一种行为异常检测方法、装置、设备及介质与流程

技术特征：
1.一种行为异常检测方法，其特征在于，包括：获取用户访问网络隧道产生的隧道流量；对所述隧道流量进行分析，以得到分析结果，并将所述分析结果发送并保存至本地的数据基础库；判断所述分析结果与预设的行为检测规则是否匹配，若所述分析结果与预设的行为检测规则不匹配，则基于所述行为检测规则计算出规则置信度；判断所述规则置信度与预设拦截阈值之间的大小关系，若所述规则置信度不小于预设拦截阈值，则判定所述用户访问行为异常。2.根据权利要求1所述的行为异常检测方法，其特征在于，所述获取用户访问网络隧道产生的隧道流量，包括：基于预设接口获取用户访问网络隧道产生的隧道流量，并将所述隧道流量发送至本地的隧道流量采集程序；利用预设的隧道流量采集程序采集并记录所述隧道流量。3.根据权利要求2所述的行为异常检测方法，其特征在于，所述对所述隧道流量进行分析，以得到分析结果，并将所述分析结果发送并保存至本地的数据基础库，包括：对所述隧道流量进行分析，以得到包含用户ip所在地、用户访问时间以及访问流量信息的分析结果；将包含用户ip所在地、用户访问时间以及访问流量信息的所述分析结果发送并保存至本地的所述数据基础库。4.根据权利要求1所述的行为异常检测方法，其特征在于，所述判断所述分析结果与预设的行为检测规则是否匹配，包括：根据分析结果从预设的规则库中筛选出与所述用户相匹配的所有行为检测规则；分别判断所述分析结果与所述行为检测规则是否匹配。5.根据权利要求4所述的行为异常检测方法，其特征在于，所述若所述分析结果与预设的行为检测规则不匹配之后，还包括：将用户访问行为标记为异常，并向用户发送告警信息，以便所述用户根据所述告警信息确定出告警回复结果；获取所述告警回复结果，并判断所述告警回复结果的类型，若所述告警回复结果的类型为不准确，则对所述行为检测规则中的规则置信度进行重新计算，以得到当前规则置信度；若所述告警回复结果的类型为准确，则确定出当前所述行为检测规则中的规则置信度。6.根据权利要求5所述的行为异常检测方法，其特征在于，所述基于所述行为检测规则计算出规则置信度，包括：获取与所述用户相对应的所有的所述当前规则置信度和所述规则置信度；将所有的所述当前规则置信度和所述规则置信度进行相乘处理，以得到规则置信度。7.根据权利要求1至6任一项所述的行为异常检测方法，其特征在于，所述判断所述规则置信度与预设拦截阈值之间的大小关系之后，还包括：若所述规则置信度小于预设拦截阈值，则判定所述用户访问行为正常，然后基于所述
隧道流量确定出目标设备，建立本地与所述目标设备之间的连接关系。8.一种行为异常检测装置，其特征在于，包括：隧道流量获取模块，用于获取用户访问网络隧道产生的隧道流量；分析模块，用于对所述隧道流量进行分析，以得到分析结果，并将所述分析结果发送并保存至本地的数据基础库；第一判断模块，用于判断所述分析结果与预设的行为检测规则是否匹配，若所述分析结果与预设的行为检测规则不匹配，则基于所述行为检测规则计算出规则置信度；第二判断模块，用于判断所述规则置信度与预设拦截阈值之间的大小关系，若所述规则置信度不小于预设拦截阈值，则判定所述用户访问行为异常。9.一种电子设备，其特征在于，包括：存储器，用于保存计算机程序；处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的行为异常检测法。10.一种计算机可读存储介质，其特征在于，用于保存计算机程序；其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的行为异常检测法。

技术总结
本申请公开了一种行为异常检测方法、装置、设备及介质，涉及计算机技术领域，包括：获取用户访问网络隧道产生的隧道流量；对所述隧道流量进行分析，以得到分析结果，并将所述分析结果发送并保存至本地的数据基础库；判断所述分析结果与预设的行为检测规则是否匹配，若所述分析结果与预设的行为检测规则不匹配，则基于所述行为检测规则计算出规则置信度；判断所述规则置信度与预设拦截阈值之间的大小关系，若所述规则置信度不小于预设拦截阈值，则判定所述用户访问行为异常。通过本申请的上述技术方案，能够有效增加数据传输的安全性，提高行为异常检测的准确性，增加行为异常检测的效率。效率。效率。


技术研发人员：肖勇 范渊
受保护的技术使用者：杭州安恒信息技术股份有限公司
技术研发日：2022.09.05
技术公布日：2022/10/11