随着互联网的发展,组织管理和业务开展对信息系统的需求与日俱增,内部威胁隐患随之增加。近年来研究者从多个层面、不同角度对内部威胁进行研究,在理论框架、检测方法等方面取得了许多成果。但由于孤立分析用户行为特征,而忽视内在特征,同时在行为分析时忽略行为文本内容中细节信息,导致无法发现用户的真实目的、内在意图和主观因素,再者低效利用用户多域行为特征,导致内部威胁检测效率低下。本文综合分析用户内在特征、业务操作的各域行为特征、细节内容和行为序列,为组织检测用户的恶意行为提供了方法和思路。同时为了从海量用户数据中抽取出用户信息全貌,用户画像技术应运而生,分别从用户内在属性和用户行为属性两个角度对组织内部的用户进行了全面细致的刻画。在前人的研究基础上进行完善,取得以下成果。1.对用户的性格特点、过往经历、工作态度、心理特性等内在特征进行研究,得到用户能力、情绪、价值观和习惯行为方式的有机整合—大五人格值,形成了描述静态特性的用户内在属性画像。基于手肘法的K-Means对用户人格特征进行聚类,整合与恶意用户内在属性特征高度相似的“高危”用户。在内部威胁检测实践中,加强对“高危”用户的监管力度,可降低用户执行恶意行为的概率。2.整合用户多域行为,利用优化SVM对用户多域行为特征和行为间的序列关系进行建模,提高了内部威胁检测的准确率并降低了误报率。形成了体现用户业务逻辑和行为习惯的用户行为属性画像,为判定用户异常行为提供了有力依据。对用户操作中网址信息、文件信息和邮件内容信息的文本细节内容进行研究,利用改进的TF-IDF算法遍历细节内容,根据DF值、IDF值、位置权重p_i和词性权重c_i构建为C-P-TF-IDF值,提取与内容主题有关同时体现可疑用户意图的关键词标签云。提高了对行为细节内容中特殊词汇的敏感度,大大降低内部威胁风险。