上篇引言UEBA通过机器学习对用户、实体进行分析，不管这种威胁是不是已知，也包括了实时和离线的检测方式，能得到一个直观的风险评级和证据分析，让安全人员能够响应异常和威胁。到底是怎样的整体架构呢？我就不…
上一篇文章的介绍 UEBA通过深度学习分析用户和实体线。不管威协是否己知，它还包括即时和离线下载检测方法，可以提供形象化的风险性定级和直接证据分析，使安全人员能够响应异常和威协。 整体结构是什么？我不想再介绍它了。
如果您都还没阅读文章上一章，可以点击下面的连接查看：
UEBA架构模式之途
1：UEBA架构 UEBA架构模式之途2：数据浏览和准备 UEBA架构模式之途
3：复杂事件处理模块 UEBA架构模式相对路径
4：异常，威协指标值和威协 UEBA架构模式之途
5：几率尾缀树实体模型 已经看了的朋友，咱继续。 以下部分叙述了各种部件的详细资料，包括数据浏览和准备模块，处理模块，即时/离线下载配备，设备学习模型以及不同的手机应用程序，互动等。
八，图型聚类分析法 图聚类分析法是复合型图或投射图中中连接点簇的标志。
比如，检测仪器相似度和检测身体活动基线漂移误差，这样的连接点簇可以方便地用以横着移动或账号偷盗。
群集可以表示倾向性于浏览两组设备的两组用户。管理决策模块可以捕捉不同的行为，比如当用户浏览另外设备时，发生异常。
图型聚类分析法的要求是：高效率，高宽比可拓展，并行处理，通过设备学习模型实现，并且可以即时和离线下载操作。
自动聚类分析法簇鉴别计算图上的连接点L1范标值，并将位置（1D）网格图分派给一维中的连接点。随后，应用场景1D网格图上的连接点的分派位置来鉴别图中的连接点簇。具体地，通过将1D网格图上的连接点最速下降法再次定位到每个连接点的L1范数最少的位置来建立连接点组，并且在以这种方式在1D网格图上找到连接点的最佳位置之后，1D网络坐落于。
网格图上相同位置的一组连接点代表一个集群服务器。
过程是： 以任何次序遍历图型，将所有连接点投射到1D网格图 在一维网格图中的相同位置建立两组连接点，通过最小化L1范数找到每个连接点的最佳位置 根据内部/外界边沿占比检测每个组里的聚类分析法 根据连接点的内/外边沿分派检测每个集群服务器 移动外边沿>内边沿的每个连接点在1d网格图中往左边或往右边移动一个位置（浮点） 如果存在浮点，则遍历所有浮点并与集群服务器合拼 如果没有浮点，则輸出
原始过程是键入任何图型，比如下面的图型。该过程可以在结构图型时实行，假定边沿权重值由自然数而不是浮点数表示，并且在适度加权之后，连接点之间的多个关系被伸缩成单独边沿的权重值。
首先是逐连接点遍历图型并将连接点投射到一维网格图。任何订单信息都很好，但广度优先搜索是最方便的。遍历图中的一维网格图是：
每个连接点中的数字意思它们被广泛遍历的次序，形成最后位置。
在下一步中，在将连接点投射到1D网格图之后，最速下降法最小化每个连接点的L1范数以在1D网格图上找到其“最佳”位置，进而在1D网格图上建立具有相同位置的连接点组。 （范数是向量空间中的每个向量的涵数，除了零向量之外，其被特定严格的正长短或大小），其是沿连接点的每个备选位置与备选位置之间的1D网格图的间距。
（绝对）的总数，备选位置是直接联接到图中所有连接点的位置，最佳位置是1D网格图中连接点的位置。因此，在将所有连接点投射到1D网格图之后，将首先试着确定连接点1的最佳位置，因此连接点1的L1范数在其每个备选位置中计算，并且连接点1直接联接到图中的连接点2。因此，连接点1的备选位置是网格图上连接点2,5和6占有的位置。
计算连接点1中每个备选位置的L1范数，并选择具有最少L1范数的位置作为连接点1的最佳位置。如果连接点1保持在1D的原始位置，则其L1范数将被计算为网格图上位置1和位置2的总数，顺着1D网格图在5和6之间的绝对间距，即：位置1处的连接点1的L1范数是L1。标准1,1 =| 1-2 | + | 1-5 | + 1-6 |反过来，如果要将连接点1移动到1D网格图上的连接点5的位置，则位置5处的连接点1的L1范数将被计算为L1-Norm 1,5 =|。 5-2 | + | 5 -5 | + 5-6 |=4.
该实例中的认证结果是连接点1的L1范数是网格图上位置5处的最少投射，并且连接点1移动到连接点5的位置。连接点的最佳位置可以在紧接着的最速下降法中改变，但是连接点可以顺着1D网格图再次定位。
在下一步中处理所有连接点之后，连接点占有网格图上的相同位置，并且这些连接点组成连接点组和集群服务器集群服务器。但在算出这个依据之前，该过程会搜索每个连接点组与外界之间具有更强联接的任何连接点，并且如果找到，就会顺着1D网格图再次定位。
在第四步中，应用场景连接点的内部到外界边沿比检测每个组里的实际簇。连接点分成内边沿和外边沿，内边沿在相同连接点组里，外边沿在连接点组外界联接。如果连接点具有外边沿并且总重超出内边沿的总重，即内/外边沿比例低于1，则连接点顺着1D网格图往下或往右边移动一个位置。
stage（方向无关痛痒），从当前连接点中删掉连接点。以这种方式重定位的连接点称之为“波动”，因此如果后续步骤中存在任何浮点，则它将遍历所有浮点并与目前集群服务器合拼。如果没有浮点，则輸出所鉴别的簇，并将輸出提供给其他设备学习模型，管理决策模块，操作界面等。
经过多次最速下降法后，连接点位置如圖如图。
可以看得出，确定了三个集群服务器，连接点1-5，连接点7-11和连接点12-14。
除了高效率，高宽比可拓展和可并行处理化之外，此过程也是渐进式的。如果向数据图表加上连接点，则无须再次投射整个图型。
通过最小化L1规范，您可以直接将新加上的连接点插进其中。在1D网格图中。
上述聚类分析法识别技术可用以鉴别大部分任何类型的图中的聚类分析法。但是一个充分必要条件。这种情况是一个二分图。二分图是数据图表。
连接点分成两个不交点的非空子集，分成普通连接点和伪连接点。它们形成两个单独的组，因此每一边联接一个。
普通连接点和伪连接点。在二分图中，普通连接点表示用户，伪连接点表示用户浏览的设备。该二分图对横着运动检测很有效。