CN113961435A - 用户行为的分析方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请实施例涉及数据处理技术领域，公开了一种用户行为的分析方法、装置、电子设备及存储介质。用户行为的分析方法，包括：在每一时段获取当前周期内已记录的用户行为数据；根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果。使得能够对用户行为进行准确地预测和分析。

Description

用户行为的分析方法、装置、电子设备及存储介质

技术领域

本申请实施例涉及数据处理技术领域，特别涉及一种用户行为的分析方法、装置、电子设备及存储介质。

背景技术

在用户和实体行为分析(User and Entity Behavior Analytics，UEBA)等场景下，需要对用户行为进行安全防护监测，通常的检测方法是统计各个时段内发生目标用户行为的频次，得到目标用户行为随时间变化的预测曲线，然后检测当前发生用户目标行为是否符合预测曲线的预测来判断目标用户行为是否正常，如通过判断当前时段内的账号登陆行为是否符合预测来确定该账号登陆行为是否为真实用户做出，从而确定是否出现账号泄露问题等。

然而，通过统计频次得到的预测曲线通常会被表示为直方图、折线图等形式，此时，预测曲线不够平滑，难以对目标用户行为进行准确预测，从而基于不准确的预测结果得到不准确的分析结果，甚至导致用户行为分析错误。

发明内容

本申请实施例的目的在于提供一种用户行为的分析方法、装置、电子设备及存储介质，使得能够对用户行为进行准确地预测和分析。

为达到上述目的，本申请的实施例提供了一种用户行为的分析方法，包括以下步骤：在每一时段获取当前周期内已记录的用户行为数据；根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果。

为达到上述目的，本申请的实施例还提供了一种用户行为的分析装置，包括：获取模块，用于在每一时段获取当前周期内已记录的用户行为数据；分布曲线确定模块，用于根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；偏差确定模块，用于确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；分析模块，用于根据所述偏差对当前周期内发生的所述目标用户行为进行分析，得到分析结果。

为达到上述目的，本申请的实施例还提供了一种电子设备，包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如上所述的用户行为的分析方法。

为达到上述目的，本申请的实施例还提供了一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的用户行为的分析方法。

本申请实施例提供的用户行为的分析方法，获取当前周期内已记录的用户行为数据后，根据获取到的用户行为数据确定当前周期对应的真实概率分布曲线，得到对当前周期内目标用户行为的准确表征，相对于用频次进行表征的方式，准确性得到了提高，同理，基于历史用户行为数据得到的参考概率分布曲线在预测目标用户行为的发生趋势方面的准确性也得到了提高，从而基于真实概率分布曲线和参考概率分布曲线之间的偏差进行用户行为分析得到的分析结果准确性也相应提高。

附图说明

一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定，附图中具有相同参考数字标号的元件表示为类似的元件，除非有特别申明，附图中的图不构成比例限制。

图1是本申请一实施例提供的用户行为的分析方法的流程图；

图2是本申请实施例提供的用户行为的分析方法中通过不同方式得到的概率分布曲线对比图；

图3是本申请另一实施例提供的用户行为的分析装置的结构示意图；

图4是本申请另一实施例提供电子设备的结构示意图。

具体实施方式

由背景技术可知，目前的用户行为分析通常是采集用户行为的历史数据，然后统计出各个时段内发生目标用户行为的频次，得到直方图、折线图等形式的预测曲线，然后检测当前发生用户目标行为是否符合预测曲线的预测来判断目标用户行为是否正常，由于预测曲线不够平滑，很难准确地预测和分析。

为解决上述问题，本申请实施例提供了一种用户行为的分析方法，包括以下步骤：在每一时段获取当前周期内已记录的用户行为数据；根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果。

本申请实施例提供的用户行为的分析方法，获取当前周期内已记录的用户行为数据后，根据获取到的用户行为数据确定当前周期对应的真实概率分布曲线，得到对当前周期内目标用户行为的准确表征，相对于用频次进行表征的方式，准确性得到了提高，同理，基于历史用户行为数据得到的参考概率分布曲线在预测目标用户行为的发生趋势方面的准确性也得到了提高，从而基于真实概率分布曲线和参考概率分布曲线之间的偏差进行用户行为分析得到的分析结果准确性也相应提高。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合附图对本申请的各实施例进行详细的阐述。然而，本领域的普通技术人员可以理解，在本申请各实施例中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施例的种种变化和修改，也可以实现本申请所要求保护的技术方案。

以下各个实施例的划分是为了描述方便，不应对本申请的具体实现方式构成任何限定，各个实施例在不矛盾的前提下可以相互结合相互引用。

本申请实施例一方面提供了一种用户行为的分析方法，应用于服务器、手机、计算机等电子设备。具体流程如图1所示。

步骤101，在每一时段获取当前周期内已记录的用户行为数据。

本实施例中，周期是指用户行为的分析周期，为预先设置的时长；时段是对周期进一步划分得到的时长，一个周期包括若干个时段，若干时段组成一个周期；用户行为数据是指记录用户网络访问行为的数据，包括用户行为、用户名、时间等；用户行为可以是登录行为、登出行为、浏览行为、搜索行为等，本实施例不对用户行为进行限定，可以是任何一种用户行为。

在一个例子中，周期为一天，时段为1小时，一个周期可以分为24个时段，即0时-1时、1时-2时……23时-24时。服务器依次在1时、2时……24时获取当天0时至当前的指定网页的用户日志，对获取的用户日志进行处理，包括对用户日志进行筛选，得到指定用户行为对应的数据，如登录指定网页的数据，然后根据指定用户名，即需要进行用户行为分析的用户访问网页时使用的用户名，将特定用户的指定用户行为的数据筛选出来，得到用户行为数据。

在另一个例子中，周期为一周，时段为1天，一个周期可以分为7个时段，即周一、周二、周三、周四、周五、周六和周天。计算机不断记录用户在计算机上的操作，并每隔一段时间，如1小时，生成相关的日志，并会对日志中的数据进行分析和保存，如按照用户操作的类型不同将用户行为分为登录行为、搜索行为、删除行为等，并将不同行为发生的时刻采用不同的数据表进行记录等，形成用户行为数据。依次在每天的0时从计算机中存储用户行为数据中读取指定用户行为对应的数据，如读取用户登录行为的数据。

需要说明的是，用户行为数据还可以计算机等上传到数据库中进行存储，如采用非关系型数据库(Not Only SQL，NoSQL)等。

当然，以上仅为具体的举例说明，获取用户行为数据还可以是通过其他方式实现，此处就不再一一赘述了。

步骤102，根据获取到的用户行为数据确定当前周期对应的真实概率分布曲线。

本实施例中，真实概率分布曲线的确定可以通过如下方式实现：检测当前获取到的用户行为数据是否为完整周期的用户行为数据，在检测到当前获取到的用户行为数据为完整周期的用户行为数据的情况下，基于获取到的用户行为数据和概率分布估计算法确定真实概率分布曲线；在检测到当前获取到的用户行为数据不是完整周期的用户行为数据的情况下，即存在数据缺失的情况下，根据历史用户行为数据模拟对当前周期未达到时段的用户行为进行模拟，得到模拟用户行为数据，然后基于获取到的用户行为数据、模拟用户行为数据和概率分布估计算法确定真实概率分布曲线，其中，获取到的用户行为数据和模拟行为数据组成完整周期的用户行为数据。

在一实施中，根据历史用户行为数据模拟对当前周期未达到时段的用户行为进行模拟，得到模拟用户行为数据可以通过如下方式实现：根据历史用户行为数据确定一个周期中各时段内的用户行为统计值，用户行为统计值表示用户行为发生频次的平均值；根据用户行为统计值模拟当前周期内未到达时段的第一模拟用户行为数据；根据第一模拟用户行为数据、用户行为数据和概率密度估计算法确定真实概率分布曲线；其中，根据用户行为统计值模拟当前周期内未到达时段的模拟用户行为数据，包括：根据用户行为统计值确定各当前周期内未到达时段内用户行为发生的频次；对每一个当前周期内未到达时段，生成数量与对应的频次相同的时序数据；将时序数据作为模拟用户行为数据，即第一模拟用户行为数据

需要说明的是，历史行为用户数据是指历史周期中得到的用户行为数据，在历史用户行为数据包含多个历史周期的用户行为数据时，根据历史用户行为数据确定一个周期中各时段内的用户行为统计值可以为：分别统计每个历史周期中各时段内的用户行为发生的频次，将各个历史周期同一时段对应的频次的均值作为该时段的用户行为统计值，或者，将各个历史周期同一时段对应的频次的中位数作为该时段的用户行为统计值；在历史用户行为数据对应一个历史周期的用户行为数据时，统计各时段内的用户行为发生的频次，并将频次作为该时段的用户行为统计值。

在一个例子中，在某天的12时获取了用户行为数据后，由于周期为一天，因此，需要对12时-24时的用户行为数据进行模拟，此时，假设获取的历史用户行为数据是一个历史周期内的用户行为数据，则对历史用户行为数据中的12时-24时中的每个时段，即12时-13时、13时-14时……23时-24时的用户行为发生次数进行统计，得到12时-24时中各个时段对应的用户行为统计值，然后在相应时段随机生成对应用户行为统计值表示的数量的时刻点，以将生成的时刻作为用户行为发生的时刻，即模拟当前周期内未到达时段的第一模拟用户行为数据，如在12时-13时所表示的时段中，根据历史用户行为数据得到的用户行为统计值为13，在12时-13时之间随机生成13个不同的时刻，将这13个不同的时刻作为12时-13时的第一模拟用户行为数据，接着将第一模拟用户行为数据和获取的当前周期的用户行为数据合并作为概率密度估计算法的输入数据，得到真实概率分布曲线。

在一实施中，根据历史用户行为数据模拟对当前周期未达到时段的用户行为进行模拟，得到模拟用户行为数据还可以通过如下方式实现：根据历史用户行为数据，确定在一个周期的各时段内用户行为发生的总次数；基于各时段内用户行为发生的总次数与发生概率，得到当前周期内未到达时段的第二模拟用户行为数据；根据第二模拟用户行为数据、用户行为数据和概率密度估计算法确定真实概率分布曲线。此时的模拟用户行为数据为第二模拟用户行为数据。

需要说明的是，某个时段内用户行为发生的发生概率是基于历史用户行为数据和概率密度估计算法得到的。

在一个例子中，在某个月13号的24时获取了当月的用户数据之后，由于周期为一个月，因此，需要对13号之后的用户行为数据进行模拟，此时，假设获取的历史用户行为数据是一个历史周期内的用户行为数据，包含了31天的用户行为数据，不论当月是30天还是31天，都需要按照历史周期的天数进行模拟，例如当月有30天，则需要对14号-30号以及假定的31号的用户行为数据进行模拟，即统计历史用户行为数据中用户行为发生的总次数，并基于历史用户行为数据和概率密度估计算法得到参考概率分布曲线，根据参考概率分布曲线在14号-31号之间各天内分布进行积分得到每天对应的概率，然后根据概率和总次数的乘积对14号-31号之间各天用户行为进行模拟，得到第二模拟用户行为数据，如在14号所表示的一天内中，概率和总次数的乘积为32，在14号的24小时内之间随机生成32个不同的时刻，将这32个不同的时刻作为14号内的第二模拟用户行为数据，接着将第二模拟用户行为数据和获取的当前周期的用户行为数据合并作为概率密度估计算法的输入数据，得到真实概率分布曲线。

当然，以上仅为根据历史用户行为数据模拟对当前周期未达到时段的用户行为进行模拟，得到模拟用户行为数据的实现方式的举例说明，实际其还可以通过根据历史用户行为数据确定出参考概率分布曲线后，基于参考概率分布曲线和轮盘赌算法对当前周期未到达时段的用户行为进行模拟，得到模拟用户行为数据，即以各个时段在参考概率分布曲线中对应的概率积分结果作为轮盘赌中使用的选中概率，执行轮盘赌算法n次，n为历史行为数据中未达到时段中用户行为发生的总次数，然后从各个未到达时段中随机选择M个时段，M为根据轮盘赌算法选中对应的未到达时段的次数，此处就不再一一赘述了。

值得一提的是，相对于目前的用户行为分析通常需要根据完整的周期进行预测和分析，即在对当前的用户行为进行分析时，需要等待一个完整的周期，获取当前周期所有的用户行为数据，然后根据完整的用户行为数据与历史用户行为数据进行比对，本实施例可以不等待一个完整周期，而是对当前周期未达到时刻进行模拟，得到模拟用户行为数据，从而根据获取的用户行为数据和模拟的用户行为数据组成一个完整周期的用户行为数据，简化了分析方法，避免了时间资源的浪费，还能够增加分析的实时性，避免早一个周期早期出现问题，只能等到该周期结束后才能通过分析发现的问题。此外，利用历史用户行为数据进行模拟，避免了模拟失真，即模拟的用户行为数据异常，导致将正常的用户行为分析为错误的用户行为。

为了更好地说明通过模拟方式得到的真实分布曲线的效果，以用户行为为登录行为、周期为一天，进行实验，得到的概率分布曲线如图2所示，图2中的实线表示真实记录后得到的登陆行为的概率分布曲线，点划线表示的是只使用通过步骤101得到的用户行为数据而不使用模拟用户行为数据得到的登录行为的概率分布曲线，点线表示的是使用通过步骤101得到的用户行为数据和模拟用户行为数据得到的登录行为的概率分布曲线。由图2可知未加入模拟用户行为数据得到的概率分布曲线的拟合程度较差，加入模拟用户行为数据得到的概率分布曲线的拟合程度较好，通过对未达到时段的用户行为数据进行模拟得到的真实概率分布曲线会更加准确地反映用户行为的真实发生情况，从而能够更好地进行用户行为分析。

步骤103，确定真实概率分布曲线相对于参考概率分布曲线的偏差，参考概率分布曲线是基于历史用户行为数据得到的。

本实施例中，确定偏差可以通过匹配、查找差异最大值等方式实现，此处就不再一一赘述了。

需要说明的是，在执行步骤103之前，用户行为的分析方法还包括：获取参考概率分布曲线。其中，参考概率分布曲线的获取可以通过如下方式实现：获取至少一个历史周期内的用户日志；解析用户日志，得到各历史周期对应的历史用户行为数据；根据各历史周期对应的历史用户行为数据和概率密度估计算法计算得到一个周期内各时段中用户行为的发生概率，并基于发生概率生成参考概率分布曲线。需要强调的是，真实概率分布曲线和参考概率分布曲线是基于同一概率密度估计算法得到的，这样就能够避免在进行用户行为分析时引入概率密度估计算法不一致的外在不利因素，导致真实概率分布曲线相对于参考概率分布曲线的偏差受到外在影响而出现错误分析的情况。

较佳地，计算真实概率分布曲线时使用的历史用户行为数据为生成参考概率分布曲线时使用的历史用户行为数据。可以理解的是，用户行为具有不确定性，为了获取更准确的用户行为分析结果，可定期更新参考概率分布曲线，即当有新的完整的周期数据产生时，可基于新的周期数据或新的周期数据以及至少一个历史周期数据重新计算参考概率分布曲线，使得参考概率分布曲线能够更加准备的反馈出用户行为规律。相应的，在计算真实概率分布曲线时使用的历史行为数据也将对应调整。

需要强调的是，参考概率分布曲线与用户行为数据对应同一个用户。也就是说，在存在多个参考概率分布曲线时，若要准确地获取参考曲线，还可以参考用户行为数据中的用户等信息，从多个参考概率分布曲线中准确且唯一确定出一个参考概率分布曲线进行使用。

还需要说明的是，不论基于概率密度估计算法和当前周期获取的用户行为数据得到真实概率分布曲线，还是基于概率密度估计算法和历史周期获取的历史用户行为数据得到参考概率分布曲线，使用的用户行为数据都是源自同一用户的同一用户行为的数据。

步骤104，根据偏差对当前周期内已发生的用户行为进行分析，得到分析结果。

在一个例子中，通过检测偏差是否超过预设阈值来确定用户行为是否正常，在检测到偏差超过预设阈值的情况下，根据偏差生成威胁记录并将威胁记录作为分析结果，如在偏差为真实概率分布曲线和参考概率分布曲线同一时刻之间概率差值最大的数值的情况，检测偏差到偏差超过预设阈值J，0<J<1，记录概率差值最大时对应的时刻作为威胁记录等；在检测到偏差未超过预设阈值的情况下，根据偏差生成无危胁记录并将无威胁记录作为分析结果。

当然，以上仅为具体的举例说明，分析的方式还可以是直接记录偏差，或将当前获取的偏差和历史获取的偏差进行比对等，此处就不再一一赘述了。

进一步地，进行用户行为分析通常是为了进行监控告警，因此，在得到分析结果之后，用户行为的分析方法还包括：根据分析结果确定是否需要进行告警；在确定需要进行告警的情况下，将分析结果发送给用户并告警；在确定不需要进行告警的情况下，保存分析结果。其中，确定是否需要进行告警可以根据当前的时间、用户预先设置的需求、历史告警次数等信息确定，向用户告警可以通过根据用户绑定的终端联系方式与用户进行联系等方式进行，如在分析的用户行为是登录行为时，向用户账号绑定的手机号发送短信并在用户下次登陆账号时在登录时的交互界面以弹出框提醒。

需要说明的是，本实施例中使用的概率密度估计算法可以是核密度估计算法、K近邻法等，本实施例不对使用的概率密度估计算法进行限定。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本申请实施例另一方面还提供了一种用户行为的分析装置，如图3所示，包括：

获取模块301，用于在每一时段获取当前周期内已记录的用户行为数据。

分布曲线确定模块302，用于根据获取到的用户行为数据确定当前周期对应的真实概率分布曲线。

偏差确定模块303，用于确定真实概率分布曲线相对于参考概率分布曲线的偏差，参考概率分布曲线是基于历史用户行为数据得到的。

分析模块304，用于根据偏差对当前周期内发生的目标用户行为进行分析，得到分析结果。

不难发现，本实施例为与方法实施例相对应的装置实施例，本实施例可与方法实施例互相配合实施。方法实施例中提到的相关技术细节在本实施例中依然有效，为了减少重复，这里不再赘述。相应地，本实施例中提到的相关技术细节也可应用在方法实施例中。

值得一提的是，本实施例中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本申请的创新部分，本实施例中并没有将与解决本申请所提出的技术问题关系不太密切的单元引入，但这并不表明本实施例中不存在其它的单元。

本申请实施例另一方面还提供了一种电子设备，如图4所示，包括：至少一个处理器401；以及，与至少一个处理器401通信连接的存储器402；其中，存储器402存储有可被至少一个处理器401执行的指令，指令被至少一个处理器401执行，以使至少一个处理器401能够执行上述任一方法实施例所描述的用户行为的分析方法。

其中，存储器402和处理器401采用总线方式连接，总线可以包括任意数量的互联的总线和桥，总线将一个或多个处理器401和存储器402的各种电路连接在一起。总线还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路连接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和收发机之间提供接口。收发机可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器401处理的数据通过天线在无线介质上进行传输，进一步，天线还接收数据并将数据传输给处理器401。

处理器401负责管理总线和通常的处理，还可以提供各种功能，包括定时，外围接口，电压调节、电源管理以及其他控制功能。而存储器402可以被用于存储处理器401在执行操作时所使用的数据。

本申请实施方式另一方面还提供了一种计算机可读存储介质，存储有计算机程序。计算机程序被处理器执行时实现上述任一方法实施例所描述的用户行为的分析方法。

即，本领域技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域的普通技术人员可以理解，上述各实施例是实现本申请的具体实施例，而在实际应用中，可以在形式上和细节上对其作各种改变，而不偏离本申请的精神和范围。

Claims (11)

1.一种用户行为的分析方法，其特征在于，包括：

在每一时段获取当前周期内已记录的用户行为数据；

根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；

确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；

根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果。

2.根据权利要求1所述的用户行为的分析方法，其特征在于，所述根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线，包括：

根据所述历史用户行为数据确定一个周期中各所述时段内的用户行为统计值，所述用户行为统计值表示用户行为发生频次的平均值；

根据所述用户行为统计值模拟当前周期内未到达时段的第一模拟用户行为数据；

根据所述第一模拟用户行为数据、所述用户行为数据和概率密度估计算法确定所述真实概率分布曲线。

3.根据权利要求2所述的用户行为的分析方法，其特征在于，所述根据所述用户行为统计值模拟当前周期内未到达时段的模拟用户行为数据，包括：

根据所述用户行为统计值确定各所述当前周期内未到达时段内所述用户行为发生的频次；

对每一个所述当前周期内未到达时段，生成数量与对应的所述频次相同的时序数据；

将所述时序数据作为所述模拟用户行为数据。

4.根据权利要求1所述的用户行为的分析方法，其特征在于，所述确定所述真实概率分布曲线相对于参考概率分布曲线的偏差之前，所述方法还包括：

获取至少一个历史周期内的用户日志；

解析所述用户日志，得到各所述历史周期对应的所述历史用户行为数据；

根据各所述历史周期对应的所述历史用户行为数据和概率密度估计算法计算得到一个周期内各所述时段中用户行为的发生概率，并基于所述发生概率生成所述参考概率分布曲线，其中，所述真实概率分布曲线和所述参考概率分布曲线是基于同一概率密度估计算法得到的。

5.根据权利要求4所述的用户行为的分析方法，其特征在于，所述根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线，包括：

根据所述历史用户行为数据，确定在一个周期的各所述时段内用户行为发生的总次数；

基于各所述时段内用户行为发生的总次数与所述发生概率，得到当前周期内未到达时段的第二模拟用户行为数据；

根据所述第二模拟用户行为数据、所述用户行为数据和概率密度估计算法确定所述真实概率分布曲线。

6.根据权利要求1所述的用户行为的分析方法，其特征在于，所述参考概率分布曲线与所述用户行为数据对应同一个用户。

7.根据权利要求1所述的用户行为的分析方法，其特征在于，所述根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果，包括：

在检测到所述偏差超过预设阈值的情况下，根据所述偏差生成威胁记录并将所述威胁记录作为所述分析结果。

8.根据权利要求1所述的用户行为的分析方法，其特征在于，所述根据所述偏差对当前周期内已发生的用户行为进行分析，得到分析结果之后，所述方法还包括：

根据所述分析结果确定是否需要进行告警；

在确定需要进行告警的情况下，将所述分析结果发送给用户并告警。

9.一种用户行为的分析装置，其特征在于，包括：

获取模块，用于在每一时段获取当前周期内已记录的用户行为数据；

分布曲线确定模块，用于根据获取到的所述用户行为数据确定当前周期对应的真实概率分布曲线；

偏差确定模块，用于确定所述真实概率分布曲线相对于参考概率分布曲线的偏差，所述参考概率分布曲线是基于历史用户行为数据得到的；

分析模块，用于根据所述偏差对当前周期内发生的所述目标用户行为进行分析，得到分析结果。

10.一种电子设备，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1至8中任一项所述的用户行为的分析方法。

11.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至8中任一项所述的用户行为的分析方法。

Images