Адаптивная аутентификация

[wim]

Добрый день

В университете в качестве курсовой работы - предложили сделать адаптивную аутентификацию.
например выявлять аномальные процедуры логина с не обычного ip адреса, гео локации, браузера, времени и.т.д.

Я решил сделать это с помощью байесового метода, но судя по всему не правильно делаю feature exctaction, потому что по формуле получается так:
всего записей пользователя в системе - 11

честный пользователь логинится например с ip 195.10.1.2, user agent: Chrome, Country: Belarus

$$\begin{bmatrix} 10 & 10 & 10 & 10\\ 1 & 10 & 10 & 1 \end{bmatrix}$$

записей для этого пользователя с таким ip - 10, с user agent - 10, с geo - 10, всего логинов - 10,
10/10 \times 10/10 \times 10/10 \times 10/11 = 0,9090909091

злоумышленник залогинился с 195.10.34.123, user agent: Chrome, Country: Belarus
записей для этого пользователя с таким ip - 1, с user agent - 10, с geo - 10, всего логинов - 1,
10/1 \times 1/1 \times 1/1 \times 1/11 = 9,090909091

т.е. злоумышленник, благодаря тому, что у него такой же user agent и всего 1 запись в системе - более честный пользователь

что я делаю не так?

https://docs.google.com/spreadsheets/d/ ... sp=sharing

[Pphantom]

Тема перемещена из форума «Искусственный интеллект и Машинное обучение» в форум «Карантин»
по следующим причинам:

- неправильно набраны формулы (краткие инструкции: «Краткий FAQ по тегу [math]» и видеоролик Как записывать формулы).

Исправьте все Ваши ошибки и сообщите об этом в теме Сообщение в карантине исправлено.
Настоятельно рекомендуется ознакомиться с темами Что такое карантин и что нужно делать, чтобы там оказаться и Правила научного форума.

[Pphantom]

Тема перемещена из форума «Карантин» в форум «Искусственный интеллект и Машинное обучение»

[Aritaborian]

wim в сообщении #1301055 писал(а):

честный пользователь логинится например с ip 195.10.1.2, user agent: Chrome, Country: Belarus

wim в сообщении #1301055 писал(а):

злоумышленник залогинился с 195.10.34.123, user agent: Chrome, Country: Belarus

Очевидно, они оба злоумышленники: первый айпи лондонский, второй — амстердамский ;-D

[wim]

ip адреса взяты случайно, просто показать, что они разные

[worm2]

А почему у вас там для злоумышленника первый множитель 10/1? Разве не должно быть 1/10?
(сам байесовский метод не читал).

[wim]

кол-во сматченых у этого юзера user-agent / на количество уникальных записей этого пользователя.

мне подсказали, что у меня ошибка выделения классов, нельзя смешивать ip, country, user agent, нужно считать отдельно их вероятности