(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210921799.2 (22)申请日 2022.08.02 (71)申请人 杭州安恒信息技 术股份有限公司 地址 310051 浙江省杭州市滨江区西兴街 道联慧街18 8号 (72)发明人 黄章镕　刘博　 (74)专利代理 机构 杭州华进联浙知识产权代理 有限公司 3 3250 专利代理师 黄文勇 (51)Int.Cl. H04L 9/40(2022.01) G06K 9/62(2022.01) (54)发明名称 异常行为检测方法、 装置、 计算机设备及可 读存储介质 (57)摘要 本申请涉及一种异常行为检测方法、 装置、 计算机设备及可读存储介质。 所述方法包括： 获 取用户行为数据； 基于至少两种分析方式对所述 用户行为数据进行分析， 得到行为偏差情况； 基 于所述行为偏差情况确定所述用户行为是否异 常。 采用本方法能够从多个维度检测出用户行为 存在的偏 差， 针对用户的疑似异常行为有着更高 的反应灵敏度， 能够有效应对更加复杂的网络环 境和安全威胁场景， 提高异常行为检测的准确率 并降低误报率。 权利要求书2页 说明书12页 附图2页 CN 115189963 A 2022.10.14 CN 115189963 A 1.一种异常行为检测方法， 其特 征在于， 所述方法包括： 获取用户行为数据； 基于至少两种分析 方式对所述用户行为数据进行分析， 得到行为偏差情况； 基于所述行为偏差情况确定所述用户行为是否异常。 2.根据权利要求1所述的方法， 其特征在于， 所述基于至少两种分析方式对所述用户行 为数据进行分析， 得到行为偏差情况包括： 基于所述用户行为数据确定用户行为标签； 基于所述用户行为标签与预设条件的比较结果得到所述行为偏差情况。 3.根据权利要求1所述的方法， 其特征在于， 所述基于至少两种分析方式对所述用户行 为数据进行分析， 得到行为偏差情况包括： 基于所述用户行为数据获取预设时间内的用户行为特征值， 所述用户行为特征值包括 用户重复执 行某一相同行为的次数； 基于所述用户行为特 征值与预设阈值的比较结果得到所述行为偏差情况。 4.根据权利要求1所述的方法， 其特征在于， 所述基于至少两种分析方式对所述用户行 为数据进行分析， 得到行为偏差情况包括： 将用户历史行为数据输入至行为基线检测模型中， 得到用户行为基线， 所述行为基线 检测模型通过机器学习训练得到； 基于所述用户行为数据与所述用户行为基线的比较结果得到所述行为偏差情况。 5.根据权利要求1所述的方法， 其特征在于， 所述基于所述行为偏差情况确定所述用户 行为是否异常包括： 基于每种所述行为偏差情况以及对应的权 重进行加权计算， 得到 权重积分； 基于所述权 重积分确定所述用户行为是否异常。 6.根据权利要求1所述的方法， 其特征在于， 所述基于所述行为偏差情况确定所述用户 行为是否异常还 包括： 基于所述行为偏差情况生成偏差序列数据； 基于所述偏差序列数据生成网络安全矩阵模型 标签序列； 将所述标签序列输入至异常检测模型， 并输出异常标签序列， 所述异常检测模型通过 机器学习训练得到； 基于所述异常标签序列确定所述用户行为是否异常。 7.根据权利要求1所述的方法， 其特征在于， 所述基于所述行为偏差情况确定所述用户 行为是否异常还 包括： 基于每种所述行为偏差情况以及对应的权 重进行加权计算， 得到 权重积分； 基于所述行为偏差情况生成偏差序列数据； 基于所述偏差序列数据生成网络安全矩阵模型 标签序列； 将所述标签序列输入至异常检测模型， 并输出异常标签序列， 所述异常检测模型通过 机器学习训练得到； 基于所述权 重积分和所述异常标签序列确定所述用户行为是否异常。 8.一种异常行为检测装置， 其特 征在于， 所述装置包括： 数据获取模块， 用于获取用户行为数据；权　利　要　求　书 1/2 页 2 CN 115189963 A 2数据分析模块， 用于基于至少两种分析方式对所述用户行为数据进行分析， 得到行为 偏差情况； 异常确定模块， 用于基于所述行为偏差情况确定所述用户行为是否异常。 9.一种计算机设备， 包括存储器和处理器， 所述存储器存储有计算机程序， 其特征在 于， 所述处 理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序 被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。权　利　要　求　书 2/2 页 3 CN 115189963 A 3