使用用戶操作生成模型檢測異常用戶行為的方法和系統的製作方法
2023-05-22 04:42:06
使用用戶操作生成模型檢測異常用戶行為的方法和系統的製作方法
【專利摘要】本發明涉及一種使用用戶操作生成模型檢測異常用戶行為的方法和系統。公開了一種用於檢測用戶的異常行為的方法。處理器從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作。處理器還從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作。處理器計算所述第一數量的操作與所述第二數量的操作之間的偏差量，所述偏差標識在所述一個或多個角色中花費的時間量之間的差異。處理器然後判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值。
【專利說明】使用用戶操作生成模型檢測異常用戶行為的方法和系統
【技術領域】
[0001]本公開一般地涉及改進的數據處理系統，具體地說，涉及處理與用戶行為相關的信息。更具體地說，本公開涉及用於檢測用戶的異常行為的方法和裝置。
【背景技術】
[0002]當今，針對計算資源具有許多類型的攻擊。執行這些攻擊的計算機用戶可以包括訪問者、客戶、工作者和其它類型的計算機用戶。此外，惡意軟體和其它類型的電腦程式可以針對計算資源執行這些攻擊。例如，惡意軟體可以控制用戶憑證以便針對用戶有權訪問的計算資源執行攻擊。在檢測這些攻擊的上下文中，標識用戶行為何時指示攻擊是所感興趣的。
[0003]用於標識攻擊的當前方法將被監視行為與可疑行為模式相匹配。這些當前方法將被監視行為與已知用於標識攻擊的固定規則和統計信息相匹配。例如，標識成功之前的多次失敗登錄嘗試指示密碼猜測攻擊。因為當前方法被限制為標識已知攻擊模式，它們無法檢測與已知模式不符的攻擊。
[0004]還存在當前統計方法，其用於基於檢測與用戶操作頻率標準的偏差來檢測可疑行為。例如，用於檢測可疑行為的統計方法可能包括基於將下載頻率比從在線庫下載文檔的標準頻率多5倍的計算機用戶標識為可能攻擊，生成警報。這些統計方法產生的警報數量可能很大。此外，其中某些數量的警報可能針對合法使用。在警報中標識的合法使用是假肯定。當接收過多的假肯定時，可能忽略或遺漏合法的警報。
[0005]因此，希望具有一種考慮上面討論的至少某些問題的方法、裝置和電腦程式產品O
【發明內容】
[0006]在一個示例性實施例中，公開一種用於檢測用戶的異常行為的方法、裝置和電腦程式產品。一種裝置從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作。基於所述用戶在針對確定所述用戶的所述角色而選擇的時段內的操作，所述裝置從所述用戶活動日誌中生成所述用戶的所述一個或多個角色。所述裝置還從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作。所述裝置計算所述第一數量的操作與所述第二數量的操作之間的偏差量。所述偏差標識在所述一個或多個角色中花費的時間量之間的差異。所述裝置然後判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值。所述異常行為閾值是以下項之一:一個所述用戶的異常行為閾值、一個所述用戶在所述一個或多個角色中的異常行為閾值、多個所述用戶的異常行為閾值，以及多個所述用戶在所述一個或多個角色中的異常行為閾值。
【專利附圖】
【附圖說明】
[0007]圖1是根據一個示例性實施例的用於在異常行為檢測環境中檢測用戶異常行為的過程的數據流的框圖；
[0008]圖2是根據一個示例性實施例的在檢測用戶異常行為中涉及的數據處理系統中的組件的框圖；
[0009]圖3是根據一個示例性實施例的用於檢測用戶異常行為的過程的流程圖；
[0010]圖4是根據一個示例性實施例的用於檢測和報告用戶異常行為的過程的流程圖；
[0011]圖5是根據一個示例性實施例的用於基於標識的行為偏差更改來檢測用戶異常行為的過程的流程圖；
[0012]圖6是根據一個示例性實施例的用於在執行多個任務的同時基於標識的行為偏差來檢測用戶異常行為的過程的流程圖；以及
[0013]圖7是根據一個示例性實施例的數據處理系統的圖示。
【具體實施方式】
[0014]所屬【技術領域】的技術人員知道，本發明的各個方面可以實現為系統、方法或電腦程式產品。因此，本發明的各個方面可以具體實現為以下形式，即:完全的硬體實施方式、完全的軟體實施方式(包括固件、駐留軟體、微代碼等)，或硬體和軟體方面結合的實施方式，這裡可以統稱為「電路」、「模塊」或「系統」。此外，本發明的各個方面還可以實現為在一個或多個計算機可讀介質中的電腦程式產品的形式，該計算機可讀介質中包含計算機可讀的程序代碼。
[0015]可以採用一個或多個計算機可讀介質的任意組合。計算機可讀介質可以是計算機可讀信號介質或者計算機可讀存儲介質。計算機可讀存儲介質例如可以是一但不限於一電、磁、光、電磁、紅外線、或半導體的系統、裝置或器件，或者上述的任意合適的組合。計算機可讀存儲介質的更具體的例子(非窮舉的列表)包括:具有一個或多個導線的電連接、可攜式計算機盤、硬碟、隨機存取存儲器(RAM)、只讀存儲器(ROM)、可擦式可編程只讀存儲器(EPR0M或快閃記憶體)、光纖、可攜式緊湊盤只讀存儲器(CD-ROM)、光存儲器件、磁存儲器件、或者上述的任意合適的組合。在本文件中，計算機可讀存儲介質可以是任何包含或存儲程序的有形介質，該程序可以被指令執行系統、裝置或者器件使用或者與其結合使用。
[0016]計算機可讀的信號介質可以包括例如在基帶中或者作為載波一部分傳播的數據信號，其中承載了計算機可讀的程序代碼。這種傳播的數據信號可以採用多種形式，包括一但不限於一電磁信號、光信號或上述的任意合適的組合。計算機可讀的信號介質可以是計算機可讀存儲介質以外的任何計算機可讀介質，該計算機可讀介質可以發送、傳播或者傳輸用於由指令執行系統、裝置或者器件使用或者與其結合使用的程序。
[0017]計算機可讀介質上包含的程序代碼可以用任何適當的介質傳輸，包括一但不限於一無線、有線、光纜、RF等等，或者上述的任意合適的組合。
[0018]可以以一種或多種程序設計語言的任意組合來編寫用於執行本發明的各個方面的操作的電腦程式代碼，所述程序設計語言包括面向對象的程序設計語言一諸如Java、Smalltalk、C++等，還包括常規的過程式程序設計語言一諸如「C」語言或類似的程序設計語言。程序代碼可以完全地在用戶計算機上執行、部分地在用戶計算機上執行、作為一個獨立的軟體包執行、部分在用戶計算機上部分在遠程計算機上執行、或者完全在遠程計算機上執行。在涉及遠程計算機的情形中，遠程計算機可以通過任意種類的網絡一包括區域網(LAN)或廣域網(WAN)—連接到用戶計算機，或者，可以連接到外部計算機。此外，在涉及遠程計算機的情形中，在異常行為檢測環境中，遠程計算機可以包括硬體和軟體組件。例如，所述組件可以是網絡設備和其它類型的數據處理系統，它們在異常行為檢測環境中分析數據。
[0019]下面將參照根據本發明實施例的方法、裝置(系統)和電腦程式產品的流程圖和/或框圖描述本發明的各個方面。應當理解，流程圖和/或框圖的每個方框以及流程圖和/或框圖中各方框的組合，都可以由電腦程式指令實現。這些電腦程式指令可以提供給通用計算機、專用計算機或其它可編程數據處理裝置的處理器，從而生產出一種機器，使得這些指令在通過計算機或其它可編程數據處理裝置的處理器執行時，產生了實現流程圖和/或框圖中的一個或多個方框中規定的功能/動作的裝置。
[0020]也可以把這些電腦程式指令存儲在計算機可讀介質中，這些指令使得計算機、其它可編程數據處理裝置、或其它設備以特定方式工作，從而，存儲在計算機可讀介質中的指令就產生出包括實現流程圖和/或框圖中的一個或多個方框中規定的功能/動作的指令的製造品(article of manufacture)。
[0021]也可以把電腦程式指令加載到計算機、其它可編程數據處理裝置、或其它設備上，使得在計算機、其它可編程裝置或其它設備上執行一系列操作步驟，以產生計算機實現的過程，從而使得在計算機或其它可編程裝置上執行的指令提供實現流程圖和/或框圖中的一個或多個方框中規定的功能/動作的過程。
[0022]不同示例性實施例提供一種用於檢測用戶的異常行為的方法、裝置和電腦程式產品。例如，異常行為檢測環境中的多個組件可以使用一種用於檢測用戶的異常行為的過程。例如，分析平臺組件可以從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作。基於所述用戶在針對確定所述用戶的所述角色而選擇的時段內的操作，分析平臺可以從所述用戶活動日誌中生成所述用戶的所述一個或多個角色。分析平臺組件還可以從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作。行為標識組件可以計算所述第一數量的操作與所述第二數量的操作之間的偏差量。所述偏差標識在所述一個或多個角色中花費的時間量之間的差異。行為標識組件然後可以判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值。所述異常行為閾值可以是以下項之一:一個所述用戶的異常行為閾值、一個所述用戶在所述一個或多個角色中的異常行為閾值、多個所述用戶的異常行為閾值，以及多個所述用戶在所述一個或多個角色中的異常行為閾值。
[0023]現在參考附圖，具體地說，參考圖1，示出根據一個示例性實施例的用於在異常行為檢測環境中標識對用戶感興趣產品的影響的過程的數據流的框圖。異常行為檢測環境100是用於檢測用戶異常行為的環境的一個實例。
[0024]如圖所示，異常行為檢測環境100包括多個數據處理系統102，例如數據處理系統104和數據處理系統106。在這些示例性實例中，數據處理系統104執行應用108，並且數據處理系統106執行應用112以便提供服務。應用108提供服務110，並且應用112提供服務114。「多個」如在此參考項目使用的，指一個或多個項目。
[0025]在這些示出的實例中，用戶活動116和用戶活動118是與數據處理系統102關聯的用戶活動的實例。如圖所示，用戶活動116和用戶活動118存儲在活動日誌(例如活動日誌120)中。在這些示例性實例中，用戶活動是與使用數據處理系統關聯的任何用戶活動。例如，用戶活動118可以是與用戶角色123中的角色關聯的活動。在這些示例性實例中，用戶角色是分配給用戶以便執行特定活動的權限。
[0026]分析平臺122是異常行為檢測環境100的組件，其用於產生基準用戶簡檔並對基準用戶簡檔評分。在這些示例性實例中，分析平臺122生成用戶角色123。在這些示例性實例中，分析平臺122可以使用角色挖掘方法從活動日誌120中標識用戶角色123。用戶角色123中的每個角色是活動日誌120中的用戶活動的權限。分析平臺122還生成在用戶角色中花費的時間的模型124。分析平臺122通過將用戶的用戶活動與全局用戶角色模型擬合併且獲得角色擬合度值列表，針對用戶在模型124中生成基準用戶簡檔125。角色擬合度值列表是在獲取或獲得用戶操作的時段內用戶屬於每個角色的程度。如在此使用的，全局用戶角色模型是用於多個用戶的初始模型。
[0027]可以採用多種方式之一生成基準用戶簡檔125。例如，可以將基準簡檔定義為在用戶活躍的第一時段或者構建全局模型的另一個時段(兩者之間的後者)，用戶在每個角色中的操作量。可以通過用於角色挖掘的多種技術的任意一種生成基準用戶簡檔125。可以在長於用於評分的時段內生成基準用戶簡檔125。例如，可以在比用於評分的時段長十
(10)倍的時段內生成基準用戶簡檔125。在這些示例性實例中，基準用戶簡檔125可以包括針對用戶生成的聚合擬合模型。例如，可以通過用於角色挖掘的多種技術的任意一種生成一系列擬合。例如，可以在比多個用戶的每一個的評分時段長十(10)倍的時段內，使用生成角色挖掘方法針對用戶生成一系列擬合。在該實例中，根據所述一系列擬合構建輔助模型以便確定每個角色操作的不確定性和顯著性的度量，並且檢測定期用戶行為。在該實例中，可以通過使用諸如k平均、高斯模型或者k平均和高斯模型的混合之類的已知技術，集群個體擬合得分來構建輔助模型。在該實例中，構建一類分類器系統(例如支持向量機)以便學習樣本。
[0028]行為標識126是異常行為檢測環境100的組件，其用於測量用戶在隨後時段內的操作和模型之間的偏差量。為了測量用戶在隨後時段內的操作和模型之間的偏差量，將用戶的用戶活動與模型擬合以便獲得角色擬合度得分列表。例如，使用用戶的角色擬合度簡檔，應用諸如均方根誤差、庫爾貝克-萊布勒散度或平均絕對誤差之類的距離函數，測量用戶的角色擬合度簡檔和隨後時段內獲得的角色擬合度之間的偏差量。在該實例中，當偏差超出閾值時，產生警報。作為另一個實例，使用上面構建的輔助模型，可以將角色擬合度得分與輔助模型比較以獲得偏差。在該實例中，標識偏差量基於如何生成輔助模型。例如，如果應用k平均算法生成輔助模型，則可以將到最近集群形心的距離與屬於該集群的所有點的平均值和標準偏差相比較。在該實例中，當距離超出閾值時，產生警報。同樣，如果使用高斯模型的混合，則可以計算從分布中獲取角色擬合度得分列表的概率，並且在具有統計顯著性時發出警報。備選地，當使用一類分類器算法時，可以返回異常得分。例如，當使用一類支持向量機(SVM)時，異常得分是與超平面的距離。在該實例中，當異常得分超出閾值時，生成警報。
[0029]圖1中的異常行為檢測環境100的例示並非暗示對可以實現不同示例性實施例的方式的物理或體系架構限制。除了示出的組件之外和/或代替示出的組件，可以使用其它組件。某些組件可能不是必要的。此外，提供方框以便例示某些功能組件。當在示例性實施例中實現時，可以將這些方框的一個或多個組合為和/或分為不同方框。
[0030]例如，在某些示例性實例中，可以在異常行為檢測環境100中存在除了分析平臺122和行為標識126之外的其它組件。例如，分析平臺122的另一個組件可以使用以下項中的一個或多個生成用戶角色模型:離散和概率角色挖掘、單集群和多集群算法，諸如隱含狄利克雷分配和隱藏主題馬爾可夫模型之類的生成模型。在該實例中，角色模型生成過程採取給定時段內的一組用戶活動作為輸入，並且產生由該組用戶活動定義的角色模型。在這些示例性實例中，然後將新用戶活動與用戶角色模型擬合以便產生擬合度函數向量，該向量指示按照活動模式定義，用戶與用戶角色模型的匹配程度。
[0031]此外，儘管數據處理系統102、活動日誌120、分析平臺122和行為標識126在異常行為檢測環境100中被示出為單獨方框，但它們的全部或部分還可以在異常行為檢測環境100中的數據處理系統102或其它合適的組件中實現。在這些示例性實例中，異常行為檢測環境100可以通過硬體和軟體產品的任意組合實現，並且還可以在計算機系統集群的一個或多個計算機系統中實現。
[0032]現在轉到圖2，示出根據一個示例性實施例的在檢測用戶異常行為中涉及的數據處理系統中的組件的框圖。在這些示例性實例中，數據處理系統202可以是實現用於檢測用戶異常行為的過程的硬體和軟體組件的任意組合。如圖所示，數據處理系統202中的分析模塊204是圖1中的分析平臺122的一種實現的實例。在這些示例性實例中，分析模塊204處理活動日誌206。活動日誌206是圖1中的活動日誌120的一種實現的實例。活動日誌206存儲用戶208的活動。用戶210是具有活動日誌206中的活動的用戶208中的用戶的實例。
[0033]如圖所示,活動214是活動日誌206中的用戶210的活動。如圖所示,活動214可以包括用戶210採取的操作216。例如，活動214可以是響應於提示而提供密碼。在該實例中，當用戶210提供密碼時，用戶可能正在執行稱為登錄的活動。還如圖所示，用戶210採取的操作216可以與資源218關聯。例如，當用戶210希望獲得對資源218的訪問時，用戶210可以登錄到資源218。
[0034]在這些示例性實例中，資源218是資源220中的資源的一個實例。在示出的實例中，資源220包括數據處理系統、存儲設備以及硬體和軟體的任意合適的組合，以便由用戶208使用。
[0035]在這些示出的實例中，分析模塊204生成模型224。模型224是圖1中的模型124的一種實現的實例。模型224包括任務226。任務228是任務226中包括用戶活動模式230的任務的實例。在示出的實例中，用戶210執行用戶活動模式230以便完成任務228。
[0036]如圖所示，用戶活動模式232是包括操作234和角色236的用戶活動模式230的實例。操作234是操作216的實例，並且角色236是用戶角色238的實例。用戶角色238是圖1中的用戶角色123的實例。在這些示例性實例中，角色240是用戶角色238中的角色的實例。如在此使用的，用戶角色(例如角色240)是用戶在執行任務226中的一個或多個任務時承擔的職能或職位。例如，管理人員在管理用戶時承擔管理人員的角色。
[0037]分析模塊204在特定時段(例如時段242中的時段244)內生成模型224。在這些示例性實例中，時段244可以是模型224的時段。例如，時段244可以被選擇為上一年、上一個月的時段，以及是模型224的合適時段的其它時段。例如，時段244可以被選擇為包括過去的時段，在這些時段內發生用戶238的多個活動，這些活動類似於用戶210的多個當前活動。
[0038]在這些示例性實例中，分析模塊204還可以在時段250內針對用戶248生成與用戶活動模式匹配的操作246。如圖所示，時段252內的操作254是與用戶活動模式匹配的操作246的實例。
[0039]行為標識模塊256是數據處理系統202的組件，其在硬體、軟體或者硬體和軟體的組合中實現。行為標識模塊256是圖1中的行為標識126的一種實現的實例。如圖所示，行為標識模塊256在用於標識用戶208中的用戶的異常行為的過程中，處理與用戶活動模式匹配的操作246。在這些示例性實例中，行為標識模塊256基於在時段242中的選定時段內，在相同角色中的一個或多個用戶採取的操作之間的已計算偏差量，確定時段之間的偏差量258。在這些示例性實例中，時段之間的偏差量258標識在用戶角色238中的一個或多個角色中的用戶花費的時間量之間的差異。例如，行為標識模塊256可以將用戶210在第一時段內執行的第一數量的操作劃分為用戶210在第一時段內分離和連續的多個時間子間隔內執行的多個操作子組。在該實例中，行為標識模塊256可以使用用戶210在第二時段內執行的第二數量的操作和多個子組的每一個之間的一個或多個偏差量之間的差異，計算時段之間的偏差量258。
[0040]如圖所示，行為標識模塊256判定時段之間的偏差量258是否超出異常行為閾值260之一。在示出的實例中，響應於時段之間的偏差量258超出異常行為閾值260之一，行為標識模塊256可以生成用戶異常行為報告262。如圖所示，用戶異常行為報告262可以包括有關用戶208在一個或多個用戶角色238中花費的時間的時段之間的偏差量258的信肩、O
[0041]接下來轉到圖3，示出根據一個示例性實施例的用於檢測用戶異常行為的過程的流程圖的一個示例性實例。所述過程中的步驟可以由圖2中的數據處理系統202在軟體、硬體或兩者的組合中實現。
[0042]所述過程首先從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作(步驟300)。在該例示的過程中，用戶活動日誌是圖2中的活動日誌206的實例。用戶在第一時段內執行的與用戶活動模式匹配的第一數量的操作是圖2中的用戶210執行的圖2中的用戶活動模式232中的操作234的實例。
[0043]所述過程從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作(步驟302)。在該例示的過程中，第二數量的操作是用戶210執行的用戶活動模式232中的操作234的另一個實例。
[0044]所述過程計算所述第一數量的操作與所述第二數量的操作之間的偏差量，其中所述偏差標識在所述一個或多個角色中花費的時間量之間的差異(步驟304)。在該例示的過程中，第一數量的操作和第二數量的操作之間的偏差量是圖2中的時段之間的偏差量258的實例。
[0045]所述過程然後判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值(步驟306)，之後所述過程結束。在該例示的過程中，異常行為閾值是圖2中的異常行為閾值260的一個實例。還應注意，儘管步驟300和302被連續示出，但步驟300和302實際上可以基本並行地執行，並且步驟300和302還可以按相反的順序執行。
[0046]接下來轉到圖4，示出根據一個示例性實施例的用於檢測和報告用戶異常行為的過程的流程圖的一個示例性實例。所述過程中的步驟可以由圖2中的數據處理系統202在軟體、硬體或兩者的組合中實現。
[0047]所述過程首先從用戶活動日誌中標識用戶在第一時段內在一個或多個資源上執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作(步驟400)。在該例示的過程中，用戶活動日誌是圖2中的活動日誌206的實例。用戶在第一時段內執行的與用戶活動模式匹配的第一數量的操作是圖2中的用戶210執行的圖2中的用戶活動模式232中的操作234的實例；一個或多個資源是圖2中的資源222的實例；與用戶角色關聯的任務是圖2中的任務228的實例；以及用戶角色是圖2中的角色236中的角色的實例。
[0048]所述過程從所述用戶活動日誌中標識所述用戶在第二時段內在一個或多個資源上執行的與所述用戶活動模式相匹配的第二數量的操作(步驟402)。在該例示的過程中，第二數量的操作是用戶210執行的用戶活動模式232中的操作234的另一個實例。
[0049]所述過程計算所述第一數量的操作與所述第二數量的操作之間的偏差量，其中所述偏差標識在所述一個或多個角色中花費的時間量之間的差異(步驟404)。在該例示的過程中，所述第一數量的操作和所述第二數量的操作之間的偏差量是圖2中的時段之間的偏差量258的實例。
[0050]所述過程然後判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值(步驟406)。在該例示的過程中，異常行為閾值是圖2中的異常行為閾值260的一個實例。
[0051]如步驟410中所示，響應於所述偏差量超出閾值，所述過程從用戶活動日誌中生成用戶活動報告，所述報告包括所述第一數量的操作和所述第二數量的操作之間的偏差量(步驟408)，之後所述過程結束。在該例示的過程中，用戶活動報告是圖2中的用戶異常行為報告262的實例。還如步驟410中所示，響應於所述偏差量未超出閾值，所述過程結束而不從用戶活動日誌中生成用戶活動報告。
[0052]接下來轉到圖5，示出根據一個示例性實施例的用於基於標識的行為偏差更改來檢測用戶異常行為的過程的流程圖的示例性實例。所述過程中的步驟可以由圖2中的數據處理系統202在軟體、硬體或兩者的組合中實現。
[0053]所述過程首先從用戶活動日誌中標識用戶在第一時段內執行的與第一用戶活動模式相匹配的第一數量的操作(步驟500)。在該例示的過程中，用戶活動日誌是圖2中的活動日誌206的實例。用戶在第一時段內執行的與用戶活動模式匹配的第一數量的操作是圖2中的用戶210執行的圖2中的用戶活動模式232中的操作234的實例。
[0054]所述過程從用戶活動日誌中標識用戶在第二時段內執行的與第一用戶活動模式相匹配的第二數量的操作(步驟502);用戶在所述第一時段內執行的與第二用戶活動模式相匹配的第三數量的操作(步驟504);以及用戶在所述第二時段內執行的與所述第二用戶活動模式相匹配的第四數量的操作(步驟506)。在該例示的過程中，第二、第三和第四數量的操作是用戶210執行的用戶活動模式232中的操作234的其它實例。
[0055]所述過程計算所述第一和第三數量的操作與所述第二和第四數量的操作之間的偏差量(步驟508)。在該例示的過程中，所述第一和第三數量的操作與所述第二和第四數量的操作之間的偏差量是圖2中的時段之間的偏差量258的實例。
[0056]所述過程接下來判定所述偏差量是否超出異常行為閾值(步驟510)。在該例示的過程中，所述異常行為閾值是圖2中的異常行為閾值260的一個實例。
[0057]如步驟514中所示，響應於所述偏差量超出閾值，所述過程然後生成警報(步驟512)，之後所述過程結束。在該例示的過程中，警報是圖2中的用戶異常行為報告262的實例。還如步驟514中所示，響應於所述偏差量未超出閾值，所述過程結束而不生成警報。儘管步驟500、502、504和506被連續示出，但這些步驟實際上可以基本並行地執行。
[0058]接下來轉到圖6，示出根據一個示例性實施例的用於在執行多個任務的同時基於標識的行為偏差來檢測用戶異常行為的過程的流程圖的一個示例性實例。所述過程中的步驟可以由圖2中的數據處理系統202在軟體、硬體或兩者的組合中實現。
[0059]所述過程首先從用戶活動日誌中標識用戶在第一時段內執行的與用戶活動模式相匹配的第一數量的操作(步驟600)。在該例示的過程中，用戶活動日誌是圖2中的活動日誌206的實例。用戶在第一時段內執行的與用戶活動模式匹配的第一數量的操作是圖2中的用戶210執行的圖2中的用戶活動模式232中的操作234的實例。
[0060]所述過程還從所述用戶活動日誌中標識用戶在第二時段內執行的與用戶活動模式相匹配的第二數量的操作(步驟602)。所述過程然後計算所述第一數量的操作和所述第二數量的操作之間的第一偏差量(步驟604)。
[0061]所述過程還從所述用戶活動日誌中標識用戶在第三時段內執行的與用戶活動模式相匹配的第三數量的操作(步驟606)，以及用戶在第四時段內執行的與用戶活動模式相匹配的第四數量的操作(步驟608)。所述過程然後還計算所述第三數量的操作和所述第四數量的操作之間的第二偏差量(步驟610)。在該例示的過程中，所述第二、第三和第四數量的操作是用戶210執行的用戶活動模式232中的操作234的其它實例。在該例示的過程中，所述第一偏差量和所述第二偏差量是圖2中的時段之間的偏差量258的實例。
[0062]所述過程接下來判定所述第一偏差量和所述第二偏差量之間的差異是否超出異常行為閾值(步驟612)。如步驟616中所示，響應於所述偏差量超出閾值，所述過程然後生成警報(步驟614)，之後所述過程結束。還如步驟616中所示，響應於所述偏差量未超出閾值，所述過程結束而不生成警報。還應該注意，儘管用於計算第一偏差量的第一序列的步驟600、602和604與用於計算第二偏差量的第二序列的步驟606、608和610被連續示出，但第一和第二序列的步驟實際上可以基本並行地執行。
[0063]現在轉到圖7，示出根據一個示例性實施例的數據處理系統的圖示。數據處理系統700是可以用於標識用戶異常行為的數據處理系統的一個實例。更具體地說，數據處理系統700可以用於實現圖2中的數據處理系統202。在該示例性實例中，數據處理系統700包括通信框架702，其在處理器單元704、存儲器706、永久性存儲裝置708、通信單元710、輸入/輸出(I/O)單元712和顯示器714之間提供通信。在這些實例中，通信框架702可以是總線系統。
[0064]處理器單元704用於執行可以加載到存儲器706中的軟體的指令。處理器單元704可以是多個處理器、多處理器核心或某種其它類型的處理器，具體取決於特定實現。如在此參考項目使用的，多個指一個或多個項目。此外，處理器單元704可以使用多個異構處理器系統實現，其中在單個晶片上同時存在主處理器與輔助處理器。作為另一個示例性實例，處理器單元704可以是包含同一類型的多個處理器的對稱多處理器系統。
[0065]存儲器706和永久性存儲裝置708是存儲設備716的實例。存儲設備是任何能夠存儲信息的硬體，所述信息例如但不限於數據、功能形式的程序代碼和/或其它合適的瞬態和/或持久性信息。在這些實例中，存儲設備716還可以稱為計算機可讀存儲設備。在這些實例中，存儲器706例如可以是隨機存取存儲器或者任何其它合適的易失性或非易失性存儲設備。永久性存儲裝置708可以採取多種形式，具體取決於特定實現。
[0066]例如，永久性存儲裝置708可以包含一個或多個組件或設備。例如，永久性存儲裝置708可以是硬碟驅動器、快閃記憶體、可重寫光碟、可重寫磁帶或上述某種組合。永久性存儲裝置708使用的介質還可以是移動的。例如，可移動硬碟驅動器可以用於永久性存儲裝置708。
[0067]在這些實例中，通信單元710提供與其它數據處理系統或設備的通信。在這些實例中，通信單元710是網絡接口卡。通信單元710可以通過使用物理和無線通信鏈路兩者之一或全部來提供通信。
[0068]輸入/輸出單元712允許使用其它可以連接到數據處理系統700的設備來輸入和輸出數據。例如，輸入/輸出單元712可以通過鍵盤、滑鼠和/或某種其它適合的輸入設備來提供連接以實現用戶輸入。此外，輸入/輸出單元712可以將輸出發送到印表機。顯示器714提供用於向用戶顯示信息的機構。
[0069]用於作業系統、應用和/或程序的指令可以位於存儲設備716中，存儲設備716通過通信框架702與處理器單元704通信。在這些示例性實例中，指令以功能形式位於永久性存儲裝置708中。這些指令可以被加載到存儲器706以便由處理器單元704運行。處理器單元704可以使用計算機實現的指令(可以位於存儲器(例如存儲器706)中)執行不同實施例的過程。
[0070]這些指令被稱為程序代碼、計算機可用程序代碼或計算機可讀程序代碼，它們可以由處理器單元704中的處理器讀取和執行。在不同的實施例中，程序代碼可以包含在不同的物理或計算機可讀存儲介質(例如存儲器706或永久性存儲裝置708)中。
[0071]程序代碼718以功能形式位於選擇性地可移除的計算機可讀介質720中，並且可以被加載或傳輸到數據處理系統700以便由處理器單元704執行。在這些實例中，程序代碼718和計算機可讀介質720形成電腦程式產品722。在一個實例中，計算機可讀介質720可以是計算機可讀存儲介質724或計算機可讀信號介質726。計算機可讀存儲介質724例如可以包括光碟或磁碟，它們被插入或放置到屬於永久性存儲裝置708的一部分的驅動器或其它設備中，以便傳輸到屬於永久性存儲裝置708的一部分的存儲設備(例如硬碟驅動器)。計算機可讀存儲介質724還可以採取永久性存儲裝置的形式，例如連接到數據處理系統700的硬碟驅動器、拇指驅動器或快閃記憶體。在某些情況下，計算機可讀存儲介質724可能不可從數據處理系統700移除。在這些實例中，計算機可讀存儲介質724是用於存儲程序代碼718的物理或有形存儲設備，而不是傳播或傳輸程序718的介質。計算機可讀存儲介質724還稱為計算機可讀有形存儲設備或計算機可讀物理存儲設備。換言之，計算機可讀存儲介質724是人可以接觸的介質。
[0072]備選地，可以使用計算機可讀信號介質726將程序代碼718傳輸到數據處理系統700。計算機可讀信號介質726例如可以是包含程序代碼718的傳播數據信號。例如，計算機可讀信號介質726可以是電磁信號、光信號和/或任何其它合適類型的信號。這些信號可以通過通信鏈路(例如無線通信鏈路、光纜、同軸電纜、電線和/或任何其它合適類型的通信鏈路)來傳輸。換言之，在所述示例性實例中，通信鏈路和/或連接可以是物理或無線的。
[0073]在某些示例性實施例中，可以通過網絡藉助計算機可讀信號介質726將程序代碼718從另一個設備或數據處理系統下載到永久性存儲裝置708，以便在數據處理系統700中使用。例如，可以通過網絡將存儲在伺服器數據處理系統內的計算機可讀存儲介質中的程序代碼從該伺服器下載到數據處理系統700。提供程序代碼718的數據處理系統可以是伺服器計算機、客戶端計算機，或者能夠存儲和傳輸程序代碼的718的某種其它設備。
[0074]針對數據處理系統700示出的不同組件並非旨在提供有關可以實現不同實施例的方式的體系架構限制。可以在如下數據處理系統中實現不同的示例性實施例:該系統包括除了針對數據處理系統700示出的那些組件之外的組件或代替那些組件的組件。圖7中所示的其它組件可以不同於所示的示例性實例。可以使用任何能夠運行程序代碼的硬體設備或系統來實現不同實施例。作為一個實例，數據處理系統可以包括與無機組件集成的有機組件和/或可以完全由有機組件(不包括人類)組成。例如，存儲設備可以包括有機半導體。
[0075]在另一個示例性實例中，處理器單元704可以採取硬體單元的形式，該硬體單元具有被製造或配置用於特定用途的電路。這種類型的硬體可以執行操作，而無需將程序代碼從存儲設備加載到存儲器以便被配置為執行所述操作。例如，當處理器單元704採取硬體單元的形式時，處理器單元704可以是電路系統、專用集成電路(ASIC)、可編程邏輯設備，或者被配置為執行多個操作的某種其它合適類型的硬體。使用可編程邏輯設備，所述設備被配置為執行多個操作。所述設備可以在稍後被重新配置，或者可以永久地被配置為執行多個操作。可編程邏輯設備的實例例如包括可編程邏輯陣列、可編程陣列邏輯、現場可編程邏輯陣列、現場可編程門陣列，以及其它合適的硬體設備。使用這種類型的實現，程序代碼718可以被省略，因為在硬體單元中實現用於不同實施例的過程。
[0076]在另一個示例性實例中，處理器單元704可以使用在計算機和硬體單元中發現的處理器組合實現。處理器單元704可以具有多個硬體單元和多個處理器，它們被配置為運行程序代碼718。使用該示出的實例，可以在多個硬體單元中實現某些過程，而在多個處理器中實現其它過程。
[0077]在另一個實例中，總線系統可以用於實現通信框架702，並且可以包括一條或多條總線，例如系統總線或輸入/輸出總線。當然，總線系統可以使用任何合適類型的體系架構來實現，該體系架構在連接到總線系統的不同組件或設備之間提供數據傳輸。
[0078]此外，通信單元可以包括多個設備，這些設備傳輸數據，接收數據或者傳輸和接收數據。通信單元例如可以是數據機或網絡適配器、兩個網絡適配器，或者它們的某種組合。此外，存儲器例如可以是存儲器706，或者例如在接口中發現的高速緩存以及可以存在於通信框架702中的存儲控制器集線器。
[0079]因此，各示例性實施例提供一種用於檢測用戶異常行為的方法、裝置和電腦程式產品。在一個實例中，程序從用戶活動日誌中標識用戶在第一時段內在一個或多個資源上執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作。在該實例中，基於所述用戶在針對確定所述用戶的所述角色而選擇的時段內的操作，程序從所述用戶活動日誌中生成所述用戶的所述一個或多個角色。在該實例中，程序從所述用戶活動日誌中標識所述用戶在第二時段內在所述一個或多個資源上執行的與所述用戶活動模式相匹配的第二數量的操作。所述程序計算所述第一數量的操作與所述第二數量的操作之間的偏差量，其中所述偏差標識在所述一個或多個角色中花費的時間量之間的差異。所述程序接下來判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值。在該實例中，所述異常行為閾值可以是以下項之一:一個所述用戶的異常行為閾值、一個所述用戶在所述一個或多個角色中的異常行為閾值、多個所述用戶的異常行為閾值，以及多個所述用戶在所述一個或多個角色中的異常行為閾值。響應於所述偏差量超出閾值，所述程序然後從所述用戶活動日誌中生成用戶活動報告。在該實例中，所述報告包括所述第一數量的操作和所述第二數量的操作之間的所述偏差量。
[0080]在此使用的術語只是為了描述特定的實施例並且並非旨在作為本發明的限制。如在此使用的，單數形式「一」、「一個」和「該」旨在同樣包括複數形式，除非上下文明確地另有所指。還將理解，當在此說明書中使用時，術語「包括」和/或「包含」指定了聲明的特性、整數、步驟、操作、元素和/或組件的存在，但是並不排除一個或多個其它特性、整數、步驟、操作、元素、組件和/或其組合的存在或增加。如在此使用的，短語「至少一個」在用於項目列表時，表示可能使用一個或多個列出的項目的不同組合，並且可能僅需要列表中的每個項目之一。例如，「項目A、項目B和項目C中的至少一個」例如可以包括但不限於項目A，或者項目A和項目B。該實例還可以包括項目A、項目B和項目C，或者項目B和項目C。在其它實例中，「至少一個」例如可以是但不限於兩個項目A、一個項目B和十個項目C ;四個項目B和七個項目C ；以及其它合適的組合。
[0081]附圖中的流程圖和框圖顯示了根據本發明的不同實施例的系統、方法和電腦程式產品的可能實現的體系架構、功能和操作。在這點上，流程圖或框圖中的每個方框可以代表一個模塊、程序段或代碼的一部分，所述模塊、程序段或代碼的一部分包含一個或多個用於實現規定的邏輯功能的可執行指令。也應當注意，在有些作為替換的實現中，方框中所標註的功能可以以不同於附圖中所標註的順序發生。例如，兩個連續的方框實際上可以基本並行地執行，它們有時也可以按相反的順序執行，這依所涉及的功能而定。也要注意的是，框圖和/或流程圖中的每個方框、以及框圖和/或流程圖中的方框的組合，可以用執行規定的功能或動作的專用的基於硬體的系統來實現，或者可以用專用硬體與計算機指令的組合來實現。
[0082]下面權利要求中的對應結構、材料、操作以及所有功能性限定的裝置或步驟的等同替換，旨在包括任何用於與在權利要求中具體指出的其它元件相組合地執行該功能的結構、材料或操作。出於示例和說明目的給出了對本發明的描述，但所述描述並非旨在是窮舉的或是將本發明限於所公開的形式。在不偏離本發明的範圍和精神的情況下，對於所屬【技術領域】的普通技術人員來說許多修改和變化都將是顯而易見的。實施例的選擇和描述是為了最佳地解釋本發明的原理和實際應用，並且當適合於所構想的特定使用時，使得所屬【技術領域】的其它普通技術人員能夠理解本發明的具有各種修改的各種實施例。
【權利要求】
1.一種用於檢測用戶的異常行為的方法，所述方法包括: 一個或多個處理器從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作； 一個或多個處理器從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作； 一個或多個處理器計算所述第一數量的操作與所述第二數量的操作之間的偏差量，其中所述偏差標識在所述一個或多個角色中花費的時間量之間的差異；以及 一個或多個處理器判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值。
2.根據權利要求1的方法，其中基於所述用戶在針對確定所述用戶的所述角色而選擇的時段內的操作，從所述用戶活動日誌中生成所述用戶的所述一個或多個角色。
3.根據權利要求1的方法，其中在一個或多個資源上執行所述第一數量的操作和所述第二數量的操作中的一個或多個操作，並且其中部分地標識用於在資源上執行所述一個或多個操作的所述一個或多個角色。
4.根據權利要求1的方法，其中所述異常行為閾值是以下項之一:一個所述用戶的異常行為閾值、一個所述用戶在所述一個或多個角色中的異常行為閾值、多個所述用戶的異常行為閾值，以及多個所述用戶在所述一個或多個角色中的異常行為閾值。
5.根據權利要求1的方法，還包括: 響應於確定所述第一數量的操作與所述第二數量的操作之間的所述偏差量超出所述異常行為閾值，一個或多個處理器生成警報。
6.根據權利要求1的方法，其中所述用戶活動模式是第一模式，所述偏差量是第一偏差，並且還包括: 一個或多個處理器從所述用戶活動日誌中標識所述用戶在所述第一時段內執行的與第二用戶活動模式相匹配的第三數量的操作； 一個或多個處理器從所述用戶活動日誌中標識所述用戶在所述第二時段內執行的與所述第二用戶活動模式相匹配的第四數量的操作； 一個或多個處理器計算所述第一和第三數量的操作與所述第二和第四數量的操作之間的第二偏差量，其中所述第二偏差量是所述用戶在所述第一時段和所述第二時段內的角色中花費的時間之間的差異；以及 一個或多個處理器判定所述第二偏差量是否超出所述異常行為閾值。
7.根據權利要求6的方法，其中所述第一和第三用戶活動模式用於與所述用戶的第一角色關聯的任務，並且所述第二和第四用戶活動模式用於與所述用戶的不同於所述第一角色的第二角色關聯的另一個任務。
8.根據權利要求6的方法，其中一個或多個處理器計算所述第一和第三數量的操作與所述第二和第四數量的操作之間的第二偏差量包括: 標識所述用戶執行所述第一數量的操作花費的第一時間量、所述用戶執行所述第二數量的操作花費的第二時間量、所述用戶執行所述第三數量的操作花費的第三時間量，以及所述用戶執行所述第四數量的操作花費的第四時間量； 標識所述用戶在所述第一時段內的所述第一時間量和所述第三時間量之間花費的第一時間比； 標識所述用戶在所述第二時段內的所述第二時間量和所述第四時間量之間花費的第二時間比；以及 其中一個或多個處理器計算所述第一和第三數量的操作與所述第二和第四數量的操作之間的第二偏差量的步驟包括通過將所述用戶花費的所述第一時間比與所述用戶花費的所述第二時間比相比較來計算所述第二偏差量，其中所述第二偏差量是所述用戶在所述第一時段和所述第二時段之間的角色中花費的時間比的差異。
9.根據權利要求2的方法，其中生成所述一個或多個角色進一步包括使用角色挖掘方法來標識所述一個或多個角色。
10.根據權利要求9的方法，其中從以下項中的一個或多個來選擇所述角色挖掘方法:離散和概率角色挖掘、單集群和多集群算法，以及從隱含狄利克雷分配和隱藏主題馬爾可夫模型中選擇的生成模型。
11.根據權利要求9的方法，其中所述第一數量的操作與所述第二數量的操作之間的所述偏差量是第一偏差量，並且還包括: 一個或多個處理器從所述用戶活動日誌中標識所述用戶在第三時段內執行的與所述用戶活動模式相匹配的第三數量的操作； 一個或多個處理器從所述用戶活動日誌中標識所述用戶在第四時段內執行的與所述用戶活動模式相匹配的第四數量的操作； 一個或多個處理器計算所述第三數量的操作和所述第四數量的操作之間的第二偏差量；以及 一個或多個處理器判定所述第一偏差量和所述第二偏差量之間的差異是否超出對於客戶而言為異常偏差的所述異常行為閾值。
12.根據權利要求11的方法，其中使用從均方根誤差、庫爾貝克-萊布勒散度以及平均絕對誤差之一中選擇的距離函數來確定所述第一偏差量和所述第二偏差量。
13.根據權利要求1的方法，還包括: 所述一個或多個處理器將所述用戶在所述第一時段內執行的所述第一數量的操作劃分為所述用戶在所述第一時段內分離和連續的多個時間子間隔內執行的多個操作子組；以及 其中一個或多個處理器計算所述第一數量的操作與所述第二數量的操作之間的偏差量的步驟包括使用在所述第二數量的操作與所述多個子組的每一個之間的一個或多個偏差量。
14.一種用於檢測用戶的異常行為的裝置，所述裝置包括: 一個或多個處理器單元和一個或多個存儲器； 第一程序代碼，其用於從用戶活動日誌中標識用戶在第一時段內執行的與針對所述用戶的一個或多個角色所關聯的任務的用戶活動模式相匹配的第一數量的操作； 第二程序代碼，其用於從所述用戶活動日誌中標識所述用戶在第二時段內執行的與所述用戶活動模式相匹配的第二數量的操作； 第三程序代碼，其用於計算所述第一數量的操作與所述第二數量的操作之間的偏差量，其中所述偏差標識在所述一個或多個角色中花費的時間量之間的差異；以及 第四程序代碼，其用於判定所述第一數量的操作與所述第二數量的操作之間的所述偏差量是否超出異常行為閾值，其中所述第一、第二、第三和第四程序代碼存儲在所述一個或多個存儲器的至少一個中，以便經由所述一個或多個存儲器的至少一個由所述一個或多個處理器單元的至少一個執行。
15.根據權利要求14的裝置，其中基於所述用戶在針對確定所述用戶的所述角色而選擇的時段內的操作，從所述用戶活動日誌中生成所述用戶的所述一個或多個角色。
16.根據權利要求14的裝置，其中在一個或多個資源上執行所述第一數量的操作和所述第二數量的操作中的一個或多個操作，並且其中部分地標識用於在資源上執行所述一個或多個操作的所述一個或多個角色。
17.根據權利要求14的裝置，其中所述異常行為閾值是以下項之一:一個所述用戶的異常行為閾值、一個所述用戶在所述一個或多個角色中的異常行為閾值、多個所述用戶的異常行為閾值，以及多個所述用戶在所述一個或多個角色中的異常行為閾值。
18.根據權利要求14的裝置，其中所述用戶活動模式是第一模式，所述偏差量是第一偏差，並且還包括: 第五程序代碼，其用於從所述用戶活動日誌中標識所述用戶在所述第一時段內執行的與第二用戶活動模式相匹配的第三數量的操作； 第六程序代碼，其用於從所述用戶活動日誌中標識所述用戶在所述第二時段內執行的與所述第二用戶活動模式相匹配的第四數量的操作； 第七程序代碼，其用於計算所述第一和第三數量的操作與所述第二和第四數量的操作之間的第二偏差量，其中所述第二偏差量是所述用戶在所述第一時段和所述第二時段內的角色中花費的時間之間的差異；以及 第八程序代碼，其用於判定所述第二偏差量是否超出所述異常行為閾值，其中所述第五、第六、第七和第八程序代碼存儲在所述一個或多個存儲器的至少一個中，以便經由所述一個或多個存儲器的至少一個由所述一個或多個處理器單元的至少一個執行。
【文檔編號】G06F17/30GK104424354SQ201410415204
【公開日】2015年3月18日 申請日期:2014年8月21日 優先權日:2013年8月27日
【發明者】S·N·沙裡, I·M·莫洛伊, 樸瑛姿, W·泰肯 申請人:國際商業機器公司