CN112750047B - 行为关系信息提取方法及装置、存储介质、电子设备 - Google Patents

行为关系信息提取方法及装置、存储介质、电子设备 Download PDF

Info

Publication number
CN112750047B
CN112750047B CN202010154445.0A CN202010154445A CN112750047B CN 112750047 B CN112750047 B CN 112750047B CN 202010154445 A CN202010154445 A CN 202010154445A CN 112750047 B CN112750047 B CN 112750047B
Authority
CN
China
Prior art keywords
behavior
data
target
community
node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010154445.0A
Other languages
English (en)
Other versions
CN112750047A (zh
Inventor
宜娜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tencent Technology Shenzhen Co Ltd
Original Assignee
Tencent Technology Shenzhen Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tencent Technology Shenzhen Co Ltd filed Critical Tencent Technology Shenzhen Co Ltd
Priority to CN202010154445.0A priority Critical patent/CN112750047B/zh
Publication of CN112750047A publication Critical patent/CN112750047A/zh
Application granted granted Critical
Publication of CN112750047B publication Critical patent/CN112750047B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/01—Social networking
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Primary Health Care (AREA)
  • Strategic Management (AREA)
  • Economics (AREA)
  • General Health & Medical Sciences (AREA)
  • Human Resources & Organizations (AREA)
  • Marketing (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Tourism & Hospitality (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本公开提供一种行为关系信息提取方法及装置、电子设备、存储介质；涉及计算机技术领域。所述行为关系信息提取方法包括：获取待处理行为数据，并提取待处理行为数据中行为事件的行为属性信息；从行为属性信息中确定行为源节点以及行为目标节点，并确定行为源节点与行为目标节点之间的权重数据；根据行为属性信息以及权重数据生成待处理行为数据对应的连通子图；以模块度最大为目标对连通子图进行社区子图提取，以获取多个目标社区子图并基于目标社区子图提取待处理行为数据对应的行为关系信息。本公开可以在保证安全日志文件的信息完整性，降低运营人员的数据处理压力，提升运营人员的工作效率。

Description

行为关系信息提取方法及装置、存储介质、电子设备
技术领域
本公开涉及计算机技术领域，具体而言，涉及一种行为关系信息提取方法、行为关系信息提取方法装置、电子设备以及计算机可读存储介质。
背景技术
随着互联网技术的飞速发展，网络安全(Network Security)的重要性日益凸显。社区(Community)反映的是网络中的个体行为的局部性特征以及其相互之间的关联关系，研究网络中的社区对理解整个网络的结构和功能起到至关重要的作用，而针对社区的研究实际上是从子图分割问题演化而来。
目前，相关的技术方案中，要么得到的社区子图中包含的信息不完整，对全体数据的覆盖度较低，可能导致一些关键的连接点被忽略；要么得到的社区子图中的链路结构较复杂，社区子图整体结构较大，导致处理分析社区子图的难度较大。
需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
本公开的目的在于提供一种行为关系信息提取方法、行为关系信息提取方法装置、电子设备以及计算机可读存储介质，进而在一定程度上克服由于相关技术的限制和缺陷而导致的，在抽取社区子图时，得到的社区子图效果不佳的问题。
根据本公开的第一方面，提供一种行为关系信息提取方法，包括：
获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息。
在本公开的一种示例性实施例中，所述行为关系信息包括目标社区子图对应的评估数据；所述基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息，包括：
确定多个所述目标社区子图对应的重要程度数据；其中，所述重要程度数据包括子图复杂度数据、最长路径权重数据和子图边权重加权数据；
根据所述重要程度数据计算所述目标社区子图对应的评估数据。
在本公开的一种示例性实施例中，根据所述重要程度数据计算所述目标社区子图对应的评估数据，包括：
将所述子图复杂度数据以及求对数处理后的所述最长路径权重数据和所述子图边权重加权数据进行累乘计算，确定计算结果；
根据预设的转化算法将所述计算结果进行标准化处理以确定所述社区子图对应的得分数据。
在本公开的一种示例性实施例中，在根据所述重要程度数据计算所述目标社区子图对应的评估数据之后，所述方法还包括：
将所述目标社区子图以及所述目标社区子图对应的评估数据作为所述待处理行为数据对应的行为关系信息，并将所述行为关系信息进行可视化展示。
在本公开的一种示例性实施例中，所述权重数据包括行为权重数据，所述确定所述行为源节点与所述行为目标节点之间所有行为事件的权重数据，包括：
从所述行为属性信息中确定目标行为事件；其中，所述目标行为事件对应所述行为源节点与所述行为目标节点；
通过所述行为属性信息确定所述目标行为事件对应的行为特征数据，并根据所述行为特征数据确定所述目标行为事件对应的行为权重数据。
在本公开的一种示例性实施例中，所述行为源节点与所述行为目标节点之间包含多个所述目标行为事件，所述从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据，包括：
确定所述行为源节点与所述行为目标节点之间多个所述目标行为事件对应的多个所述行为权重数据；
对多个所述行为权重数据进行累加计算，确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据。
在本公开的一种示例性实施例中，所述行为特征数据包括多个维度数据，所述通过所述行为属性信息确定所述目标行为事件对应的行为特征数据，并根据所述行为特征数据确定所述目标行为事件对应的行为权重数据，包括：
确定各所述维度数据对应的分数数据；
对所述分数数据进行累加求和确定所述目标行为事件对应的所述行为权重数据。
在本公开的一种示例性实施例中，确定各所述维度数据对应的分数数据，包括：
根据各所述维度数据对应的数据分布状况确定各所述维度数据对应的分数数据。
在本公开的一种示例性实施例中，根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图，包括：
根据所述行为属性信息确定所述行为源节点对应的第一节点地址以及所述行为目标节点对应的第二节点地址；
将所述第一节点地址、所述第二节点地址以及所述权重数据作为连通子图生成模型的输入，以通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，所述通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图，包括：
根据所述连通子图生成模型对所述连通子图进行环路径去除处理，以生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图，包括：
通过所述目标社区发现模型对所述连通子图进行模块度计算，并以所述模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图。
在本公开的一种示例性实施例中，将所述行为关系信息进行可视化展示，包括：
对所述评估数据进行结构化处理以得到结构化后的所述评估数据；
将多个所述目标社区子图以及对应的结构化后的所述评估数据进行可视化展示。
根据本公开的第二方面，提供一种行为关系信息提取方法装置，包括：
行为属性信息提取模块，用于获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
权重数据确定模块，用于从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
连通子图生成模块，用于根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
行为关系信息提取模块，用于以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息。
在本公开的一种示例性实施例中，所述行为关系信息提取方法装置还包括：
重要程度数据确定单元，用于确定多个所述目标社区子图对应的重要程度数据；其中，所述重要程度数据包括子图复杂度数据、最长路径权重数据和子图边权重加权数据；
评估数据计算单元，用于根据所述重要程度数据计算所述目标社区子图对应的评估数据。
在本公开的一种示例性实施例中，所述评估数据计算单元还被配置为：
将所述子图复杂度数据以及求对数处理后的所述最长路径权重数据和所述子图边权重加权数据进行累乘计算，确定计算结果；
根据预设的转化算法将所述计算结果进行标准化处理以确定所述社区子图对应的得分数据。
在本公开的一种示例性实施例中，所述行为关系信息提取方法装置还包括可视化展示单元，所述可视化展示单元被配置为：
将所述目标社区子图以及所述目标社区子图对应的评估数据作为所述待处理行为数据对应的行为关系信息，并将所述行为关系信息进行可视化展示。
在本公开的一种示例性实施例中，所述权重数据确定模块还包括：
目标行为事件确定单元，用于从所述行为属性信息中确定目标行为事件；其中，所述目标行为事件对应所述行为源节点与所述行为目标节点；
行为权重数据确定单元，用于通过所述行为属性信息确定所述目标行为事件对应的行为特征数据，并根据所述行为特征数据确定所述目标行为事件对应的行为权重数据。
在本公开的一种示例性实施例中，所述权重数据确定模块还包括权重数据确定单元，所述权重数据确定单元被配置为：
确定所述行为源节点与所述行为目标节点之间多个所述目标行为事件对应的多个所述行为权重数据；
对多个所述行为权重数据进行累加计算，确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据。
在本公开的一种示例性实施例中，所述行为权重数据确定单元还被配置为：
确定各所述维度数据对应的分数数据；
对所述分数数据进行累加求和确定所述目标行为事件对应的所述行为权重数据。
在本公开的一种示例性实施例中，所述行为权重数据确定单元还被配置为：
根据各所述维度数据对应的数据分布状况确定各所述维度数据对应的分数数据。
在本公开的一种示例性实施例中，所述连通子图生成模块还包括：
节点地址确定单元，用于根据所述行为属性信息确定所述行为源节点对应的第一节点地址以及所述行为目标节点对应的第二节点地址；
连通子图生成单元，用于将所述第一节点地址、所述第二节点地址以及所述权重数据作为连通子图生成模型的输入，以通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，所述连通子图生成单元还被配置为：
根据所述连通子图生成模型对所述连通子图进行环路径去除处理，以生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，所述行为关系信息提取模块还包括模块度计算单元，所述模块度计算单元被配置为：
通过预设的目标社区发现模型对所述连通子图进行模块度计算，并以所述模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图。
在本公开的一种示例性实施例中，所述可视化展示单元还被配置为：
对所述评估数据进行结构化处理以得到结构化后的所述评估数据；
将多个所述目标社区子图以及对应的结构化后的所述评估数据进行可视化展示。
根据本公开的第三方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任意一项所述的方法。
根据本公开的第四方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任意一项所述的方法。
本公开示例性实施例可以具有以下部分或全部有益效果：
在本公开的一示例实施方式所提供的行为关系信息提取方法中，提取待处理行为数据中行为事件的行为属性信息，从行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定行为源节点与行为目标节点之间所有行为事件的权重数据，根据行为属性信息以及权重数据生成待处理行为数据对应的连通子图，然后以模块度最大为目标对连通子图进行社区子图提取，以获取多个目标社区子图并基于目标社区子图提取待处理行为数据对应的行为关系信息。一方面，根据待处理行为数据中的行为属性信息以及行为源节点与行为目标节点之间所有行为事件的权重数据生成连通子图，并根据模块度从连通子图中提取目标社区子图，能够提升目标社区子图对待处理行为数据的覆盖率，提升待处理行为数据中行为关系信息的完整性；另一方面，以模块度最大为目标对连通子图进行目标社区子图的提取，能够在保证行为关系信息的完整性的同时，清除不重要的行为连接关系，保证行为关系信息的简洁性以及准确性，降低运营人员的工作量，提升运营人员对待处理行为数据的处理效率。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1示出了可以应用本公开实施例的一种行为关系信息提取方法及装置的示例性系统架构的示意图；
图2示出了适于用来实现本公开实施例的电子设备的计算机系统的结构示意图；
图3示意性示出了相关技术方案中的基于自定义指标的一度子图排序算法提取的社区子图的结构示意图；
图4示意性示出了相关技术方案中的基于特殊结构提取的社区子图的结构示意图；
图5示意性示出了相关技术方案中的网页排名算法的原理示意图；
图6示意性示出了相关技术方案中的基于全路径子图排序算法提取的社区子图的结构示意图；
图7示意性示出了根据本公开的一个实施例的行为关系信息提取方法的流程示意图；
图8示意性示出了根据本公开的一个实施例的确定目标社区子图对应的评估数据的流程示意图；
图9示意性示出了根据本公开的一个实施例的确定目标行为事件对应的行为权重数据的流程示意图；
图10示意性示出了根据本公开的一个实施例的相关技术中通过社区发现算法进行社区子图抽取的原理示意图；
图11示意性示出了根据本公开的一个实施例的相关模块度计算公式断开社区子图中具有意义的边的示意图；
图12示意性示出了根据本公开的一个实施例的将行为关系信息进行可视化展示的流程示意图；
图13示意性示出了根据本公开的一个实施例的行为关系信息提取方法的应用场景示意图；
图14示意性示出了根据本公开的一个实施例的提取行为关系信息的流程示意图；
图15示意性示出了根据本公开的一个实施例的行为关系信息提取方法装置的示意框图。
具体实施方式
现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。
此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
图1示出了可以应用本公开实施例的一种行为关系信息提取方法及装置的示例性应用环境的系统架构的示意图。
如图1所示，系统架构100可以包括终端设备101、102、103中的一个或多个，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。终端设备101、102、103可以是具有显示屏的各种电子设备，包括但不限于台式计算机、便携式计算机、智能手机和平板电脑等等。应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。比如服务器105可以是多个服务器组成的服务器集群等。
本公开实施例所提供的行为关系信息提取方法一般由服务器105执行，相应地，行为关系信息提取方法装置一般设置于服务器105中。但本领域技术人员容易理解的是，本公开实施例所提供的行为关系信息提取方法也可以由终端设备101、102、103执行，相应的，行为关系信息提取方法装置也可以设置于终端设备101、102、103中，本示例性实施例中对此不做特殊限定。举例而言，在一种示例性实施例中，可以是用户通过终端设备101、102、103将安全日志文件上传至服务器105，服务器通过本公开实施例所提供的行为关系信息提取方法将提取的多个目标社区子图对应的行为关系信息传输给终端设备101、102、103等。
图2示出了适于用来实现本公开实施例的电子设备的计算机系统的结构示意图。
需要说明的是，图2示出的电子设备的计算机系统200仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图2所示，计算机系统200包括中央处理单元(CPU)201，其可以根据存储在只读存储器(ROM)202中的程序或者从存储部分208加载到随机访问存储器(RAM)203中的程序而执行各种适当的动作和处理。在RAM 203中，还存储有系统操作所需的各种程序和数据。CPU201、ROM 202以及RAM 203通过总线204彼此相连。输入/输出(I/O)接口205也连接至总线204。
以下部件连接至I/O接口205：包括键盘、鼠标等的输入部分206；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分207；包括硬盘等的存储部分208；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分209。通信部分209经由诸如因特网的网络执行通信处理。驱动器210也根据需要连接至I/O接口205。可拆卸介质211，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器210上，以便于从其上读出的计算机程序根据需要被安装入存储部分208。
特别地，根据本公开的实施例，下文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分209从网络上被下载和安装，和/或从可拆卸介质211被安装。在该计算机程序被中央处理单元(CPU)201执行时，执行本申请的方法和装置中限定的各种功能。在一些实施例中，计算机系统200还可以包括AI(ArtificialIntelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。
需要说明的是，本公开所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本公开实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。
作为另一方面，本申请还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如下述实施例中所述的方法。例如，所述的电子设备可以实现如图7～图13所示的各个步骤等。
以下对本公开实施例的技术方案进行详细阐述：
一种技术方案中，基于自定义指标的一度子图排序算法实现社区子图的提取，该算法遍历安全事件攻击链条中的所有IP(Internet Protocol，网际互连协议)节点，分别以每个IP节点为核心生成一度子图，例如，参考图3所示，图3示意性，社区子图301可以较清晰地将核心节点“129.211.136.1”及相邻所有节点如“10.130.28.27”等展示出来，并标识攻击方向及事件名称，同时会对节点严重性进行颜色标识，如图3中的“10.130.10.218”、“10.129.254.243”等，以便于安全运营人员进行快速定位和分析。该方案在得到多个社区子图后，计算每个子图的得分数据，根据子图对应的得分数据对子图进行排序，选Top100的子图作为最终的结果输出。但是，发明人发现，该技术方案中得到的一度子图较为简单，只关注某个节点一度展开的子图，没有考虑二度甚至更长链路的情况，从而导致一些有重要意义的连接点被忽略，使子图中所表示的数据的不完整。
另一种技术方案中，基于特殊的结构进行子图抽取，该方案主要是结合安全业务场景用统计方法抽取一些有具有安全意义的特殊结构的子图，例如，参考图4所示，特殊结构的子图可以包括互相攻击的环路图401、基于节点相似度的楔形图402和基于节点对应关系的散状图403。但是，发明人发现，该方案得到的子图表示的数据非常稀疏，对全体样本的覆盖度较低，也不适合进行全局子图抽取的工作。
再一种技术方案中，基于全路径子图排序算法进行子图抽取，该方案主要思路是先利用Pagerank算法(又称网页排名、谷歌左侧排名，PR，本质上是一种以网页之间的超链接个数和质量作为主要因素粗略地分析网页的重要性的算法)结果对所有起始节点排序，然后对每个起始节点依次不断拓展子图，直到不能继续拓展为止。对于被多个起始点直接或间接攻击的目的节点，优先划分到起始点排序较高的子图中，但保留和其他起始点的攻击关系，例如参考图5所示，对于子图501中的B1节点，同时被A1节点，A2节点攻击，但由于A1节点的网页排名大于A2节点，因此B1节点只保留在A1的攻击链条中，同时由于A2节点的网页排名大于B1节点的关系也保留到子图501中，因此在子图502中则不保留A2节点攻击B1节点的攻击链条，这样可以保证不损失任何一个攻击关系。例如参考图6所示，通过该方案得到的排序第一的子图可以如子图601所示，该方法在保证尽可能减少整体信息损失的情况下，为每个子图攻击链提供了一个全局视角，起始点排序越高的节点，所生成的子图信息越完整。但是，发明人发现，Pagerank分值越高的起始节点，对应的子图链路结构越复杂，抽取的子图结构也比较大，提高了运营人员分析子图的难度，降低工作效率。
基于上述一个或多个问题，本示例实施方式提供了一种行为关系信息提取方法。该行为关系信息提取方法可以应用于上述服务器105，也可以应用于上述终端设备101、102、103中的一个或多个，本示例性实施例中对此不做特殊限定，下面以服务器执行该方法为例进行说明。参考图7所示，该行为关系信息提取方法可以包括以下步骤S710至步骤S740：
步骤S710、获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
步骤S720、从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
步骤S730、根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
步骤S740、以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息。
在本示例实施方式所提供的行为关系信息提取方法中，一方面，根据待处理行为数据中的行为属性信息以及行为源节点与行为目标节点之间所有行为事件的权重数据生成连通子图，并根据模块度从连通子图中提取目标社区子图，能够提升目标社区子图对待处理行为数据的覆盖率，提升待处理行为数据中行为关系信息的完整性；另一方面，以模块度最大为目标对连通子图进行目标社区子图的提取，能够在保证行为关系信息的完整性的同时，清除不重要的行为连接关系，保证行为关系信息的简洁性以及准确性，降低运营人员的工作量，提升运营人员对待处理行为数据的处理效率。
下面，对于本示例实施方式的上述步骤进行更加详细的说明。
在步骤S710中，获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息。
本公开的一个示例实施例中，待处理行为数据可以是指包含网络节点之间不同行为事件对应的数据，例如待处理行为数据可以是服务器或者终端设备中存储的网络安全日志文件，该网络安全日志文件中可以包含如网络攻击事件对应的相关数据，待处理行为数据也可以是服务器记录的网络节点之间的可疑数据，该可疑数据中可以包含如可疑链接转移事件对应的相关数据，当然，待处理行为数据还可以是其他包含网络节点之间不同行为事件对应的数据，本示例实施例对此不做特殊限定。
行为属性信息可以是指待处理行为数据中包含的与行为事件相关联的属性信息，例如在待处理行为数据是网络安全日志文件时，行为事件可以是网络攻击事件，网络攻击事件对应的行为属性信息可以包括网络攻击事件的源节点、目标节点、攻击事件名称、攻击事件类型、端口号、内外网信息、是否告警、关联文件的MD5(加密信息)、域名、脆弱性信息、严重度、可信度等；在待处理行为数据是可疑数据时，行为事件可以是可疑链接转移事件，可疑链接转移事件对应的行为属性信息可以包括可疑链接对应的URL(统一资源定位符)、可疑链接的数字签名、转移次数、链接转移的源节点、源节点IP地址、目标节点、目标节点IP地址、举报次数等，当然，行为属性信息还可以是其他类型的与行为事件相关联的属性信息，此处仅是示意性举例说明，本示例实施例不以此为限。
具体的，可以通过专家的先验知识对数据库中存储的样本数据进行标记，然后通过标记后的样本数据对预构建的行为属性信息提取模型进行训练，以根据训练后的行为属性信息提取模型从待处理行为数据中提取行为事件对应的行为属性信息。其中，预构建的行为属性信息提取模型可以是神经网络模型，也可以是决策树模型，当然，还可以是随机森林模型，本示例实施例对此不作特殊限定。机器学习(Machine Learning，ML)是一门多领域交叉学科，涉及概率论、统计学、逼近论、凸分析、算法复杂度理论等多门学科。专门研究计算机怎样模拟或实现人类的学习行为，以获取新的知识或技能，重新组织已有的知识结构使之不断改善自身的性能。机器学习是人工智能的核心，是使计算机具有智能的根本途径，其应用遍及人工智能的各个领域。机器学习和深度学习通常包括人工神经网络、置信网络、强化学习、迁移学习、归纳学习、式教学习等技术。
在步骤S720中，从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据。
本公开的一个示例实施例中，行为源节点可以是指行为属性信息对应的行为事件发起的网络节点，例如对于网络中从A节点向B节点发起的攻击事件，该攻击事件对应的行为源节点为A节点，当然，此处仅是示意性举例说明，并不应对本示例实施例造成特殊限定。行为目标节点可以是指行为源节点对应的攻击事件预攻击的节点，例如，同样地，对于网络中从A节点向B节点发起的攻击事件，该攻击事件对应的行为目标节点为B节点，当然，此处仅是示意性举例说明，并不应对本示例实施例造成特殊限定。对于同一组的行为源节点与行为目标节点，行为源节点与行为目标节点之间可以有一个行为事件，也可以有多个行为事件，例如对于行为源节点A和行为目标节点B之间，可以仅有一个攻击事件1，也可以有攻击事件2、可疑数据转移事件3、攻击事件4等多个行为事件，本示例实施例对此不做特殊限定。
权重数据可以是指表征行为源节点与行为目标节点之间所有行为事件重要程度的数据，该权重数据可以是所有行为事件对应的权重之和，当然，权重数据在这里也可以认为是表征同一组的行为源节点与行为目标节点在所有节点中的权重。例如，假设同一组的行为源节点与行为目标节点之间可以包含攻击事件1、攻击事件2、可疑数据转移事件3、攻击事件4，对应的权重分别为0.08、0.10、0.04、0.11，则行为源节点与行为目标节点之间所有行为事件的权重数据为“0.08+0.10+0.04+0.11＝0.33”，当然，此处仅是示意性举例说明，并不应对本示例实施例造成任何特殊限定。
在步骤S730中，根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图。
本公开的一个示例实施例中，连通子图可以是指包含待处理行为数据中所有网络节点以及网络节点之间的行为关系的有向连通图，对于一个待处理行为数据，可以生成一个连通子图，例如对于一个网络安全日志文件，可以生成一个对应的连通子图，对于多个不同时间段的网络安全日志文件，可以生成对应的多个连通子图，本示例实施例对此不做特殊限定。具体的，可以根据行为属性信息中的行为事件以及行为事件对应的行为源节点至行为目标节点(可以简单理解为连通子图中的路径方向)以及行为源节点与行为目标节点之间所有行为事件的权重数据(可以简单理解为连通子图中的通断关系)生成待处理行为数据对应的连通子图。
在步骤S740中，以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息。
本公开的一个示例实施例中，模块度(Modularity)可以是指模块化度量值，是目前常用的一种衡量网络社区结构强度的方法，模块度值的大小主要取决于网络中结点的社区分配，即网络的社区划分情况，可以用来定量的衡量网络社区划分的质量，模块度的值越接近1，则可以表示划分出的社区结构(目标社区子图)的强度越强，也就是划分质量越好。因此可以通过最大化模块度来获得最优的网络社区划分(目标社区子图抽取)。
目标社区子图可以是指从连通子图中抽取的、用于最终表征待处理行为数据中的行为关系的社区子图，一个连通子图可以对应一个目标社区子图，也可以对应多个目标社区子图，本示例实施例不以此为限。行为关系信息可以是指表征待处理行为数据中行为关系的数据，例如行为关系信息可以是网络节点之间的对应关系，也可以是网络节点之间的行为事件关系(如攻击和被攻击)，当然，还可以是目标社区子图对应的重要程度数据(如评估分数)，本示例实施例对此不作特殊限定。
在示例实施例中，行为关系信息可以包括目标社区子图对应的评估数据，可以通过图8中的步骤，基于目标社区子图提取待处理行为数据对应的行为关系信息。
图8示意性示出了根据本公开的一个实施例的确定目标社区子图对应的评估数据的流程示意图。
参考图8所示，步骤S810，确定多个目标社区子图对应的重要程度数据。
其中，重要程度数据可以是指用于评估目标社区子图的数据，例如重要程度数据可以是子图复杂度数据(具体地，可以通过目标社区子图中的网络节点的数量、行为事件发生的频次、行为事件的威胁程度等数据计算目标社区子图的子图复杂度，也可以直接通过程序代码中的core_number进行衡量，本示例实施例不以此为限)，也可以是最长路径权重数据(具体地，可以遍历目标社区子图中的所有路径，确定目标社区子图中的最长路径，并将该最长路径中的所有行为事件的权重进行求和得到最长路径权重数据)，当然，还可以是子图边权重加权数据(具体地，可以计算目标社区子图中所有行为事件对应的边或者路径的权重，并将所有权重进行加权计算，得到子图边权重加权数据)，本示例实施例不以此为限。
步骤S820，根据重要程度数据计算目标社区子图对应的评估数据。
其中，评估数据可以是用于评估目标社区子图表征的信息对于待处理行为数据的重要程度，例如在待处理行为数据为网络安全日志文件时，目标社区子图1对应的评估数据为88，目标社区子图2对应的评估数据为80，则可以表示目标社区子图1中的行为事件对于网络安全的威胁程度较高，在进行可视化展示时将其排序到目标社区子图2的之前，以便于运营人员优先查看。具体的，可以根据目标社区子图的重要程度数据计算目标社区子图对应的评估数据，当然，还可以通过其他方式计算目标社区子图对应的评估数据，例如将历史抽取的社区子图输出为图片形式，对图片形式的社区子图进行标记，并根据标记后的社区子图对预构建的子图评估模型(可以是神经网络模型，也可以是神经网络模型等机器学习模型，本示例实施例对此不作特殊限定)进行训练，然后根据训练后的子图评估模型对目标社区子图进行评估以确定其对应的评估数据，本示例实施例对此不做特殊限定。
具体的，可以通过以下步骤计算目标社区子图对应的评估数据：将子图复杂度数据以及求对数处理后的最长路径权重数据和子图边权重加权数据进行累乘计算，确定计算结果；根据预设的转化算法将计算结果进行标准化处理以确定社区子图对应的得分数据。
其中，在具体的应用场景中，计算得到的子图复杂度数据与计算得到最长路径权重数据和子图边权重加权数据，三个维度数据之间的量级差距较大，因此可以对得到的最长路径权重数据和子图边权重加权数据进行求对数处理以将子图复杂度数据、最长路径权重数据和子图边权重加权数据的量级标准化到相同等级。然后对子图复杂度数据以及标准化后的最长路径权重数据和子图边权重加权数据进行累乘计算，得到计算结果。此时得到的计算结果可能分布在不同分数段，例如，在实际应用场景中，得到的计算结构可能分布在0-50、50-150、150-400以及400以上等分数段中，非常不平均，不便于运营人员进行分析比较，因此将计算得到的结果标准化到0-100。具体的，可以通过预设的转化算法将计算结果标准化到0-100，具体实现的转化算法代码如下所示：
#图权重计算：如果图中存在环路，赋分150
f＝Lambda x：150if x<0else x；
path_w＝f(-len_path)；
tmp_score＝cn*np.1og2(path_w)*np.1og2(edge_w)；
f＝Lambda x:x*6/5if x<50else x/5+50if x>＝50and x<150else
x/12.5+68if x>＝150and x<400else 100；
last_score＝f(tmp_score)
在本示例实施例中，权重数据可以包括行为权重数据，具体的，可以通过图9中步骤确定目标行为事件对应的行为权重数据。
图9示意性示出了根据本公开的一个实施例的确定目标行为事件对应的行为权重数据的流程示意图。
参考图9所示，步骤S910，从所述行为属性信息中确定目标行为事件。
其中，目标行为事件可以是指从行为属性信息中确定的、在行为源节点以及行为目标节点之间的一个行为事件，即目标行为事件可以对应行为源节点与行为目标节点，例如，对于行为源节点A以及行为目标节点B，行为源节点A以及行为目标节点B可以包含攻击事件1、攻击事件2、可疑数据转移事件3、攻击事件4等多个行为事件，则目标行为事件可以是多个行为事件中的攻击事件1，当然，此处仅是示意性举例说明，不应对本示例实施例造成任何特殊限定。在实际的应用场景中，目标行为事件的表现形式可以是(行为源节点，目标行为事件，行为目标节点)的三元组。
步骤S920，通过所述行为属性信息确定所述目标行为事件对应的行为特征数据，并根据所述行为特征数据确定所述目标行为事件对应的行为权重数据。
其中，行为特征数据可以是指能够衡量目标行为事件的影响程度的数据，例如行为特征数据可以是目标行为事件是否有告警记录，也可以是目标行为事件发生频次，还可以是目标行为事件对应的行为源节点的端口号数量、关联文件的MD5(加密信息)、域名、脆弱性信息的丰富程度，本示例实施例对此不做特殊限定。行为权重数据可以是指目标行为事件对应的权重数据，具体的，可以根据确定的行为特征数据定目标行为事件对应的行为权重数据。
具体的，行为特征数据可以包括多个维度数据，具体可以通过以下步骤确定所述目标行为事件对应的行为权重数据：确定各维度数据对应的分数数据；对分数数据进行累加求和确定目标行为事件对应的行为权重数据。
其中，维度数据可以是指用于表征行为事件的不同类型的数据，例如行为特征对应的维度数据可以是目标行为事件是否有告警记录，也可以是目标行为事件发生频次，还可以是目标行为事件对应的行为源节点的端口号数量、关联文件的MD5(加密信息)、域名、脆弱性信息的丰富程度，本示例实施例对此不做特殊限定。分数数据可以是指用于评价各维度数据对目标行为事件影响程度的数据，通过对各维度数据的分数数据进行累加求和计算，得到目标行为事件对应的行为权重数据。
进一步的，根据各维度数据对应的数据分布状况确定各维度数据对应的分数数据。具体基于以下算法代码，根据各维度数据的数据分布状况确定各维度数据对应的分数数据：
def edges_weight(edge)：
#被安全设备告警
if edge[21]＝＝1：weight＝3
else：weight＝1
#同一事件发生频次
if edge[18]>100：weight＝weight+3
elif edge[18]>10：weight＝weight+2
elif edge[18]>2：weight＝weight+1
else：weight＝weight
##srp源ip相关的port号数量
if edge[19]>50:weight＝weight+3
elif edge[19]>5：weight＝weight+2
else：weight＝weight+1
##dst目的ip相关的port号数量
if edge[20]>2：weight＝weight+3
else：weight＝weight+1
##关联user_name，md5，domain，脆弱性信息
if(edge[22]+edge[23]+edge[24]+edge[25]>＝3)：weight＝weight+3
elif(edge[22]+edge[23]+edge[24]+edge[25]＝＝2)：weight＝weight+2
elif(edge[22]+edge[23]+edge[24]+edge[25]＝＝1)：weight＝weight+1
else：weight＝weight
即各维度数据对应的分数数据的打分依据可以是数据分布情况，具体是数据分布在头部5％打分为3分，数据分布在头部25％为2分，其余为1分，当然，本示例实施例不以此为限。
在本示例实施例中，行为源节点与行为目标节点之间可以包含多个目标行为事件，具体的，可以继续通过以下步骤确定行为源节点与行为目标节点之间所有行为事件的权重数据：确定行为源节点与行为目标节点之间多个目标行为事件对应的多个行为权重数据。对多个行为权重数据进行累加计算，确定行为源节点与行为目标节点之间所有行为事件的权重数据。其中，由于行为源节点与行为目标节点之间可以包含多个目标行为事件，在计算行为源节点与行为目标节点之间所有行为事件的权重数据时，分别计算行为源节点与行为目标节点之间多个目标行为事件各自对应的多个行为权重数据。然后将多个目标行为事件各自对应的多个行为权重数据进行累加求和计算，得到行为源节点与行为目标节点之间所有行为事件的权重数据。
在示例实施例中，可以通过以下步骤生成待处理行为数据对应的连通子图：根据行为属性信息确定行为源节点对应的第一节点地址以及行为目标节点对应的第二节点地址；将第一节点地址、第二节点地址以及权重数据作为连通子图生成模型的输入，以通过连通子图生成模型生成待处理行为数据对应的连通子图。
其中，第一节点地址可以是指行为属性信息中包含的行为源节点对应的IP地址，第二节点地址可以是指行为属性信息中包含的行为目标节点对应的IP地址。连通子图生成模型可以是指预先在程序语言中编辑的数学函数模型，例如连通子图生成模型可以包含Python语言中networkx模块中的from_pandas_edgelist函数、remove_edges_from函数、connected_components函数等，当然，本示例实施例不以此为限。具体的，将第一节点地址、第二节点地址以及行为源节点与行为目标节点之间所有行为事件的权重数据作为三元组(第一节点地址，第二节点地址，权重数据)输入到连通子图生成模型中生成连通子图。
具体的，可以根据连通子图生成模型对连通子图进行环路径去除处理，以生成待处理行为数据对应的连通子图，例如可以通过连通子图生成模型中的from_pandas_edgelist函数将三元组(第一节点地址，第二节点地址，权重数据)导入，使用连通子图生成模型中的remove_edges_from函数去掉图中的环路径，最后使用connected_components函数获得连通子图。
在本示例实施例中，可以通过预设的目标社区发现模型对连通子图进行模块度计算，并以模块度最大为目标对连通子图进行社区子图提取，以获取多个目标社区子图。目标社区发现模型可以是指以Louvain算法(一种大规模社区发现算法)为原理构建的社区发现模型，用于提取连通子图中的目标社区子图。
图10示意性示出了根据本公开的一个实施例的相关技术中通过社区发现算法进行社区子图抽取的原理示意图。
参考图10所示，步骤S1010，初始化，将每个点划分在不同的社区中；
步骤S1020，对每个节点，将每个点尝试合并到与其邻接的点所在的社区中，分别计算模块度增益，并记录增益最大的那个邻居节点，如果大于0，则把节点分配给增益最大的那个邻居节点所在的社区，否则保持不变；重复循环该过程直到不能再增大模块度为止；
步骤S1030，对图进行压缩，将所有在同一个社区的节点压缩成一个新节点，社区内节点之间的边的权重转化为新节点的环的权重，社区间的边权重转化为新节点间的边权重；
步骤S1040，重复步骤S1030，直至全图的模块度不再增加。
具体的，相关技术中的模块度计算公式如关系式(1)所示：
其中，可以表示社区网络中所有的边数和，Ai,j可以表示节点i和节点j之间的权重,网络非加权图时所有边权重为1，ki＝∑jAi,j可以表示节点i的度数，ci可以表示节点i被分配到的社区，σ(ci,cj)社可以表示判断顶点i与顶点j是否被划分在同一个社区中，是返回1，否返回0。但是发明人发现，通过相关技术方案中的模块度计算公式(1)计算社区网络中的模块度时，很有可能断掉一些安全场景下有意义的边。例如，参考图11所示，图11示意性示出了根据本公开的一个实施例的相关模块度计算公式断开社区子图中具有意义的边的示意图，其中社区子图1101和社区子图1102之间存在起着连接两个社区子图的行为关系边1103和行为关系边1104，但是根据模块度计算公式(1)进行模块度计算时，会将行为关系边1103和行为关系边1104这两条有着重要关系的边进行断开，导致得到的社区子图中的行为关系不准确。
因此，为了保证这种一些安全场景下有意义的边不被断掉，本示例实施例中对模块度增益的计算公式进行了修正，为所有的边都赋予权重，特别的是图11中这种场景下的边会赋予较高权重，修正后的模块度增益公式如关系式(2)所示：
其中，m可以表示所有边的权重和，ωij可以表示i和j之间所有边的权重和(一般实际的业务场景是两个节点之间存在多条边),可以表示和顶点i关联的所有边的权重之和。
在本示例实施例中，可以将目标社区子图以及目标社区子图对应的评估数据作为待处理行为数据对应的行为关系信息，并将行为关系信息进行可视化展示。具体的，可以将行为关系信息发送给终端设备，以使终端设备将目标社区子图以及目标社区子图对应的评估数据同时并列显示在终端设备对应的显示单元，以使运营人员根据目标社区子图以及目标社区子图对应的评估数据对待处理行为数据进行风险级别评估，有效提升运营人员的工作效率。
图12示意性示出了根据本公开的一个实施例的将行为关系信息进行可视化展示的流程示意图。
具体的，参考图12所示，可以通过图12中的步骤将行为关系信息进行可视化展示：
步骤S1210，对评估数据进行结构化处理以得到结构化后的评估数据；
步骤S1220，将多个目标社区子图以及对应的结构化后的评估数据进行可视化展示。
其中，评估数据还可以包括目标社区子图的关联数据，例如评估数据还可以是根据目标社区子图中实体数(节点数)、事件数、事件类型数对目标社区子图进行评估的描述文本，如评估数据中的分数为88，节点数为68，行为事件数为1349，事件类型数为42的目标社区子图，评价为“存在环路，复杂结构，节点数较多”的描述文本。对评估数据进行结构化处理可以是指将多个目标社区子图的评估数据结构化为统一的评估数据格式的过程，然后将多个目标社区子图以及对应的结构化后的评估数据进行可视化展示，可以将复杂的评估数据结构化，便于运营人员进行对比分析，进一步提升运营人员的工作效率。
图13示意性示出了根据本公开的一个实施例的行为关系信息提取方法的应用场景示意图。
参考图13所示，将多个目标社区子图以及对应的结构化后的评估数据发送到终端设备进行可视化展示，在可视化展示界面1301中评估数据展示区域1302显示多个目标社区子图对应的结构化评估数据。具体的，在评估数据展示区域1302选中某个目标社区子图对应的结构化评估数据1303，则在浮动的悬浮窗口中详细显示对应的评估数据，并在目标社区子图显示区域1304展示结构化评估数据1303对应的目标社区子图1305，并在属性信息显示区域1306显示目标社区子图1305对应的行为属性信息。
图14示意性示出了根据本公开的一个实施例的提取行为关系信息的流程示意图。
参考图14所示，步骤S1410，对待处理行为数据进行解析；
步骤S1420，根据解析结果提取行为事件对应的行为属性信息；
步骤S1430，计算目标行为事件即三元组(行为源节点，目标行为事件，行为目标节点)的行为权重数据；
步骤S1440，根据多个目标权重数据计算行为源节点与行为目标节点之间所有目标行为事件的权重数据；
步骤S1450，将三元组(行为源节点，行为目标节点，权重数据)作为连通子图生成模型的输入，生成连通子图；
步骤S1460，以模块度最大为目标对连通子图进行社区子图抽取处理以确定多个目标社区子图；
步骤S1470，根据多个目标社区子图获取待处理行为数据的行为关系信息；
步骤S1480，将提取的行为关系信息进行可视化展示。
应当注意，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。
进一步的，本示例实施方式中，还提供了一种行为关系信息提取方法装置。该行为关系信息提取方法装置可以应用于一服务器或终端设备。参考图15所示，该行为关系信息提取方法装置1500可以包括行为属性信息提取模块1510、权重数据确定模块1520、连通子图生成模块1530以及行为关系信息提取模块1540。其中：
行为属性信息提取模块1510用于获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
权重数据确定模块1520用于从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
连通子图生成模块1530用于根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
行为关系信息提取模块1540用于以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息。
在本公开的一种示例性实施例中，所述行为关系信息提取方法装置1500还包括：
重要程度数据确定单元，用于确定多个所述目标社区子图对应的重要程度数据；其中，所述重要程度数据包括子图复杂度数据、最长路径权重数据和子图边权重加权数据；
评估数据计算单元，用于根据所述重要程度数据计算所述目标社区子图对应的评估数据。
在本公开的一种示例性实施例中，所述评估数据计算单元还被配置为：
将所述子图复杂度数据以及求对数处理后的所述最长路径权重数据和所述子图边权重加权数据进行累乘计算，确定计算结果；
根据预设的转化算法将所述计算结果进行标准化处理以确定所述社区子图对应的得分数据。
在本公开的一种示例性实施例中，所述行为关系信息提取方法装置1500还包括可视化展示单元，所述可视化展示单元被配置为：
将所述目标社区子图以及所述目标社区子图对应的评估数据作为所述待处理行为数据对应的行为关系信息，并将所述行为关系信息进行可视化展示。
在本公开的一种示例性实施例中，所述权重数据确定模块1520还包括：
目标行为事件确定单元，用于从所述行为属性信息中确定目标行为事件；其中，所述目标行为事件对应所述行为源节点与所述行为目标节点；
行为权重数据确定单元，用于通过所述行为属性信息确定所述目标行为事件对应的行为特征数据，并根据所述行为特征数据确定所述目标行为事件对应的行为权重数据。
在本公开的一种示例性实施例中，所述权重数据确定模块1520还包括权重数据确定单元，所述权重数据确定单元被配置为：
确定所述行为源节点与所述行为目标节点之间多个所述目标行为事件对应的多个所述行为权重数据；
对多个所述行为权重数据进行累加计算，确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据。
在本公开的一种示例性实施例中，所述行为权重数据确定单元还被配置为：
确定各所述维度数据对应的分数数据；
对所述分数数据进行累加求和确定所述目标行为事件对应的所述行为权重数据。
在本公开的一种示例性实施例中，所述行为权重数据确定单元还被配置为：
根据各所述维度数据对应的数据分布状况确定各所述维度数据对应的分数数据。
在本公开的一种示例性实施例中，所述连通子图生成模块1530还包括：
节点地址确定单元，用于根据所述行为属性信息确定所述行为源节点对应的第一节点地址以及所述行为目标节点对应的第二节点地址；
连通子图生成单元，用于将所述第一节点地址、所述第二节点地址以及所述权重数据作为连通子图生成模型的输入，以通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，所述连通子图生成单元还被配置为：
根据所述连通子图生成模型对所述连通子图进行环路径去除处理，以生成所述待处理行为数据对应的连通子图。
在本公开的一种示例性实施例中，所述行为关系信息提取模块1540还包括模块度计算单元，所述模块度计算单元被配置为：
通过预设的目标社区发现模型对所述连通子图进行模块度计算，并以所述模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图。
在本公开的一种示例性实施例中，所述可视化展示单元还被配置为：
对所述评估数据进行结构化处理以得到结构化后的所述评估数据；
将多个所述目标社区子图以及对应的结构化后的所述评估数据进行可视化展示。
上述行为关系信息提取方法装置中各模块或单元的具体细节已经在对应的行为关系信息提取方法中进行了详细的描述，因此此处不再赘述。
应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (15)

1.一种行为关系信息提取方法，其特征在于，包括：
获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息；
其中，所述权重数据包括行为权重数据，所述确定所述行为源节点与所述行为目标节点之间所有行为事件的权重数据，包括：
从所述行为属性信息中确定目标行为事件；其中，所述目标行为事件对应所述行为源节点与所述行为目标节点；
确定所述目标行为事件对应的每个维度数据的分数数据；其中，所述维度数据用于表征所述目标行为事件的不同类型的数据，所述每个维度数据的分数数据用于表征所述每个维度数据对所述目标行为事件的影响程度；
对多个维度数据的分数数据进行累加求和确定所述目标行为事件对应的所述行为权重数据。
2.根据权利要求1所述的行为关系信息提取方法，其特征在于，所述行为关系信息包括目标社区子图对应的评估数据；所述基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息，包括：
确定多个所述目标社区子图对应的重要程度数据；其中，所述重要程度数据包括子图复杂度数据、最长路径权重数据和子图边权重加权数据；
根据所述重要程度数据计算所述目标社区子图对应的评估数据。
3.根据权利要求2所述的行为关系信息提取方法，其特征在于，根据所述重要程度数据计算所述目标社区子图对应的评估数据，包括：
将所述子图复杂度数据以及求对数处理后的所述最长路径权重数据和所述子图边权重加权数据进行累乘计算，确定计算结果；
根据预设的转化算法将所述计算结果进行标准化处理以确定所述社区子图对应的评估数据。
4.根据权利要求2所述的行为关系信息提取方法，其特征在于，在根据所述重要程度数据计算所述目标社区子图对应的评估数据之后，所述方法还包括：
将所述目标社区子图以及所述目标社区子图对应的评估数据作为所述待处理行为数据对应的行为关系信息，并将所述行为关系信息进行可视化展示。
5.根据权利要求1所述的行为关系信息提取方法，其特征在于，所述行为源节点与所述行为目标节点之间包含多个所述目标行为事件，所述从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据，包括：
确定所述行为源节点与所述行为目标节点之间多个所述目标行为事件对应的多个所述行为权重数据；
对多个所述行为权重数据进行累加计算，确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据。
6.根据权利要求1所述的行为关系信息提取方法，其特征在于，确定所述目标行为事件对应的每个维度数据的分数数据，包括：
根据每个维度数据对应的数据分布状况，确定所述目标行为事件对应的每个维度数据对应的分数数据。
7.根据权利要求1所述的行为关系信息提取方法，其特征在于，根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图，包括：
根据所述行为属性信息确定所述行为源节点对应的第一节点地址以及所述行为目标节点对应的第二节点地址；
将所述第一节点地址、所述第二节点地址以及所述权重数据作为连通子图生成模型的输入，以通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图。
8.根据权利要求7所述的行为关系信息提取方法，其特征在于，所述通过所述连通子图生成模型生成所述待处理行为数据对应的连通子图，包括：
根据所述连通子图生成模型对所述连通子图进行环路径去除处理，以生成所述待处理行为数据对应的连通子图。
9.根据权利要求1所述的行为关系信息提取方法，其特征在于，以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图，包括：
通过预设的目标社区发现模型对所述连通子图进行模块度计算，并以所述模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图。
10.根据权利要求4所述的行为关系信息提取方法，其特征在于，将所述行为关系信息进行可视化展示，包括：
对所述评估数据进行结构化处理以得到结构化后的所述评估数据；
将多个所述目标社区子图以及对应的结构化后的所述评估数据进行可视化展示。
11.一种行为关系信息提取装置，其特征在于，包括：
行为属性信息提取模块，用于获取待处理行为数据，并提取所述待处理行为数据中行为事件的行为属性信息；
权重数据确定模块，用于从所述行为属性信息中确定所述行为事件对应的行为源节点以及行为目标节点，并确定所述行为源节点与所述行为目标节点之间所有所述行为事件的权重数据；
连通子图生成模块，用于根据所述行为属性信息以及所述权重数据生成所述待处理行为数据对应的连通子图；
行为关系信息提取模块，用于以模块度最大为目标对所述连通子图进行社区子图提取，以获取多个目标社区子图并基于所述目标社区子图提取所述待处理行为数据对应的行为关系信息；
其中，所述权重数据包括行为权重数据，所述权重数据确定模块，具体用于：
从所述行为属性信息中确定目标行为事件；其中，所述目标行为事件对应所述行为源节点与所述行为目标节点；
确定所述目标行为事件对应的每个维度数据的分数数据；其中，所述维度数据用于表征所述目标行为事件的不同类型的数据，所述每个维度数据的分数数据用于表征所述每个维度数据对所述目标行为事件的影响程度；
对多个维度数据的分数数据进行累加求和确定所述目标行为事件对应的所述行为权重数据。
12.根据权利要求11所述的行为关系信息提取装置，其特征在于，所述行为关系信息包括目标社区子图对应的评估数据；所述装置还包括：
重要程度数据确定单元，用于确定多个所述目标社区子图对应的重要程度数据；其中，所述重要程度数据包括子图复杂度数据、最长路径权重数据和子图边权重加权数据；
评估数据计算单元，用于根据所述重要程度数据计算所述目标社区子图对应的评估数据。
13.根据权利要求12所述的行为关系信息提取装置，其特征在于，所述评估数据计算单元还用于：
将所述子图复杂度数据以及求对数处理后的所述最长路径权重数据和所述子图边权重加权数据进行累乘计算，确定计算结果；
根据预设的转化算法将所述计算结果进行标准化处理以确定所述社区子图对应的得分数据。
14.一种电子设备，其特征在于，包括：
处理器；以及
存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时实现如权利要求1至10中任一项所述的方法。
15.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至10中任一项所述的方法。
CN202010154445.0A 2020-03-07 2020-03-07 行为关系信息提取方法及装置、存储介质、电子设备 Active CN112750047B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010154445.0A CN112750047B (zh) 2020-03-07 2020-03-07 行为关系信息提取方法及装置、存储介质、电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010154445.0A CN112750047B (zh) 2020-03-07 2020-03-07 行为关系信息提取方法及装置、存储介质、电子设备

Publications (2)

Publication Number Publication Date
CN112750047A CN112750047A (zh) 2021-05-04
CN112750047B true CN112750047B (zh) 2023-09-05

Family

ID=75645149

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010154445.0A Active CN112750047B (zh) 2020-03-07 2020-03-07 行为关系信息提取方法及装置、存储介质、电子设备

Country Status (1)

Country Link
CN (1) CN112750047B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023135903A1 (ja) * 2022-01-11 2023-07-20 株式会社Ｎｔｔドコモ 行動可視化装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108009690A (zh) * 2017-12-22 2018-05-08 北京工业大学 一种基于模块度最优化的地面公交扒窃团体自动检测方法
CN109166030A (zh) * 2018-08-01 2019-01-08 深圳微言科技有限责任公司 一种反欺诈解决方法及系统
CN109472694A (zh) * 2017-09-08 2019-03-15 上海诺悦智能科技有限公司 一种可疑交易行为发现系统
CN109981526A (zh) * 2017-12-27 2019-07-05 中移（杭州）信息技术有限公司 一种确定网络攻击源的方法、装置、介质及设备
CN110046805A (zh) * 2019-03-29 2019-07-23 阿里巴巴集团控股有限公司 风险用户发现方法及装置
CN110138764A (zh) * 2019-05-10 2019-08-16 中北大学 一种基于层次攻击图的攻击路径分析方法
CN110135853A (zh) * 2019-04-25 2019-08-16 阿里巴巴集团控股有限公司 团伙用户识别方法、装置和设备
CN110765320A (zh) * 2019-10-23 2020-02-07 腾讯科技（深圳）有限公司 数据处理方法、装置、存储介质和计算机设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10313365B2 (en) * 2016-08-15 2019-06-04 International Business Machines Corporation Cognitive offense analysis using enriched graphs

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109472694A (zh) * 2017-09-08 2019-03-15 上海诺悦智能科技有限公司 一种可疑交易行为发现系统
CN108009690A (zh) * 2017-12-22 2018-05-08 北京工业大学 一种基于模块度最优化的地面公交扒窃团体自动检测方法
CN109981526A (zh) * 2017-12-27 2019-07-05 中移（杭州）信息技术有限公司 一种确定网络攻击源的方法、装置、介质及设备
CN109166030A (zh) * 2018-08-01 2019-01-08 深圳微言科技有限责任公司 一种反欺诈解决方法及系统
CN110046805A (zh) * 2019-03-29 2019-07-23 阿里巴巴集团控股有限公司 风险用户发现方法及装置
CN110135853A (zh) * 2019-04-25 2019-08-16 阿里巴巴集团控股有限公司 团伙用户识别方法、装置和设备
CN110138764A (zh) * 2019-05-10 2019-08-16 中北大学 一种基于层次攻击图的攻击路径分析方法
CN110765320A (zh) * 2019-10-23 2020-02-07 腾讯科技（深圳）有限公司 数据处理方法、装置、存储介质和计算机设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于联合引力度扩展的加权网络重叠社区划分算法;孙延维;雷建军;杨进才;;华中师范大学学报(自然科学版)(第04期);全文 *

Also Published As

Publication number Publication date
CN112750047A (zh) 2021-05-04

Similar Documents

Publication Publication Date Title
CN110210227B (zh) 风险检测方法、装置、设备和存储介质
US10956296B2 (en) Event correlation
Olmezogullari et al. Representation of click-stream datasequences for learning user navigational behavior by using embeddings
CN112148772A (zh) 告警根因识别方法、装置、设备和存储介质
CN111813960B (zh) 基于知识图谱的数据安全审计模型装置、方法及终端设备
CN111435393B (zh) 对象漏洞的检测方法、装置、介质及电子设备
CN107944032B (zh) 用于生成信息的方法和装置
CN114637989A (zh) 基于分布式系统的apt攻击追溯方法、系统及存储介质
CN114598539B (zh) 根因定位方法、装置、存储介质及电子设备
CA3099480A1 (en) Systems and methods for generating graph data structure objects with homomorphism
CN114443854A (zh) 多源异构数据的处理方法、装置、计算机设备及存储介质
Ashraf et al. WeFreS: weighted frequent subgraph mining in a single large graph
CN112750047B (zh) 行为关系信息提取方法及装置、存储介质、电子设备
CN116881430B (zh) 一种产业链识别方法、装置、电子设备及可读存储介质
Tahir et al. Big data—an evolving concern for forensic investigators
Piñeiro et al. Web architecture for URL-based phishing detection based on Random Forest, Classification Trees, and Support Vector Machine
CN116739605A (zh) 交易数据检测方法、装置、设备及存储介质
CN110069691A (zh) 用于处理点击行为数据的方法和装置
CN114881521A (zh) 业务评估方法、装置、电子设备以及存储介质
CN115567572A (zh) 确定对象异常度的方法、装置、设备以及存储介质
CN114969018A (zh) 一种数据监控方法及系统
JP2023523191A (ja) アカウントの識別方法、装置、電子機器及びコンピュータ読み取り可能な媒体
Khan et al. Context-based irregular activity detection in event logs for forensic investigations: An itemset mining approach
CN113869904A (zh) 可疑数据识别方法、装置、电子设备、介质和计算机程序
Onyekwelu et al. Pre-processing of university webserver log files for intrusion detection

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 40048330

Country of ref document: HK

SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant