异常用户行为检测方法、装置、设备及存储介质与流程

本发明涉及网络安全，尤其涉及一种异常用户行为检测方法、装置、设备及存储介质。

背景技术：

1、目前，随着互联网金融的发展，在基于互联网进行金融交易的过程中欺诈风险也逐步提升。为了维护金融体系的稳定，并保护交易双方的合法权益，金融反欺诈领域中，采取了多种不同异常检测手段以对欺诈用户进行识别。

2、基于用户动作模式的异常检测是一个重要反诈手段，然而动作的识别通常是使用传统的如网络埋点数据分析或是简单分类的方式，因此需要与企业的业务进行绑定形成规则设置，泛化性较低，且所能识别动作偏向于粗粒度动作，需要在金融交易行为发生时才能进行识别，无法及时进行风险干预。

3、上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是相关技术。

技术实现思路

1、本发明的主要目的在于提供了一种异常用户行为检测方法、装置、设备及存储介质，旨在解决在金融反欺诈场景中由于传统方式中只能结合企业的业务与用户网络行为进行异常识别的规则设置，泛化性较低，对异常用户行为的识别不够及时有效的技术问题。

2、为实现上述目的，本发明提供了一种异常用户行为检测方法，所述方法包括以下步骤：

3、获取当前用户的前端传感数据；

4、基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；

5、将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；

6、根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况。

7、可选地，所述获取当前用户的前端传感数据，包括：

8、获取所述当前用户的传感器采集数据；

9、通过前端编码模型对所述当前用户的传感器采集数据进行特征提取，获得所述当前用户的传感行为嵌入特征；

10、所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据之前，包括：

11、获取所述当前会话时刻的网页行为；

12、通过后端编码模型对所述当前会话时刻的网页行为进行特征提取，获得所述当前会话时刻的异常埋点嵌入特征；

13、相应地，所述基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据，包括：

14、基于当前会话时刻，查询在所述当前会话时刻的异常埋点嵌入特征。

15、可选地，所述获取当前用户的前端传感数据之前，包括：

16、初始化待训练的前端编码模型，所述前端编码模型包括二维卷积层和图注意网络层；

17、获取各传感器采集数据，并基于所述传感器采集数据对应的采集时间点建立时间图；

18、通过各采集时间点对应的时间图对所述前端编码模型进行训练，获得经过训练的前端编码模型。

19、可选地，所述获取当前用户的前端传感数据之前，包括：

20、基于bert模型初始化后端编码模型；

21、获取网页的埋点流水日志，并结合异常标记样本，构建训练数据集；

22、通过所述训练数据集对所述后端编码模型进行训练，获得经过训练的后端编码模型。

23、可选地，所述获取当前用户的前端传感数据之前，包括：

24、初始化二部图推理模型；

25、分别获取所述前端编码模型和所述后端编码模型的训练输出数据，其中，所述前端编码模型的训练输出数据为传感行为嵌入特征，所述后端编码模型的训练输出数据为异常埋点嵌入特征；

26、根据所述传感行为嵌入特征和所述异常埋点嵌入特征构建无向图；

27、基于会话时刻确定所述无向图中的连接边关系，并根据所述连接边关系对所述二部图推理模型进行更新，获得预设二部图推理模型。

28、可选地，所述将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵，包括：

29、根据所述当前用户的传感行为嵌入特征和所述当前会话时刻的异常埋点嵌入特征确定待预测节点特征，并将所述待预测节点特征输入预设二部图推理模型；

30、通过所述预设二部图推理模型对所述待预测节点特征进行节点匹配，获得邻接矩阵。

31、可选地，所述根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况，包括：

32、根据所述邻接矩阵判断所述传感行为嵌入特征与所述异常埋点嵌入特征是否存在连接边关系；

33、若是，则判定所述当前用户的行为存在异常情况，生成排查预警信息。

34、此外，为实现上述目的，本发明还提出一种异常用户行为检测装置，所述装置包括：

35、数据获取模块，用于获取当前用户的前端传感数据；

36、数据查询模块，用于基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；

37、模型推理模块，用于将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；

38、异常判定模块，用于根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况。

39、此外，为实现上述目的，本发明还提出一种异常用户行为检测设备，所述异常用户行为检测设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的异常用户行为检测程序，所述异常用户行为检测程序配置为实现如上文所述的异常用户行为检测方法。

40、此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有异常用户行为检测程序，所述异常用户行为检测程序被处理器执行时实现如上文所述的异常用户行为检测方法。

41、本发明中，公开了通过获取当前用户的前端传感数据；基于当前会话时刻，查询在所述当前会话时刻的后端埋点数据；将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵；根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况。由于本发明是在获取到前端传感数据后查询当前会话时刻的后端埋点数据，通过前端传感数据和后端埋点数据输入二部图推理模型结构，共同完成异常推理，并根据模型输出的邻接矩阵具体判断当前用户行为的异常情况，相较于现有的异常识别方法，无需等到交易行为发生，能够在端侧及时地识别出异常用户行为，有利于及时推进风险干预，节约风险成本。

技术特征：

1.一种异常用户行为检测方法，其特征在于，所述方法包括：

2.如权利要求1所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据，包括：

3.如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：

4.如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：

5.如权利要求2所述的异常用户行为检测方法，其特征在于，所述获取当前用户的前端传感数据之前，包括：

6.如权利要求5所述的异常用户行为检测方法，其特征在于，所述将所述前端传感数据和所述后端埋点数据输入预设二部图推理模型，获得邻接矩阵，包括：

7.如权利要求6所述的异常用户行为检测方法，其特征在于，所述根据所述邻接矩阵判断所述当前用户的行为是否存在异常情况，包括：

8.一种异常用户行为检测装置，其特征在于，所述装置包括：

9.一种异常用户行为检测设备，其特征在于，所述异常用户行为检测设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1至7中任一项所述的异常用户行为检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有实现异常用户行为检测方法的程序，所述实现异常用户行为检测方法的程序被处理器执行以实现如权利要求1至7中任一项所述异常用户行为检测方法的步骤。

技术总结
本发明涉及网络安全领域，公开了一种异常用户行为检测方法、装置、设备及存储介质，该方法包括：获取当前用户的前端传感数据；基于当前会话时刻，查询在当前会话时刻的后端埋点数据；将前端传感数据和后端埋点数据输入预设二部图推理模型，获得邻接矩阵；根据邻接矩阵判断所述当前用户的行为是否存在异常情况。由于本发明是在获取到前端传感数据后查询当前会话时刻的后端埋点数据，通过前端传感数据和后端埋点数据输入二部图推理模型结构，共同完成异常推理，并根据模型输出的邻接矩阵具体判断当前用户行为的异常情况，相较于现有的异常识别方法，无需等到交易行为发生，能够在端侧识别出异常用户行为，有利于风险干预的及时推进。

技术研发人员：韩柳,步遐
受保护的技术使用者：中邮消费金融有限公司
技术研发日：
技术公布日：2024/1/16