一种无监督的数据库用户行为异常检测方法

被引：12

作者：

李海斌 ^{[1
]}

李琦 ^{[1
]}

汤汝鸣 ^{[1
]}

吴珺 ^{[1
]}

吕志远 ^{[1
]}

裴丹 ^{[1
]}

史俊杰 ^{[2
]}

董旭 ^{[2
]}

房双德 ^{[2
]}

杨一飞 ^{[2
]}

吴烨 ^{[2
]}

机构：

[1] 清华大学计算机科学与技术系

[2] 百度公司

来源：

小型微型计算机系统 | 2018年 / 39卷 / 11期

关键词：

无监督学习; 数据库; 用户行为; 异常检测; 内部数据泄露;

D O I：

暂无

中图分类号：

TP311.13 [];

学科分类号：

1201 ;

摘要：

检测数据库内部合法用户的异常行为,对防范内部攻击和数据泄露具有重要意义,然而面临如下挑战:攻击模式不确定,真实异常样例少,数据集缺少准确标注.人工设定阈值和规则难以有效应对复杂多样的异常.本文提出了一种基于无监督学习的用户行为异常检测方法,通过划定时间窗口统计提取特征,运用核密度估计算法分别从单维度、多维度建模,实现在海量的无标注历史日志中发现简单异常和复杂异常、在新的线上数据中检测异常.真实数据实验表明,该方法能够有效检测出简单异常,实验中检测三种简单异常的平均严格查准率和宽松查准率分别达90%和100%;能够从多维度找出存在攻击嫌疑的复杂异常,实验中成功检测出了一种单维度无法检测出的新的复杂异常.

引用

页码：2464 / 2472

页数：9