用户身份识别方法、装置、计算机设备和计算机程序产品与流程

本发明涉及计算机，具体而言，涉及一种用户身份识别方法、装置、计算机设备和计算机程序产品。

背景技术：

1、随着网络攻击手段的不断演进，传统的基于规则或签名的入侵检测系统难以应对零日攻击、内部威胁、高级持续性威胁等新型威胁。行为分析技术通过监控用户或实体的网络活动，建立正常行为基线，从而识别异常或恶意行为，已成为网络安全领域的重要方向。目前往往依赖人工特征工程，难以捕捉深层的行为模式，且对日志缺失、ip变化、操作扰动等真实场景的鲁棒性不足；其次，部分方案在计算相似度时需要逐一对比，速度较慢，且主要依赖监督训练模型进行异常判定，对于海量行为日志形成的高维行为表征利用不足，未构建可持续更新的用户特征向量库，无法实现基于历史用户行为特征的快速身份检索与相似用户匹配；最后，现有重点在于异常行为发现，并未针对用户身份识别场景设计特征向量检索机制，也未建立面向已知用户和风险用户的向量特征库，难以实现基于行为语义相似度的用户身份确认和关联分析，导致在面临网络日志缺失、ip变化等真实场景时，因缺乏有效的自监督学习框架来构建用户身份识别系统，导致对深层行为模式捕捉不足以及身份识别鲁棒性差的问题。

2、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本发明实施例提供了一种用户身份识别方法、装置、计算机设备和计算机程序产品，以至少解决目前依赖人工特征工程且缺乏有效自监督学习框架，导致身份识别效果较差的技术问题。

2、根据本发明实施例的一个方面，提供了一种用户身份识别方法，包括：采集待识别网络行为日志序列；基于待识别网络行为日志序列中的操作行为，构建行为序列特征嵌入向量；基于待识别网络行为日志序列中的源ip和目的ip，确定网络拓扑结构特征嵌入向量；将行为序列特征嵌入向量和网络拓扑结构特征嵌入向量输入至预设目标用户表示模型，基于预设目标用户表示模型中的双分支编码器提取特征编码并通过交叉注意力机制融合，得到查询向量；计算查询向量与预设用户向量对应关系中的多个向量之间的相似度，其中，预设用户向量对应关系表征多个候选用户和多个候选用户各自对应的向量；基于预设用户向量对应关系，选取相似度满足预设条件的向量对应的候选用户为目标用户。

3、可选地，基于待识别网络行为日志序列中的操作行为，构建行为序列特征嵌入向量，包括：从待识别网络行为日志序列中筛选日志记录，得到多个日志记录，其中，每个日志记录中包括有效操作类型、访问端口、网络协议、时间戳及报文长度；将多个日志记录中的有效操作类型、访问端口和网络协议分别映射为离散特征的连续向量，得到多个日志记录各自对应的多个离散向量；根据多个日志记录各自对应的时间戳，计算多个日志记录中除了首个日志记录外每个日志记录与前一个日志记录之间的时间间隔，确定多个日志记录各自对应的时间间隔，其中，首个日志记录对应的时间间隔为预设值；将多个日志记录各自对应的报文长度、时间间隔和多个离散向量，得到多个日志记录各自对应的行为表示向量；将多个日志记录各自对应的行为表示向量按时间顺序排列，得到行为序列特征嵌入向量。

4、可选地，基于待识别网络行为日志序列中的源ip和目的ip，确定网络拓扑结构特征嵌入向量，包括：获取全局网络访问图，其中，全局网络访问图的节点表征ip地址，边表征ip地址之间的访问关系；基于待识别网络行为日志序列中的源ip和目的ip，根据全局网络访问图，确定源ip对应的源节点嵌入向量和目的ip对应的目的节点嵌入向量；将源节点嵌入向量和目的节点嵌入向量进行拼接，确定网络拓扑结构特征嵌入向量。

5、可选地，将行为序列特征嵌入向量和网络拓扑结构特征嵌入向量输入至预设目标用户表示模型，基于预设目标用户表示模型中的双分支编码器提取特征编码并通过交叉注意力机制融合，得到查询向量，包括：将行为序列特征嵌入向量输入至双分支编码器中的行为序列分支编码器，提取行为序列的时序依赖特征编码，得到行为特征编码；将网络拓扑结构特征嵌入向量输入至双分支编码器中的拓扑结构分支编码器，提取网络访问资产的结构关联特征编码，得到拓扑结构特征编码；以行为特征编码作为查询矩阵的输入、拓扑结构特征编码作为键矩阵和值矩阵的输入，执行缩放点积交叉注意力计算，得到查询向量。

6、可选地，采集多个历史用户各自对应的历史行为日志序列；将多个历史用户各自对应的历史行为日志序列输入至预设目标用户表示模型，提取多个历史用户表示向量；确定存在多个对应的历史用户表示向量的历史用户为第一历史用户、其余历史用户为第二历史用户；对第一历史用户对应的多个历史用户表示向量进行聚类处理，生成第一历史用户对应的基准特征向量；根据第二历史用户对应的历史用户表示向量，确定第二历史用户对应的基准特征向量；根据第一历史用户对应的基准特征向量和第二历史用户对应的基准特征向量，确定预设用户向量对应关系。

7、可选地，构建初始用户表示模型，其中，初始用户表示模型包括双分支编码器和交叉注意力模块；获取历史用户的行为日志序列；对行为日志序列进行数据增强，得到增强后的训练样本；基于增强后的训练样本，利用自监督对比学习损失函数，优化初始用户表示模型的参数，得到预设目标用户表示模型，其中，损失函数以最大化同一用户在不同增强视图之间表示向量的相似度，并最小化不同用户之间表示向量的相似度为目标。

8、根据本发明实施例的另一方面，还提供了一种用户身份识别装置，包括：采集模块，用于采集待识别网络行为日志序列；构建模块，用于基于待识别网络行为日志序列中的操作行为，构建行为序列特征嵌入向量；确定模块，用于基于待识别网络行为日志序列中的源ip和目的ip，确定网络拓扑结构特征嵌入向量；输入模块，用于将行为序列特征嵌入向量和网络拓扑结构特征嵌入向量输入至预设目标用户表示模型，基于预设目标用户表示模型中的双分支编码器提取特征编码并通过交叉注意力机制融合，得到查询向量；计算模块，用于计算查询向量与预设用户向量对应关系中的多个向量之间的相似度，其中，预设用户向量对应关系表征多个候选用户和多个候选用户各自对应的向量；选取模块，用于基于预设用户向量对应关系，选取相似度满足预设条件的向量对应的候选用户为目标用户。

9、根据本发明实施例的又一方面，还提供了一种非易失性存储介质，非易失性存储介质包括存储的程序，其中，在程序运行时控制非易失性存储介质所在设备执行上述中任意一项用户身份识别方法。

10、根据本发明实施例的再一方面，还提供了一种计算机设备，计算机设备包括处理器，处理器用于运行程序，其中，程序运行时执行上述中任意一项用户身份识别方法。

11、根据本发明实施例的再一方面，还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现上述中任意一项用户身份识别方法。

12、在本发明实施例中，采用用户身份识别方法的方式，通过采集待识别网络行为日志序列；基于待识别网络行为日志序列中的操作行为，构建行为序列特征嵌入向量；基于待识别网络行为日志序列中的源ip和目的ip，确定网络拓扑结构特征嵌入向量；将行为序列特征嵌入向量和网络拓扑结构特征嵌入向量输入至预设目标用户表示模型，基于预设目标用户表示模型中的双分支编码器提取特征编码并通过交叉注意力机制融合，得到查询向量；计算查询向量与预设用户向量对应关系中的多个向量之间的相似度，其中，预设用户向量对应关系表征多个候选用户和多个候选用户各自对应的向量；基于预设用户向量对应关系，选取相似度满足预设条件的向量对应的候选用户为目标用户，达到了无需大量标注数据的深层行为表征学习的目的，从而实现了提高身份识别效果的技术效果，进而解决了目前依赖人工特征工程且缺乏有效自监督学习框架，导致身份识别效果较差的技术问题。