面向内部用户行为异常检测的图掩码对比学习方法OA

针对现有内部用户行为异常检测方法在时空关联表征能力较弱、隐蔽异常行为难以识别以及对正常业务波动鲁棒性较差的问题,提出一种面向内部用户行为异常检测的图掩码对比学习(TGMC)方法。首先,将多源异构日志按时间窗口构建为异构图序列,刻画用户与业务资源实体间的交互关系。然后,设计由图注意力网络与门控循环单元构成的混合编码器,分别提取空间拓扑特征与时序变化特征,实现时空维度的深度耦合。同时,引入掩码重建机制,通过邻域上下文恢复被掩码节点的特征与边结构,挖掘邻域关联模式以提升隐蔽异常行为的检测能力。最后,设计多视图对比学习机制,通过构造增强视图约束同一用户跨视图表示的语义一致性,并增大不同用户间的表示距离,学习稳定的行为表征以提升识别鲁棒性。在CERT r4.2与CERT r5.2数据集上的实验结果表明,与基线方法相比,TGMC方法的真阳性率(TPR)分别提升了3.59%和1.59%,FPR分别降低了5.45%和2.49%。