近些年来,对网络用户行为分析的研究在如火如荼的展开,分析用户行为,挖掘行为规律,不仅能带来商业价值,在网络安全方面也有重大意义。网络用户行为主要分为个体行为以及个体间交互的群体行为,通过对个体用户行为的建模,发现潜在的异常行为;对群体行为的建模,发现潜在的社区结构。本文主要从这两个方面分析OA系统用户行为。主要完成以下部分的工作:(1)OA系统用户行为分析框架。结合OA系统内网的特点,建立OA内网空间的概念,提出OA系统用户行为建模框架。定义模型中相关的各个要素,并对其核心要素——用户行为进行建模。提出包括OA用户与系统交互行为和OA用户间交互行为的分析框架。(2)OA用户与系统交互行为分析方法。相同角色的人员有相似的行为。基于这一共识,本文通过提取用户对OA系统操作的时序行为,应用随机森林对用户的角色进行分类,对提取的时序特征进行特征选择,选出对区分用户角色有效的特征,为各角色画像。在提取时序特征的基础上,提出两阶段异常检测方法,首先用局部离群因子比较相同角色人员时序行为特征,发现异常人员,其次对异常人员的一段时间的异常行为应用孤立森林的方法,检测异常人员的异常时间点。(3)OA用户之间交互行为分析方法。对OA系统用户之间留言的交互行为建模。提取交互的关系特征以及交互的内容语义特征。将交互频次作为人员节点之间边的权值,对人员的留言内容进行聚类分析,提取出主题,得到人员的关注主题分布并作为人员节点与主题节点之间边的权值。对人员和主题两类节点,构建异质信息网络,基于元路径构建相似度矩阵,划分社区结构。并改进社区划分评价指标标准互信息(NMI),提出Weighted_NMI指标,对融合了交互关系特征和语义特征的异质信息网络社区划分结果进行验证。其中Weighted_NMI的改进之处体现在融入人员的权值,评估了权值较大,更为活跃人员的划分情况,用来衡量应用本文提出的方法进行社区划分的结果与真实组织结构的分布相似程度。