一种基于审计日志的内部威胁检测方法及系统

本发明公开了一种基于审计日志的内部威胁检测方法及系统。本方法为：获取多源审计日志，构建用户‑设备归属关系，并将同一用户的多源审计日志按时间戳聚合为用户行为轨迹；对用户行为轨迹中的每条审计日志记录进行多维度上下文编码，生成对应的结构化行为编码和可解释行为描述；以用户‑日期为样本粒度，将同一用户在同一自然日内的多个结构化行为编码按时间顺序组成结构化行为编码序列，并转换为行为 token 序列；并利用所述行为token序列对RoBERTa模型进行掩码语言模型预训练，得到与行为token对应的预训练行为嵌入矩阵；将预训练行为嵌入矩阵、行为token序列输入检测模型，得到内部威胁检测结果。