📚 课程目录第1章课程介绍

1. 课程介绍：异常访问识别概述、应用场景、课程目标

大家好，欢迎来到这门课。

异常访问识别，说白了，就是在一大堆网络请求或系统日志里，找出那些不对劲的访问行为。这件事我在实际项目中几乎是天天要面对——无论是做安全审计、反爬虫，还是内部威胁检测，总有人或程序在干些“越界”的事。

但靠人工一条条看日志？别逗了。我试过，看完1小时的日志就要瞎半个月。机器学习正是拿来干这事的：让模型替我们盯着，发现异常就报警。嗯，这章我们先打下底子。

异常访问识别（Anomaly Access Detection）指的是：通过分析用户或系统的行为数据，自动判断当前访问是否偏离了正常模式。正常模式是个什么样子？每个人的访问习惯、频率、路径都有统计规律。一旦有请求明显跳出这个规律，我们就认为它是“异常”。

这里有一个关键点：异常 ≠ 攻击。它只是“不对劲”。比如某个同事凌晨3点登录内网，可能是加班，也可能账号被盗。我遇到过一次，某员工出差时VPN登录时间在凌晨2点，但IP却来自两个不同国家——后来确认是撞库攻击。

我个人习惯把异常访问分为三类：点异常（单个请求值过高）、上下文异常（在特定时段行为异常）、集体异常（某个用户组整体偏移）。不同的类型，选的模型也不一样。

💡 小经验： 实际落地时，70%的异常都来自上下文异常。别只盯着单个请求的数值，联合时间、地点、设备等因素一起看，效果翻倍。

异常访问识别几乎能用到所有存在“访问控制”的地方。我挑几个最常见的场景聊聊。

传统的WAF靠规则库，漏洞永远追不上新型攻击。机器学习可以学习正常请求的特征，一旦遇到偏离较大的请求就直接拦截。我之前给某电商平台做过一个线上模型，把自动化工具（比如selenium、puppeteer）发起的请求识别率提升了40%。

员工、外包人员、第三方API调用——这些内部账号的访问行为往往是“温水煮青蛙”。我记得有次审计发现一个运维账号每天凌晨悄悄拉数据库全量备份，持续了一周，直到模型打出90分异常分才被察觉。原来是离职前准备数据打包带走。

爬虫伪装成正常User-Agent、随机间隔、使用代理IP……越来越聪明。但机器学习可以捕捉更微观的模式，比如鼠标轨迹缺失、请求顺序不符合人类浏览习惯。我做的一个反爬项目中，用孤立森林模型把爬虫识别率从70%提到了96%。

微服务之间调用频繁，权限错综复杂。异常调用可能是服务被攻破后的横向移动。我建议用图神经网络对调用链建模，效果比孤立森林好很多。

⚠️ 踩过的坑： 我曾经直接把单类异常检测模型部署到生产，没考虑不均衡数据——正常请求占99.9%，异常占0.1%。模型直接学成了“全部判正常”。一定要做采样、权重调整或异常检测专门的评估指标（比如召回率优先）。

这门课共30章，学完后我希望你能独立完成一个完整的异常访问识别系统——从数据采集、特征工程、模型选型、训练调优到线上部署。

具体来说，你会掌握：

每章都会结合代码实现和真实数据集。我把自己踩过的坑、调试技巧、模型选择的心得都揉进课程里。

核心知识体系：我们用一个结构图把这门课要讲的内容串起来——从数据输入到生产闭环。

我见过太多团队把异常检测做成「玄学」：模型跑出来一堆异常，却不知道哪个该处理；或者线上正常误报率达到50%，运维直接把它关了。

这门课的核心原则是：可解释、可控制、可迭代。每讲一个算法，我都会给出它的适用边界、调参实战、以及如何用SHAP或LIME做异常解释。我在多个行业（电商、金融、安全）实战过，把常用的坑列成清单，你看完后至少能少走半年弯路。