1.一种内部用户异常行为检测方法，其特征在于，该方法包括：采集用户在Linux系统中的操作命令；

对采集到的所述操作命令做预处理，得到有固定行数的命令矩阵；

根据所述预处理后的数据生成词汇表；

根据所述词汇表将操作命令由英文格式转换为有序的数值形式；

按一定比例将采集到的样本数据划分为训练集和测试集；

使用LSTM算法对所述训练集进行训练，得到训练模型；

使用所述训练模型对测试集进行验证得到输出数据；

使用双峰法对所述输出数据进行分析并确定判决阈值；

通过所述判决阈值判断用户是否存在异常操作行为。

2.根据权利要求1所述的一种内部用户异常行为检测方法，其特征在于，所述使用双峰法对所述输出数据进行分析并确定判决阈值，具体包括：读入LSTM模型输出数据，统计输出数据个数n以及每个输出数据对应的值Yi，1≤i≤n；

统计0～1范围内的数值的个数，画出对应输出数据直方图；

根据所述直方图选取最高双峰之间的谷底对应的数值作为阈值ω。

3.根据权利要求2所述的一种内部用户异常行为检测方法，其特征在于，所述通过所述判决阈值判断用户是否存在异常操作行为，具体为：遍历原始输出数据，根据选取的阈值对所述输出数据进行分类，若所述输出数据大于或等于阈值ω的输出值划为正常操作，输出设定Yend设置为0，若所述输出数据小于阈值ω划为异常操作，输出设定Yend设置为1。

4.根据权利要求1所述的一种内部用户异常行为检测方法，其特征在于，所述LSTM模型包括输入层、嵌入层、LSTM层、全连接层和回归层。

5.根据权利要求1所述的一种内部用户异常行为检测方法，其特征在于，所述LSTM模型包括：遗忘门ft，遗忘门ft表示为：

ft＝σ(Wf·[ht-1,xt]+bf)其中，Wf是遗忘门的权重矩阵，[ht-1,xt]表示以当前时刻的输入xt和上一时刻的输出ht-1作为输入，bf是遗忘门的偏置项，σ是门限，选取sigmoid函数；

输入门it，输入门it表示为：

it＝σ(Wi·[ht-1,xt]+bi)其中，Wi是输入门的权重矩阵，bi是输入门的偏置项，σ是门限，选取sigmoid函数；

当前时刻的候选Cell单元状态 表示为：其中，Wc为权重矩阵，bc为偏置项，tanh是门限，选取tanh函数；

当前时刻的Cell单元状态Ct表示为：输出门ot，输出门ot表示为：

ot＝σ(Wo·[ht-1,xt]+bo)其中，Wo表示输出权重矩阵，bo表示偏置项，σ是门限，选取sigmoid函数；

LSTM的最终输出ht表示为：

ht＝ot*tanh(Ct)。

6.一种内部用户异常行为检测系统，其特征在于，该检测系统包括：采集单元，用于采集用户在Linux系统中的操作命令；

预处理单元，用于对采集到的所述操作命令做预处理，得到有固定行数的命令矩阵；

生成单元，用于根据所述预处理后的数据生成词汇表；

转换单元，用于根据所述词汇表将操作命令由英文格式转换为有序的数值形式；

划分单元，用于按一定比例将采集到的样本数据划分为训练集和测试集；

训练单元，用于使用LSTM算法对所述训练集进行训练，得到训练模型；

验证单元，用于使用所述训练模型对测试集进行验证得到输出数据；

分析单元，用于使用双峰法对所述输出数据进行分析并确定判决阈值；

判决单元，用于通过所述判决阈值判断用户是否存在异常操作行为。

7.根据权利要求6所述的一种内部用户异常行为检测系统，其特征在于，所述分析单元包括：统计单元，用于读入LSTM模型输出数据，统计输出数据个数n以及每个输出数据对应的值Yi，1≤i≤n；

输出单元，用于统计0～1范围内的数值的个数，画出对应输出数据直方图；

选取单元，用于根据所述直方图选取最高双峰之间的谷底对应的数值作为阈值ω。

8.根据权利要求7所述的一种内部用户异常行为检测系统，其特征在于，所述判决单元的判决过程为：遍历原始输出数据，根据选取的阈值对所述输出数据进行分类，若所述输出数据大于或等于阈值ω的输出值划为正常操作，输出设定Yend设置为0，若所述输出数据小于阈值ω划为异常操作，输出设定Yend设置为1。

9.根据权利要求6所述的一种内部用户异常行为检测系统，其特征在于，LSTM模型包括：遗忘门ft，遗忘门ft表示为：

ft＝σ(Wf·[ht-1,xt]+bf)其中，Wf是遗忘门的权重矩阵，[ht-1,xt]表示以当前时刻的输入xt和上一时刻的输出ht-1作为输入，bf是遗忘门的偏置项，σ是门限，选取sigmoid函数；

输入门it，输入门it表示为：

it＝σ(Wi·[ht-1,xt]+bi)其中，Wi是输入门的权重矩阵，bi是输入门的偏置项，σ是门限，选取sigmoid函数；

当前时刻的候选Cell单元状态 表示为：其中，Wc为权重矩阵，bc为偏置项，tanh是门限，选取tanh函数；

当前时刻的Cell单元状态Ct表示为：输出门ot，输出门ot表示为：

ot＝σ(Wo·[ht-1,xt]+bo)其中，Wo表示输出权重矩阵，bo表示偏置项，σ是门限，选取sigmoid函数；

LSTM的最终输出ht表示为：

ht＝ot*tanh(Ct)。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1～5任意一项的述的内部用户异常行为检测方法。