频信号。I/O接口14为处理器11和其他接口模块之间提供接口，上述其他接口模块可以是键盘，鼠标，按钮等。这些按钮可以是虚拟按钮或者实体按钮。通信组件15用于该电子设备700与其他设备之间进行有线或无线通信。无线通信，例如Wi-Fi，蓝牙，近场通信(Near FieldCommunication，简称NFC)，2G、3G或4G，或它们中的一种或几种的组合，因此相应的该通信组件15可以包括：Wi-Fi模块，蓝牙模块，NFC模块。
在一示例性实施例中，电子设备700可以被一个或多个应用专用集成电路(Application Specific Integrated Circuit，简称ASIC)、数字信号处理器(DigitalSignal Processor，简称DSP)、数字信号处理设备(Digital Signal Processing Device，简称DSPD)、可编程逻辑器件(Programmable Logic Device，简称PLD)、现场可编程门阵列(Field Programmable Gate Array，简称FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述的操作行为监测方法。
在另一示例性实施例中，还提供了一种包括程序指令的计算机可读存储介质，该程序指令被处理器执行时实现上述操作行为监测方法的步骤。例如，该计算机可读存储介质可以为上述包括程序指令的存储器12，上述程序指令可由电子设备700的处理器11执行以完成上述的操作行为监测方法。
说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。
还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
Claims (10)
1.一种操作行为监测方法，其特征在于，包括：
获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；
若是，则将所述标注点的密度增加一；
若否，则在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
2.根据权利要求1所述操作行为监测方法，其特征在于，所述按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系，包括：
按照不同的维度对所述目标历史操作行为数据进行数据统计，得到每个所述维度包含的所有数据项和每个所述数据项的频次，并对所述频次进行归一化处理得到每个所述数据项的标准频次；
建立多维坐标系，并基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上；其中，所述多维坐标系中的坐标轴与所述维度一一对应，A＝1-fA，A为所述数据项的标注位置的坐标值，fA为所述数据项的标准频次。
3.根据权利要求2所述操作行为监测方法，其特征在于，所述基于每个所述数据项的标准频次将每个所述数据项标注在所属维度对应的坐标轴上之后，还包括：
确定每个所述坐标轴对应的数据项总数，并计算每个所述坐标轴的单位距离p；其中，p＝1/S，S为所述数据项总数；
相应的，在所述多维坐标系中确定所述目标数据项对应的标注点，包括：
若所述目标历史操作行为数据中存在所述目标数据项，则B＝1-fB，B为所述目标数据项的标注点的坐标值，fB为所述目标数据项在所述目标历史操作行为数据中的标准频次；
若所述目标历史操作行为数据中不存在所述目标数据项，则B＝1+bp，b为正整数，b与所述目标数据项在所述目标操作行为中的频次呈负相关。
4.根据权利要求2所述操作行为监测方法，其特征在于，对所述频次进行归一化处理得到每个所述数据项的标准频次之前，还包括：
获取所有用户的历史操作行为数据，确定不同用户的历史操作行为数据中的重复数据项；
按照所述重复数据项频次越多权重越低的原则对所述目标历史操作行为数据中的重复数据项进行降噪处理，以便更新所述数据项的频次；
相应的，对所述频次进行归一化处理得到每个所述数据项的标准频次，包括：
对更新后的频次进行归一化处理得到每个所述数据项的标准频次。
5.根据权利要求4所述操作行为监测方法，其特征在于，所述数据项的频次更新公式为：
其中，f0为所述数据项更新后的频次，f为所述数据项的原始频次，F为所有用户对应的历史操作行为数据中所述数据项的频次总和，N为用户总数，n为出现所述数据项的用户总数，k为经验系数。
6.根据权利要求1所述操作行为监测方法，其特征在于，所述根据所述目标点的位置对所述目标操作行为进行安全监测，包括：
判断所述目标点是否在预设的安全区域内；若是，则判定所述目标操作行为为安全操作行为；
或，基于所述目标点与所述多维坐标系中原点的距离计算所述目标操作行为的安全可信度；其中，所述安全可信度与所述目标点与所述多维坐标系中原点的距离呈负相关。
7.根据权利要求1至6中任一项所述操作行为监测方法，其特征在于，所述维度包括工作目录、操作指令和登录标识。
8.一种操作行为监测装置，其特征在于，包括：
建立模块，用于获取目标用户的目标历史操作行为数据，按照不同的维度对所述目标历史操作行为数据进行数据统计，以便建立多维坐标系；其中，所述多维坐标系中的坐标轴与所述维度一一对应；
判断模块，用于当接收到目标操作行为时，确定所述目标操作行为在每个所述维度对应的目标数据项，并判断所述多维坐标系中是否存在所述目标数据项对应的标注点；若是，则启动密度更新模块的工作流程；若否，则启动确定模块的工作流程；
所述密度更新模块，用于将所述标注点的密度增加一；
所述确定模块，用于在所述多维坐标系中确定所述目标数据项对应的标注点，并将所述标注点的密度设置为一；其中，若所述目标历史操作行为数据中存在所述目标数据项，则所述目标数据项对应的标注点的坐标值小于1，若所述目标历史操作行为数据中不存在所述目标数据项，则所述目标数据项对应的标注点的坐标值大于1；
监测模块，用于根据每个所述坐标轴上所有标注点的密度计算每个所述坐标轴对应的重心位置，基于所有所述重心位置确定目标点，以便根据所述目标点的位置对所述目标操作行为进行安全监测。
9.一种电子设备，其特征在于，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述操作行为监测方法的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述操作行为监测方法的步骤。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010605998.3A CN111753293B (zh) | 2020-06-29 | 2020-06-29 | 一种操作行为监测方法、装置及电子设备和存储介质 |
| PCT/CN2021/077645 WO2022001140A1 (zh) | 2020-06-29 | 2021-02-24 | 一种操作行为监测方法、装置及电子设备和存储介质 |
| US17/928,193 US11693957B1 (en) | 2020-06-29 | 2021-02-24 | Operation behavior monitoring method and apparatus, electronic device, and storage medium |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010605998.3A CN111753293B (zh) | 2020-06-29 | 2020-06-29 | 一种操作行为监测方法、装置及电子设备和存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN111753293A true CN111753293A (zh) | 2020-10-09 |
| CN111753293B CN111753293B (zh) | 2022-08-02 |
Family
ID=72678027
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010605998.3A Active CN111753293B (zh) | 2020-06-29 | 2020-06-29 | 一种操作行为监测方法、装置及电子设备和存储介质 |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US11693957B1 (zh) |
| CN (1) | CN111753293B (zh) |
| WO (1) | WO2022001140A1 (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022001140A1 (zh) * | 2020-06-29 | 2022-01-06 | 苏州浪潮智能科技有限公司 | 一种操作行为监测方法、装置及电子设备和存储介质 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109597794A (zh) * | 2018-12-05 | 2019-04-09 | 郑州云海信息技术有限公司 | 一种文件管理方法、系统及电子设备和存储介质 |
| CN110795242A (zh) * | 2019-10-18 | 2020-02-14 | 苏州浪潮智能科技有限公司 | 一种存储空间管理方法、装置及电子设备和存储介质 |
| CN110825818A (zh) * | 2019-09-18 | 2020-02-21 | 平安科技（深圳）有限公司 | 多维特征构建方法、装置、电子设备及存储介质 |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9558347B2 (en) * | 2013-08-27 | 2017-01-31 | Globalfoundries Inc. | Detecting anomalous user behavior using generative models of user actions |
| US9911290B1 (en) * | 2015-07-25 | 2018-03-06 | Gary M. Zalewski | Wireless coded communication (WCC) devices for tracking retail interactions with goods and association to user accounts |
| US10257211B2 (en) * | 2016-05-20 | 2019-04-09 | Informatica Llc | Method, apparatus, and computer-readable medium for detecting anomalous user behavior |
| US10721239B2 (en) * | 2017-03-31 | 2020-07-21 | Oracle International Corporation | Mechanisms for anomaly detection and access management |
| US11165800B2 (en) * | 2017-08-28 | 2021-11-02 | Oracle International Corporation | Cloud based security monitoring using unsupervised pattern recognition and deep learning |
| CN109992578B (zh) * | 2019-01-07 | 2023-08-08 | 平安科技（深圳）有限公司 | 基于无监督学习的反欺诈方法、装置、计算机设备及存储介质 |
| CN110075524B (zh) * | 2019-05-10 | 2020-11-13 | 腾讯科技（深圳）有限公司 | 异常行为检测方法和装置 |
| CN110365708B (zh) * | 2019-08-05 | 2021-12-07 | 山东浪潮科学研究院有限公司 | 一种基于向量自回归模型的交换机数据异常检测方法 |
| CN111753293B (zh) * | 2020-06-29 | 2022-08-02 | 苏州浪潮智能科技有限公司 | 一种操作行为监测方法、装置及电子设备和存储介质 |
-
2020
- 2020-06-29 CN CN202010605998.3A patent/CN111753293B/zh active Active
-
2021
- 2021-02-24 US US17/928,193 patent/US11693957B1/en active Active
- 2021-02-24 WO PCT/CN2021/077645 patent/WO2022001140A1/zh active Application Filing
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109597794A (zh) * | 2018-12-05 | 2019-04-09 | 郑州云海信息技术有限公司 | 一种文件管理方法、系统及电子设备和存储介质 |
| CN110825818A (zh) * | 2019-09-18 | 2020-02-21 | 平安科技（深圳）有限公司 | 多维特征构建方法、装置、电子设备及存储介质 |
| CN110795242A (zh) * | 2019-10-18 | 2020-02-14 | 苏州浪潮智能科技有限公司 | 一种存储空间管理方法、装置及电子设备和存储介质 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022001140A1 (zh) * | 2020-06-29 | 2022-01-06 | 苏州浪潮智能科技有限公司 | 一种操作行为监测方法、装置及电子设备和存储介质 |
| US11693957B1 (en) | 2020-06-29 | 2023-07-04 | Inspur Suzhou Intelligent Technology Co., Ltd. | Operation behavior monitoring method and apparatus, electronic device, and storage medium |
Also Published As
| Publication number | Publication date |
|---|---|
| CN111753293B (zh) | 2022-08-02 |
| US20230195892A1 (en) | 2023-06-22 |
| US11693957B1 (en) | 2023-07-04 |
| WO2022001140A1 (zh) | 2022-01-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Zarni Aung | Permission-based android malware detection | |
| US11032323B2 (en) | Parametric analysis of integrated operational technology systems and information technology systems | |
| CN106682495B (zh) | 安全防护方法及安全防护装置 | |
| US10547618B2 (en) | Method and apparatus for setting access privilege, server and storage medium | |
| WO2017065070A1 (ja) | 不審行動検知システム、情報処理装置、方法およびプログラム | |
| KR101326896B1 (ko) | 단말기 및 이를 이용하는 어플리케이션의 위험도 제공 방법 | |
| CN110383278A (zh) | 用于检测恶意计算事件的系统和方法 | |
| CN112714093B (zh) | 一种账号异常检测方法、装置、系统及存储介质 | |
| US20200320845A1 (en) | Adaptive severity functions for alerts | |
| CN109543891B (zh) | 容量预测模型的建立方法、设备及计算机可读存储介质 | |
| CN109547426B (zh) | 业务响应方法及服务器 | |
| CN111400357A (zh) | 一种识别异常登录的方法和装置 | |
| CN113489713A (zh) | 网络攻击的检测方法、装置、设备及存储介质 | |
| CN111159413A (zh) | 日志聚类方法、装置、设备及存储介质 | |
| CN111314063A (zh) | 一种基于物联网大数据信息管理方法、系统及装置 | |
| CN109491733B (zh) | 基于可视化的界面显示方法及相关设备 | |
| CN111753293B (zh) | 一种操作行为监测方法、装置及电子设备和存储介质 | |
| CN111064719A (zh) | 文件异常下载行为的检测方法及装置 | |
| CN113886821A (zh) | 基于孪生网络的恶意进程识别方法、装置、电子设备及存储介质 | |
| CN112685799A (zh) | 设备指纹生成方法、装置、电子设备和计算机可读介质 | |
| CN109583177B (zh) | 在用户与银行服务的交互期间识别新设备的系统和方法 | |
| CN114567678A (zh) | 一种云安全服务的资源调用方法、装置及电子设备 | |
| CN110365642B (zh) | 监控信息操作的方法、装置、计算机设备及存储介质 | |
| CN113360354A (zh) | 用户操作行为监控方法、装置、设备及可读存储介质 | |
| CN113360916A (zh) | 应用程序编程接口的风险检测方法、装置、设备及介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |