发明创造名称：一种检测异常用户的方法及装置
外观设计名称：
决定号：194481
决定日：2019-10-25
委内编号：1F277789
优先权日：
申请（专利）号：201711181755.6
申请日：2017-11-23
复审请求人：北京白山耘科技有限公司
无效请求人：
授权公告日：
审定公告日：
专利权人：
主审员：李俊洁
合议组组长：庞艳
参审员：郑杰
国际分类号：H04L29/06
外观设计分类号：
法律依据：专利法第22条第3款
决定要点
：如果一项权利要求请求保护的技术方案与一篇对比文件公开的技术方案相比存在区别特征，但该区别特征是本领域技术人员解决发明实际解决的技术问题时的惯用手段，则该项权利要求请求保护的技术方案相对于该对比文件不具有突出的实质性特点和显著的进步，不具备创造性。
全文：
本复审请求涉及申请号为201711181755.6，名称为“一种检测异常用户的方法及装置”的发明专利申请（下称本申请）。申请人为北京白山耘科技有限公司。本申请的申请日为2017年11月23日，公开日为2018年04月06日。
经实质审查，国家知识产权局实质审查部门于2019年02月27日以本申请权利要求1-12不符合专利法第22条第3款的规定为由作出驳回决定。驳回决定所依据的文本为：申请日2017年11月23日提交的权利要求第1-12项，说明书第1-8页、说明书附图第1-2页、说明书摘要和摘要附图。驳回决定引用了以下对比文件：对比文件1，CN105516128A，公开日为2016年04月20日。驳回的具体理由是：本申请的权利要求1-12相对于对比文件1和本领域的惯用手段的结合不具备专利法第22条第3款规定的创造性。驳回决定所针对的权利要求书的内容如下：
“1. 一种检测异常用户的方法，其特征在于，包括：
采集日志；
对采集到的日志进行分类；
根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户。
2. 如权利要求1所述检测异常用户的方法，其特征在于，
所述对采集到的日志进行分类包括：
使用URI分类模型对采集到的日志提取站点URI特征，将具有相同URI特征的日志划分为同一类别。
3. 如权利要求1所述检测异常用户的方法，其特征在于，
所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法。
4. 如权利要求3所述检测异常用户的方法，其特征在于，
所述用户访问来源特征包括以下特征中的至少一种：用户的操作系统、浏览器类型、浏览器版本、设备类型；
所述访问行为特征包括以下特征中的至少一种：访问路径的重要程度、访问路径过程中使用的访问参数、访问方法、接口路径，接口路径支持的参数属性、上传操作的数据属性、下载操作的数据属性；
所述访问路径转换参数包括以下特征中的至少一种：得到用户在正常访问站点时的页面跳转顺序和跳转概率。
5. 如权利要求1所述检测异常用户的方法，其特征在于，
所述特征提取算法的个数为多个时，所述根据所述群体特征和所述个体特征的相似性判断所述目标用户为异常用户的可能性包括：确定通过各个特 征提取算法获得的群体特征和个体特征的相似性，使用各个相似性的平均值或通过归一化模型计算各个相似性的归一化相似值，根据此平均值或归一化相似值判断所述目标用户是否为异常用户。
6. 如权利要求1所述检测异常用户的方法，其特征在于，
所述方法还包括：根据采集到的日志预测下一时段单用户单时段访问站点的访问量上限，在所述目标用户在下一时段对至少一站点的访问量大于所述访问量上限时，或者，在所述目标用户在下一时段对至少一站点的访问量大于所述访问量上限并且根据所述群体特征和所述个体特征的相似性判断所述目标用户为异常用户时，确定所述目标用户为异常用户。
7. 一种检测异常用户的装置，其特征在于，包括：
采集模块，用于采集日志；
分类模块，用于对采集到的日志进行分类；
选择模块，用于根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
判断模块，用于根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户。
8. 如权利要求7所述检测异常用户的装置，其特征在于，
所述分类模块，还用于使用URI分类模型对采集到的日志提取站点URI特征，将具有相同URI特征的日志划分为同一类别。
9. 如权利要求7所述检测异常用户的装置，其特征在于，
所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法。
10. 如权利要求9所述检测异常用户的装置，其特征在于，
所述用户访问来源特征包括以下特征中的至少一种：用户的操作系统、浏览器类型、浏览器版本、设备类型；
所述访问行为特征包括以下特征中的至少一种：访问路径的重要程度、 访问路径过程中使用的访问参数、访问方法、接口路径，接口路径支持的参数属性、上传操作的数据属性、下载操作的数据属性；
所述访问路径转换参数包括以下特征中的至少一种：得到用户在正常访问站点时的页面跳转顺序和跳转概率。
11. 如权利要求7所述检测异常用户的装置，其特征在于，
所述判断模块，还用于在所述特征提取算法的个数为多个时，使用以下方法根据所述群体特征和所述个体特征的相似性判断所述目标用户为异常用户的可能性：确定通过各个特征提取算法获得的群体特征和个体特征的相似性，使用各个相似性的平均值或通过归一化模型计算各个相似性的归一化相似值，根据此平均值或归一化相似值判断所述目标用户是否为异常用户。
12. 如权利要求7所述检测异常用户的装置，其特征在于，
所述装置还包括：访问量分析模块，用于根据采集到的日志预测下一时段单用户单时段访问站点的访问量上限；
所述判断模块，还用于在所述目标用户在下一时段对至少一站点的访问量大于所述访问量上限时，或者，在所述目标用户在下一时段对至少一站点的访问量大于所述访问量上限并且根据所述群体特征和所述个体特征的相似性判断所述目标用户为异常用户时，确定所述目标用户为异常用户。”
申请人（下称复审请求人）对上述驳回决定不服，于2019年03月28日向国家知识产权局提出了复审请求，同时修改了权利要求书，将从属权利要求3和9分别并入独立权利要求1和7，删除了权利要求3和9，同时修改了权利要求的编号和引用关系，修改后的权利要求为权利要求1-10。复审请求人认为：（1）权利要求1中群体特征与对比文件1中的正常行为模型不同，权利要求1中的个体特征与对比文件1中的用户输入值不同；（2）权利要求1根据相似性判断用户是异常用户的情况有很多种，而对比文件1中判断用户是异常用户的情况只有一种；（3）对比文件1中将相同URL对应的日志划为一类，而权利要求2中使用URI对日志分类，可以将URL不同但URI相同的日志划分为同一类；（4）权利要求5的附加技术特征是在权利要求1的判断方法基础上的进一步细化，可以更准确的判断出异常用户，不是本领域惯用手段。复审请求时提交的新修改的独立权利要求1和6的内容如下：
“1. 一种检测异常用户的方法，其特征在于，包括：
采集日志；
对采集到的日志进行分类；
根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户；
所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法。”
“6. 一种检测异常用户的装置，其特征在于，包括：
采集模块，用于采集日志；
分类模块，用于对采集到的日志进行分类；
选择模块，用于根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
判断模块，用于根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户，所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法。”
经形式审查合格，国家知识产权局于2019年04月10日依法受理了该复审请求，并将其转送至实质审查部门进行前置审查。
实质审查部门在前置审查意见书中认为权利要求1-10仍然不具备创造性，因而坚持驳回决定。
随后，国家知识产权局成立合议组对本案进行审理。
合议组于2019年06月27日年向复审请求人发出复审通知书，此次复审通知书依据的审查文本为：复审请求人于2019年03月28日提交的权利要求第1-10项，于申请日2017年11月23日提交的说明书第1-8页、说明书附图第1-2页、说明书摘要和摘要附图，复审通知书引用与驳回决定中相同的对比文件1，并指出：在对比文件1的基础上结合本领域的惯用手段得到权利要求1-10所要求保护的技术方案是显而易见的，因此权利要求1-10不具备专利法第22条第3款规定的创造性。合议组针对复审请求人的意见进行了答复。
复审请求人于2019年08月07日提交了意见陈述书，并修改了申请文件，将从属权利要求3和8的附加技术特征分别并入独立权利要求1和6，删除了权利要求3和8，同时修改了权利要求的编号和引用关系，修改后的权利要求为权利要求1-8。复审请求人认为：（1）对比文件1中选取WEB日志只设置有比例上限，是按比例选择部分日志，而权利要求1中根据各类别的访问参数对各类别评分，选择评分排名前N个类别，将此N个类别中的日志作为关键日志；（2）对比文件1中提取当前行为的日志是WEB日志子集中未被选取的WEB日志，权利要求1中需要提取的个体特征是目标用户的日志；权利要求1中提取群体特征和个体特征，处理过程是同理的过程，都是对日志运行特征提取算法，最终获得的是特征，而对比文件1中获取正常行为模型和用户输入值是完全不同的过程；（3）现有技术中检测异常用户的方式一般针对一个参数设置阈值，而权利要求1中的特征提取算法同时考虑了用户访问来源特征、访问行为特征以及访问路径转换参数三个特征，使用复杂模型采用复杂的提取算法获得特征化的标准，对单个用户使用相同的模型和提取算法计算用户特征，比较得到最终判定结果。因此复审请求人认为本申请的权利要求1-8具备创造性。复审请求人答复复审通知书时提交的独立权利要求1和5的内容如下：
“1. 一种检测异常用户的方法，其特征在于，包括：
采集日志；
对采集到的日志进行分类；
根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户；
所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法；
所述用户访问来源特征包括以下特征中的至少一种：用户的操作系统、浏览器类型、浏览器版本、设备类型；
所述访问行为特征包括以下特征中的至少一种：访问路径的重要程度、访问路径过程中使用的访问参数、访问方法、接口路径，接口路径支持的参数属性、上传操作的数据属性、下载操作的数据属性；
所述访问路径转换参数包括以下特征中的至少一种：得到用户在正常访问站点时的页面跳转顺序和跳转概率。”
“5. 一种检测异常用户的装置，其特征在于，包括：
采集模块，用于采集日志；
分类模块，用于对采集到的日志进行分类；
选择模块，用于根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别，将此N个类别中的日志作为关键日志；
判断模块，用于根据特征提取算法对所述关键日志提取群体特征，根据特征提取算法对目标用户的日志提取个体特征，根据所述群体特征和所述个体特征的相似性判断所述目标用户是否为异常用户，所述特征提取算法包括：用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用于提取访问路径转换参数的算法；
所述用户访问来源特征包括以下特征中的至少一种：用户的操作系统、浏览器类型、浏览器版本、设备类型；
所述访问行为特征包括以下特征中的至少一种：访问路径的重要程度、访问路径过程中使用的访问参数、访问方法、接口路径，接口路径支持的参数属性、上传操作的数据属性、下载操作的数据属性；
所述访问路径转换参数包括以下特征中的至少一种：得到用户在正常访问站点时的页面跳转顺序和跳转概率。”
在上述程序的基础上，合议组认为本案事实已经清楚，可以作出复审请求审查决定。
二、决定的理由
（一）审查文本的认定
复审请求人在答复复审通知书时提交了权利要求书的修改替换页。本复审请求审查决定所依据的审查文本为：复审请求人于2019年08月07日提交的权利要求第1-8项，于申请日2017年11月23日提交的说明书第1-8页、说明书附图第1-2页、说明书摘要和摘要附图。经审查，复审请求人在答复复审通知书时提交的修改文本的修改之处符合专利法第33条的规定。
（二）关于专利法第22条第3款
专利法第22条第3款规定：创造性，是指与现有技术相比，该发明具有突出的实质性特点和显著的进步，该实用新型具有实质性特点和进步。
本复审请求审查决定所引用的对比文件与驳回决定和复审通知书所引用的对比文件相同，即：
对比文件1：CN105516128A，公开日为2016年04月20日。
1.权利要求1不具备专利法第22条第3款规定的创造性。
权利要求1要求保护一种检测异常用户的方法。对比文件1公开了一种Web攻击的检测方法及装置，并具体公开了以下技术特征（参见说明书第[0041]-[0091]段）：S110、对于待处理的多条Web日志，按照所述Web日志中的统一资源定位符URL进行划分，得到不同URL对应的Web日志子集（相当于采集日志，对采集到的日志进行分类），预先排除Web日志条数少于第一预定数量阈值的Web日志子集，或者只对Web日志条数达到第二预定数量阈值的Web日志子集进行后续步骤；S120、对于每个URL对应的Web日志子集，选取所述Web日志子集中部分Web日志（相当于关键日志），根据所选取的Web日志构建该URL对应的正常行为模型，包括基于选取的Web日志中该URL相关的一个或多个用户输入参数的用户输入值，为该URL相关的用户输入参数构建正常数据格式，URL对应的正常行为模型可以为该URL相关的用户输入参数的正常数据格式的集合（相当于对关键日志提取群体特征）；S130、对于每个URL所对应的Web日志子集，分别基于该URL对应的正常行为模型，对该URL所对应Web日志子集中未被选取的Web日志进行异常检测，包括对于每条未被选取的Web日志，分别提取URL当前行为（相当于对目标用户的日志提取个体特征），并与先前构建的该URL对应的正常行为模型进行比对，当发现一条Web日志的URL当前行为与URL正常行为模型的偏差较大时，表示可能检测到了Web异常，将该条Web日志确定为异常的Web日志（相当于根据群体特征和个体特征的相似性判断目标用户是否为异常用户）。
权利要求1与对比文件1的区别在于：（1）该权利要求中选取关键日志的方式是根据各类别中的访问参数对各类别评分，选择评分排名前N个的类别中的日志作为关键日志，而对比文件1根据Web日志条数进行选择；（2）特征提取算法包括用于提取用户访问来源特征的算法，用于提取访问行为特征的算法，用户提取访问路径转换参数的算法，并且对用户访问来源特征、访问行为特征以及访问路径转换参数进行了具体的限定。
基于上述区别，该权利要求的技术方案实际解决的技术问题是如何准确确定日志的群体特征以及如何确定需提取的异常特征。
对于区别（1），为了准确地确定群体特征，选取日志时，根据访问人数或访问量等访问参数对分类后的日志进行评分，选择排名靠前的N个类别的日志作为关键日志是本领域的惯用手段；
对于区别（2），在网络安全领域，常常通过对用户设备、用户行为以及用户访问路径等参数的检测来识别是否存在网络攻击，因此，通过对用户访问来源、访问行为以及访问路径的转换等方面进行检测，确定需提取的相关特征作为表征正常用户的群体特征，是本领域的惯用手段；将用户设备的操作系统、浏览器类型和版本以及设备类型作为用户访问来源特征是本领域检测用户设备特征的常用方式，访问路径的重要性、访问过程中使用到的访问参数、接口路径以及上传下载涉及的数据属性等特征都是本领域常用的表征用户访问行为的特征，用户访问站点时的页面跳转顺序和跳转概率是识别异常用户常用的访问路径转换参数。
因此，在对比文件1的基础上结合本领域的惯用手段以得到权利要求1所要求保护的技术方案，对本技术领域的技术人员来说是显而易见的。因此权利要求1所要求保护的技术方案不具备突出的实质性特点和显著的进步，因而不具备创造性。
2.权利要求2不具备专利法第22条第3款规定的创造性。
权利要求2的附加技术特征已被对比文件1公开（参见说明书第[0042]段）：对于待处理的多条Web日志，按照所述Web日志中的统一资源定位符URL进行划分，得到不同URL对应的Web日志子集（URL属于URI的一种，因此URL是URI的下位概念）。因此，当其引用的权利要求不具备创造性时，该权利要求不具备创造性。
3.权利要求3不具备专利法第22条第3款规定的创造性。
权利要求3是从属权利要求，其附加技术特征属于本领域惯用手段：当评价标准为多个时，取平均值或通过归一化处理计算相似值来判断用户是否异常是本领域的惯用手段。因此，当其引用的权利要求不具备创造性时，该权利要求不具备创造性。
4.权利要求4不具备专利法第22条第3款规定的创造性。
权利要求4是从属权利要求，其附加技术特征属于本领域惯用手段：通过预测用户访问量上限，当用户访问量大于上限，或者同时进行群体特征和个体特征的相似性判断来确定用户异常是本领域为了保证网络安全性的惯用手段。因此，当其引用的权利要求不具备创造性时，该权利要求不具备创造性。
5．权利要求5-8请求保护一种检测异常用户的装置，是与权利要求1-4对应的产品权利要求，而使用单元模块实现相应的方法步骤是本领域的惯用手段，因此基于与评述权利要求1-4类似的理由，权利要求5-8所要求保护的技术方案不具备突出的实质性特点和显著的进步，因而不具备专利法第22条第3款规定的创造性。
（三）关于复审请求人的意见
对于复审请求人在答复复审通知书时陈述的意见，合议组认为：（1）为了准确地确定群体特征，在选取日志时，本领域技术人员常常选择更能表征群体特征的日志作为样本，因此有动机根据访问参数选择前N个类别的来作为样本进行群体特征的提取，这属于本领域的惯用手段。（2）系统采集到的所有日志均为用户日志，对比文件1中选取部分日志作为标准提取群体特征，其余的日志作为普通目标用户日志，提取个体特征，从而判定用户是否异常，权利要求1中也是使用了排名前N个类别的部分日志作为提取群体特征的样本，再选择目标用户日志提取个体特征，并且权利要求1中也没有限定目标用户日志是否属于提取群体特征使用到的日志，实际上目标用户日志是否属于提取群体特征使用到的日志并不会对整个技术方案产生影响，因此对比文件1中将未被选取为群体特征的日志作为目标用户日志公开了权利要求1中的目标用户日志。同时，对比文件1构建正常行为模型提取的也是用户输入参数的用户输入值，与获取待检测日志的用户输入值的处理是相同的，因此对比文件1中提取群体特征和个体特征的处理也是同理的过程。（3）通信领域中，在使用用户行为方式检测异常用户时，使用单一参数的比对方式容易产生误判，因此本领域技术人员常常采用多种参数赋予不同的权重系数总体进行衡量和判断，从而更准确的辨别异常用户，权利要求1中使用到的用户操作系统、浏览器类型等用户访问来源特征、访问路径使用的访问参数、上传或者下载操作的数据属性等访问行为特征以及页面跳转顺序等访问路径转换参数都是本领域在判断用户异常时常用的用户特征参数。
因此，合议组对复审请求人的主张不予支持。
三、决定
维持国家知识产权局于2019年02月27日对本申请作出的驳回决定。
如对本复审请求审查决定不服，根据专利法第41条第2款的规定，复审请求人自收到本决定之日起3个月内向北京知识产权法院起诉。
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
