CN117076988A - 异常行为检测方法、装置、设备及介质 - Google Patents

Abstract

本发明公开了一种异常行为检测方法、装置、设备及介质。该方法包括：获取目标对象的实时行为数据；获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。本发明实施例的技术方案提高了异常行为检测的准确度。

Description

异常行为检测方法、装置、设备及介质

技术领域

本发明涉及计算机技术领域，尤其涉及一种异常行为检测方法、装置、设备及介质。

背景技术

随着计算机技术的发展，对异常行为检测的频率越来越高。

目前，主要通过对人工对目标对象的数据进行识别，确定目标对象是否存在异常行为。

但是，基于人工的目标对象的异常行为检测，存在异常行为检测准确度低的问题，亟待改善。

发明内容

本发明提供了一种异常行为检测方法、装置、设备及介质，提高了异常行为检测的准确度。

根据本发明的一方面，提供了一种异常行为检测方法，包括：

获取目标对象的实时行为数据；

获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；

在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

根据本发明的另一方面，提供了一种异常行为检测装置，包括：

实时行为数据获取模块，用于获取目标对象的实时行为数据；

分布信息检测模块，用于获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；

异常行为检测模块，用于在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的异常行为检测方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的异常行为检测方法。

本发明实施例的技术方案，通过获取目标对象的实时行为数据，获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息，在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，解决了基于人工的目标对象的异常行为检测，存在异常行为检测准确度低的问题，提高了异常行为检测的准确度。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例一提供的一种异常行为检测方法的流程图；

图2是根据本发明实施例二提供的一种异常行为检测方法的流程图；

图3是根据本发明实施例三提供的一种异常行为检测装置的结构示意图；

图4是实现本发明实施例的异常行为检测方法的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1为本发明实施例一提供的一种异常行为检测方法的流程图。本发明实施例可适用于对异常行为进行检测的情况，该方法可以由异常行为检测装置来执行，该异常行为检测装置可以采用硬件和/或软件的形式实现，该异常行为检测装置可配置于承载异常行为检测功能的电子设备中。

参见图1所示的异常行为检测方法，包括：

S110、获取目标对象的实时行为数据。

目标对象可以是资源需求方。可选的，资源可以包括硬件资源和/或软件资源。示例性的，硬件资源可以包括但不限于通讯设备资源和交通设备资源。其中，交通设备资源可以为车辆。软件资源可以包括但不限于页面资源和程序资源。实时行为数据可以是资源需求方在发出资源需求过程中实时的行为数据。可选的，目标对象在发出资源需求时，可以在终端设备中上传数据。相应的，实时行为数据可以包括目标对象在终端设备中实时上传的数据和/或目标对象在上传数据过程中终端设备的实时数据等。可选的，目标对象在终端设备中实时上传的数据可以包括目标对象自身的特征数据和/或目标对象关联的特征数据。在获取目标对象的授权前提下，可以在终端设备上对相关节点进行数据埋点，以获取目标对象实时上传的数据。其中，相关节点可以包括页面跳转节点和最终提交节点等。另外，在获取目标对象实时上传的数据的同时，还可以实时采集终端设备自身的实时数据。例如，终端设备的日志数据、运行参数和位置信息等。

具体的，可以获取目标对象实时上传的数据以及目标对象在上传数据过程中终端设备的实时数据等，确定为目标对象的实时行为数据。

可选的，可以对目标对象实时上传的数据以及目标对象在上传数据过程中终端设备的实时数据等进行整理、清洗和变量计算之后，确定为目标对象的实时行为数据。

S120、获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息。

历史行为数据与实时行为数据所对应的数据内容相同。历史行为数据和实时行为数据对应的采集时刻不同。历史行为数据的采集时刻在实时行为数据的采集时刻之前。分布信息可以用于表征目标对象的历史行为数据和实时行为数据是否服从完全随机分布。可选的，完全随机分布可以包括正态分布、卡方分布或泊松分布等。分布信息可以用于检测目标对象的历史行为数据和实时行为数据是否存在人为干预的情况。示例性的，分布信息可以为PSI(Population Stability Index，稳定度指标)。

具体的，可以获取目标对象的历史行为数据，并可以采用分布信息计算公式对历史行为数据和实时行为数据进行计算，确定检测行为数据的分布信息。示例性的，分布信息计算公式可以包括PSI计算公式。

S130、在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

稳定数据可以为完全随机分布数据，也即没有检测到人为干预的数据。异常行为可以是通过对目标对象的实时行为数据进行检测后，所确定的非正常行为。根据目标对象的实时行为数据，对目标对象进行异常行为检测，实质上是对目标对象是否具有资源使用权限进行进一步判断。对实时行为数据进行异常行为检测，实质上是根据目标对象的动态数据，而非静态数据，对目标对象进行异常行为检测。

可选的，可以将分布信息和分布信息阈值进行比较，在分布信息大于等于分布信息阈值时，确定实时行为数据为稳定数据；在分布信息小于分布信息阈值时，确定实时行为数据不是稳定数据。其中，分布信息阈值可以根据技术人员的经验进行设定和调整。

可选的，在确定实时行为数据为稳定数据时，可以对实时行为数据进行异常检测，检测目标对象是否存在异常行为。

可选的，在对实时行为数据进行异常检测，还可以检测目标对象的异常行为的异常程度。

本发明实施例的技术方案，通过获取目标对象的实时行为数据，获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息，在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，通过检测行为数据的分布信息，也即检测目标对象的历史行为数据和实时行为数据是否符合完全随机分布，确定目标对象的历史行为数据和实时行为数据是否存在数据的人为干预，实现了对目标对象的行为数据的初步检测，提高了目标对象的异常行为检测的准确度；通过目标对象的实时行为数据进行异常检测，基于目标对象的动态数据对目标对象进行异常行为检测，相较于对目标对象的静态数据进行检测，进一步提高了目标对象的异常行为检测的准确度。

在本发明一个可选的实施例中，所述对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，包括：将所述实时行为数据输入至异常行为检测模型中，检测所述目标对象是否存在异常行为；其中，所述异常行为检测模型的训练样本包括确定为稳定数据的历史行为样本和对应的目标对象的异常行为检测结果。

异常行为检测模型可以用于检测目标对象是否存在异常行为。异常行为检测模型的输入数据可以为目标对象的实时行为数据；异常行为检测模型的输出结果可以为目标对象是否存在异常行为。历史行为样本可以为模型训练过程中历史时刻的历史行为数据。异常行为检测结果可以包括存在异常行为或不存在异常行为。

具体的，可以将实时行为数据输入至异常行为检测模型中，检测目标对象是否存在异常行为。

本方案通过引入了预先训练好的异常行为检测模型，对目标对象进行异常行为检测，进一步提高了目标对象的异常行为检测的效率和准确度。

在本发明一个可选的实施例中，在所述检测所述目标对象是否存在异常行为之后，还包括：在检测到所述目标对象存在异常行为之后，发出提示信息，以提示所述目标对象存在异常行为。

提示信息可以用于提示目标对象存在异常行为。可选的，提示信息可以包括文本提示信息和/或语音提示信息等。示例性的，提示信息的内容可以为“目标对象存在异常行为！”

具体的，可以在检测目标对象存在异常行为之后，向资源提供方发出提示信息，以提示资源提供方目标对象存在异常行为。

可选的，提示信息还可以包括目标对象的异常行为的异常程度。示例性的，提示信息的内容可以包括“目标对象存在高风险异常行为”、“目标对象存在中风险异常行为”或“目标对象存在低风险异常行为”。

具体的，可以在检测目标对象存在异常行为之后，向资源提供方发出提示信息，以提示资源提供方目标对象存在异常行为以及异常行为的异常程度。

本方案通过在检测到目标对象存在异常行为之后，发出提示信息，实现了对目标对象的异常行为的风险提示，进一步保证了资源使用的安全性和稳定性。

在本发明一个可选的实施例中，在发出提示信息之后，还包括：根据所述提示信息对应的异常对象，确定所述异常对象的权限；根据所述异常对象的权限，确定所述异常对象的使用资源。

异常对象可以是存在异常行为的目标对象。异常对象的权限可以用于表征异常对象的资源使用权限。可选的，在提示信息用于提示目标对象存在异常行为时，异常对象的权限可以包括不具有资源使用权限。可选的，在提示信息用于提示目标对象存在异常行为以及异常行为的异常程度时，异常对象的权限可以包括不具有资源使用权限或具有部分资源使用权限。其中，部分资源使用权限具体根据异常行为的异常程度确定。使用资源可以为具有资源使用权限的资源。可选的，使用资源也可以包括具有资源使用权限的硬件资源和/软件资源。

具体的，在发出提示信息之后，可以根据提示信息对应的异常对象以及提示信息的内容，确定异常对象的权限。可以根据异常对象的权限，确定异常对象的使用资源。

本方案通过在发出提示信息之后，根据提示信息对应的异常对象，确定异常对象的权限，根据所述异常对象的权限，确定异常对象的使用资源，实现了对异常对象的使用资源的限制，进一步保证了资源使用的安全性。

实施例二

图2为本发明实施例二提供的一种异常行为检测方法的流程图。本发明实施例在上述实施例的基础上，将“根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息”具体化为“按照至少一个维度，对所述历史行为数据和所述实时行为数据进行分类，得到各所述维度对应的行为数据；针对每个维度对应的行为数据，检测所述维度的行为数据的分布信息”，进一步提高了分布信息确定的准确度。需要说明的是，在本发明实施例中未详述的部分，可参见其他实施例的表述。

参见图2所示的异常行为检测方法，包括：

S210、获取目标对象的实时行为数据。

S220、获取所述目标对象的历史行为数据，并按照至少一个维度，对所述历史行为数据和所述实时行为数据进行分类，得到各所述维度对应的行为数据。

可选的，在维度的数量为一个时，可以按照该维度，对历史行为数据和实时行为数据进行分类，得到该维度下的行为数据。

可选的，在维度的数量为多个时，可以分别按照不同的维度，对历史行为数据和实时行为数据进行分类，得到不同维度下的行为数据。

S230、针对每个维度对应的行为数据，检测所述维度的行为数据的分布信息。

可选的，在维度的数量为一个时，可以针对该维度对应的行为数据，对该维度下分类后的行为数据之间进行比较和分布信息计算，确定该维度下的行为数据的分布信息。

可选的，在维度的数量为多个时，可以分别针对单个维度，对单个维度下分类后的行为数据之间进行比较和分布信息计算，确定单个维度下的行为数据的分布信息。以此，可以同时或依次确定各个维度下的行为数据的分布信息。

S240、在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

本发明实施例的技术方案，通过获取目标对象的实时行为数据，获取所述目标对象的历史行为数据，并按照至少一个维度，对所述历史行为数据和所述实时行为数据进行分类，得到各所述维度对应的行为数据，针对每个维度对应的行为数据，检测所述维度的行为数据的分布信息，在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，通过引入不同维度，从不同维度对目标对象的行为数据的分布信息进行综合确定，进一步提高了分布信息确定的准确度。

在本发明一个可选的实施例中，所述维度包括时间维度、空间维度和数据类别维度中至少一项。

时间维度可以包括天、周、月、季度或年等。空间维度可以包括不同位置。数据类别维度可以包括行为数据的不同类别。

本方案通过将维度具体化为时间维度、空间维度和数据类别维度中至少一项，通过典型维度，进一步提高了分布信息确定效率。

在本发明一个可选的实施例中，所述根据所述分布信息，确定所述实时行为数据为稳定数据，包括：根据所述维度的行为数据的分布信息，检测所述维度的行为数据是否为稳定数据；统计所述稳定数据的维度的数量；在所述稳定数据的维度的数量大于预设维度数量时，确定所述实时行为数据为稳定数据。

稳定数据的维度的数量可以包括稳定数据的维度的总量或稳定数据的维度的占比。其中，稳定数据的维度的占比可以为稳定数据的维度的总量与维度的总量之间的比值。预设维度数量可以为预先设定的稳定数据的维度的数量的下限值。预设维度数量可以根据技术人员的经验进行设定和调整。

具体的，可以根据维度的行为数据的分布信息，检测维度的行为数据是否为稳定数据。可以统计稳定数据的维度的数量。可以对稳定数据的维度的数量与预设维度数量进行比较，在稳定数据的维度的数量大于预设维度数量时，确定实时行为数据为稳定数据。

本方案通过根据维度的行为数据的分布信息，检测维度的行为数据是否为稳定数据，统计稳定数据的维度的数量，在稳定数据的维度的数量大于预设维度数量时，确定实时行为数据为稳定数据，简化了确定实时行为数据是否为稳定数据的过程，进一步提高了稳定数据的确定效率。

实施例三

图3为本发明实施例三提供的一种异常行为检测装置的结构示意图。本发明实施例可适用于对异常行为进行检测的情况，该装置可以执行异常行为检测方法，该装置可以采用硬件和/或软件的形式实现，该装置可配置于承载异常行为检测功能的电子设备中。

参见图3所示的异常行为检测装置，包括：实时行为数据获取模块310，用于获取目标对象的实时行为数据；分布信息检测模块320，用于获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；异常行为检测模块330，用于在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

本发明实施例的技术方案，通过获取目标对象的实时行为数据，获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息，在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，通过检测行为数据的分布信息，也即检测目标对象的历史行为数据和实时行为数据是否符合完全随机分布，确定目标对象的历史行为数据和实时行为数据是否存在数据的人为干预，实现了对目标对象的行为数据的初步检测，提高了目标对象的异常行为检测的准确度；通过目标对象的实时行为数据进行异常检测，基于目标对象的动态数据对目标对象进行异常行为检测，相较于对目标对象的静态数据进行检测，进一步提高了目标对象的异常行为检测的准确度。

在本发明的一个可选实施例中，分布信息检测模块320，包括：行为数据分类单元，用于按照至少一个维度，对所述历史行为数据和所述实时行为数据进行分类，得到各所述维度对应的行为数据；分布信息检测单元，用于针对每个维度对应的行为数据，检测所述维度的行为数据的分布信息。

在本发明的一个可选实施例中，所述维度包括时间维度、空间维度和数据类别维度中至少一项。

在本发明的一个可选实施例中，分布信息检测模块320，还包括：稳定数据检测单元，用于根据所述维度的行为数据的分布信息，检测所述维度的行为数据是否为稳定数据；维度数量统计单元，用于统计所述稳定数据的维度的数量；稳定数据确定单元，用于在所述稳定数据的维度的数量大于预设维度数量时，确定所述实时行为数据为稳定数据。

在本发明的一个可选实施例中，异常行为检测模块330，包括：异常行为检测单元，用于将所述实时行为数据输入至异常行为检测模型中，检测所述目标对象是否存在异常行为；其中，所述异常行为检测模型的训练样本包括确定为稳定数据的历史行为样本和对应的目标对象的异常行为检测结果。

在本发明的一个可选实施例中，在所述检测所述目标对象是否存在异常行为之后，该装置，还包括：提示信息发出模块，用于在检测到所述目标对象存在异常行为之后，发出提示信息，以提示所述目标对象存在异常行为。

在本发明的一个可选实施例中，在发出提示信息之后，该装置还包括：异常对象权限确定模块，用于根据所述提示信息对应的异常对象，确定所述异常对象的权限；使用资源确定模块，用于根据所述异常对象的权限，确定所述异常对象的使用资源。

本发明实施例所提供的异常行为检测装置可执行本发明任意实施例所提供的异常行为检测方法，具备执行方法相应的功能模块和有益效果。

本发明实施例的技术方案中，所涉及的实时行为数据和历史行为数据等的获取、存储和应用等，均符合相关法律法规的规定，且不违背公序良俗。

实施例四

图4示出了可以用来实施本发明的实施例的电子设备400的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图4所示，电子设备400包括至少一个处理器401，以及与至少一个处理器401通信连接的存储器，如只读存储器(ROM)402、随机访问存储器(RAM)403等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器401可以根据存储在只读存储器(ROM)402中的计算机程序或者从存储单元408加载到随机访问存储器(RAM)403中的计算机程序，来执行各种适当的动作和处理。在RAM 403中，还可存储电子设备400操作所需的各种程序和数据。处理器401、ROM 402以及RAM 403通过总线404彼此相连。输入/输出(I/O)接口405也连接至总线404。

电子设备400中的多个部件连接至I/O接口405，包括：输入单元406，例如键盘、鼠标等；输出单元407，例如各种类型的显示器、扬声器等；存储单元408，例如磁盘、光盘等；以及通信单元409，例如网卡、调制解调器、无线通信收发机等。通信单元409允许电子设备400通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器401可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器401的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器401执行上文所描述的各个方法和处理，例如异常行为检测方法。

在一些实施例中，异常行为检测方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元408。在一些实施例中，计算机程序的部分或者全部可以经由ROM 402和/或通信单元409而被载入和/或安装到电子设备400上。当计算机程序加载到RAM 403并由处理器401执行时，可以执行上文描述的异常行为检测方法的一个或多个步骤。备选地，在其他实施例中，处理器401可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行异常行为检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、现场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS(VirtualPrivate Server，虚拟专用服务器)服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种异常行为检测方法，其特征在于，所述方法包括：

获取目标对象的实时行为数据；

获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；

在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

2.根据权利要求1所述的方法，其特征在于，所述根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息，包括：

按照至少一个维度，对所述历史行为数据和所述实时行为数据进行分类，得到各所述维度对应的行为数据；

针对每个维度对应的行为数据，检测所述维度的行为数据的分布信息。

3.根据权利要求2所述的方法，其特征在于，所述维度包括时间维度、空间维度和数据类别维度中至少一项。

4.根据权利要求2所述的方法，其特征在于，所述根据所述分布信息，确定所述实时行为数据为稳定数据，包括：

根据所述维度的行为数据的分布信息，检测所述维度的行为数据是否为稳定数据；

统计所述稳定数据的维度的数量；

在所述稳定数据的维度的数量大于预设维度数量时，确定所述实时行为数据为稳定数据。

5.根据权利要求1所述的方法，其特征在于，所述对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为，包括：

将所述实时行为数据输入至异常行为检测模型中，检测所述目标对象是否存在异常行为；其中，所述异常行为检测模型的训练样本包括确定为稳定数据的历史行为样本和对应的目标对象的异常行为检测结果。

6.根据权利要求1所述的方法，其特征在于，在所述检测所述目标对象是否存在异常行为之后，还包括：

在检测到所述目标对象存在异常行为之后，发出提示信息，以提示所述目标对象存在异常行为。

7.根据权利要求6所述的方法，其特征在于，在发出提示信息之后，还包括：

根据所述提示信息对应的异常对象，确定所述异常对象的权限；

根据所述异常对象的权限，确定所述异常对象的使用资源。

8.一种异常行为检测装置，其特征在于，所述装置包括：

实时行为数据获取模块，用于获取目标对象的实时行为数据；

分布信息检测模块，用于获取所述目标对象的历史行为数据，并根据所述历史行为数据和所述实时行为数据检测行为数据的分布信息；

异常行为检测模块，用于在根据所述分布信息，确定所述实时行为数据为稳定数据时，对所述实时行为数据进行异常检测，检测所述目标对象是否存在异常行为。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的异常行为检测方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的异常行为检测方法。