CN104091117A - 基于安全风险的聚类方法及聚类装置 - Google Patents

Abstract

本申请实施例公开了一种基于安全风险的聚类方法和聚类装置，所述方法包括：确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；确定所述多个申请关系中每个申请关系的权值；根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。本申请实施例的技术方案通过一二部图模型确定多个应用程序与多个权限之间的申请关系以及所述申请关系的权值，并根据所述权值对所述多个应用程序进行基于安全风险的聚类，使得安全风险相似的应用程序被归为同一应用安全风险分类中，便于后续基于安全风险对应用程序进行的处理。

Description

基于安全风险的聚类方法及聚类装置

技术领域

本申请涉及一种数据处理方法，尤其涉及一种基于安全风险的聚类技术方案。

背景技术

近年来随着移动设备与移动互联网的高速发展，移动应用程序的数量出现了爆炸式的增长。与此同时，移动应用程序的功能被极大的扩展，用以丰富和满足用户各种各样的需求，例如：基于位置的服务(Location Based Services，LBS)，基于社交平台的服务(SocialNetworking Services，SNS)，等等。事实上，这些丰富的功能依赖于各种用户数据和设备的使用权限，例如位置访问权、通讯录访问权、短信访问权等等。这些访问权限的使用，使得用户产生了对于自身隐私、安全的担心，因而越来越多的用户希望能了解应用程序的权限访问安全性。

发明内容

本申请的目的是：提供一种基于安全风险的聚类技术方案。

第一方面，本申请一个实施方案提供了一种基于安全风险的聚类方法，包括：

确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

确定所述多个申请关系中每个申请关系的权值；

根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

第二方面，本申请一个实施方案提供了一种基于安全风险的聚类装置，包括：

申请关系确定模块，用于确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

权值确定模块，用于确定所述多个申请关系中每个申请关系的权值；

应用聚类模块，用于根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

本申请实施例的至少一个实施方案通过一二部图模型确定多个应用程序与多个权限之间的申请关系以及所述申请关系的权值，并根据所述权值对所述多个应用程序进行基于安全风险的聚类，使得安全风险相似的应用程序被归为同一应用安全风险分类中，便于后续基于安全风险对应用程序进行的处理，例如：在所述多个应用程序中的一些应用程序的安全风险已知的前提下，可以快速的确定与这些应用程序同一应用安全风险分类的其它安全风险未知的应用程序的安全风险。

附图说明

图1为本申请实施例的一种基于安全风险的聚类方法的流程图；

图2为本申请实施例的一种基于安全风险的聚类方法中应用程序与权限的二部图示意图；

图3为本申请实施例另一种基于安全风险的聚类方法的流程图；

图4为本申请实施例一种基于安全风险的聚类装置的结构示意框图；

图5a为本申请实施例另一种基于安全风险的聚类装置的结构示意框图；

图5b为本申请实施例一种基于安全风险的聚类装置的权值确定单元的结构示意框图；

图5c和5d分别为本申请实施例两种基于安全风险的聚类装置的应用聚类子模块的结构示意框图；

图6a为本申请实施例又一种基于安全风险的聚类装置的结构示意框图；

图6b和6c分别为本申请实施例两种基于安全风险的聚类装置的权限聚类子模块的结构示意框图；

图7为本申请实施例一种电子设备的结构示意框图；

图8为本申请实施例再一种基于安全风险的聚类装置的结构示意框图。

具体实施方式

下面结合附图(若干附图中相同的标号表示相同的元素)和实施例，对本申请的具体实施方式作进一步详细说明。以下实施例用于说明本申请，但不用来限制本申请的范围。

本领域技术人员可以理解，本申请中的“第一”、“第二”等术语仅用于区别不同步骤、设备或模块等，既不代表任何特定技术含义，也不表示它们之间的必然逻辑顺序。

对于应用于一用户设备的一应用程序来说，其可能会申请使用该用户设备的至少一数据使用的权限，例如一桌面应用程序申请用户设备中存储的照片数据的使用权限。本申请的发明人发现，在对应用程序的安全风险进行评估时，结合考虑应用程序与权限之间潜在的关系会提高评估的准确性。

如图1所示，本申请实施例提供了一种基于安全风险的聚类方法，包括：

S110确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

S120确定所述多个申请关系中每个申请关系的权值；

S130根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

如图2所示，在本申请实施例中，发明人考虑到应用程序和权限的特性，提出了基于二部图的模型，来确定应用程序与权限之间的关系。其中，将多个应用程序作为二部图中的第一组节点，将多个权限作为二部图中的第二组节点，两组节点之间的连接由应用程序与权限的申请关系确定，即，当且仅当一应用程序申请了一权限时，所述应用程序与所述权限之间具有申请关系，建立有连接。

举例来说，本发明提供的基于安全风险的聚类装置作为本实施例的执行主体，执行S110～S130。具体地，所述聚类装置可以以软件、硬件或软硬件结合的方式设置在用户设备或服务器设备中。

本申请实施例的至少一个实施方案通过一二部图模型确定多个应用程序与多个权限之间的申请关系以及所述申请关系的权值，并根据所述权值对所述多个应用程序进行基于安全风险的聚类，使得安全风险相似的应用程序被归为同一应用安全风险分类中，便于后续基于安全风险对应用程序进行的处理。

下面结合图2所示的二部图进一步说明本申请实施例方法的各步骤：

在本申请实施例中，通过图2所示的二部图表示本申请实施例多个应用程序与多个权限之间的关系，其中所述二部图G可以表示为：G＝{V，E，W}，其中，

V为节点集，有V＝{V^a，V^p}，

V^a为应用程序集，包括所述多个应用程序a₁～a_M，即V^a＝{a₁，···，a_M}，M为所述多个应用程序的个数，为正整数；

V^p为权限集，包括所述多个权限p₁～p_N，即V^p＝{p₁，···，p_N}；N为所述多个权限的个数，为正整数；

E为申请关系集，其中，当且仅当所述多个应用程序中的一应用程序a_i申请了所述多个权限中的一权限p_j时，存在一申请关系e_ij∈E；

W为权值集，一权值w_ij∈W表示所述申请关系e_ij的权值。

如图2所示的实施方式中，二部图包括4个应用程序a₁～a₄，3个权限p₁～p₃，(在图2所示实施例中，所述应用程序a₁～a₄分别为：愤怒的小鸟(游戏类)、切水果(游戏类)、脸谱(社交类)以及麦块(游戏类)；所述权限p1为读取手机状态、权限p2为访问精确位置、权限p3表示读取联系人)；申请关系集包含8个申请关系(图2中通过应用程序与权限之间的连线表示)：e₁₁，e₁₂，e₂₁，e₂₂，e₃₂，e₃₃，e₄₂以及e₄₃，它们分别对应的权值为0.3，0.7，0.2，0.8，0.5，0.5，0.4以及0.6。

本申请实施例中，所述权值w_ij表示所述应用程序a_i与所述权限p_j的相关性。在一种可能的实施方式中，所述权值w_ij表示所述应用程序a_i申请所述权限p_j的概率。这里应用程序a_i申请权限p_j的概率指的是，在确定所述应用程序a_i申请了哪些权限之前，其申请权限p_j的可能性。例如，对于图2中的申请关系e₁₁来说，0.3表示应用程序a₁申请权限p₁的概率为0.3。

当然，在其它可能的实施方式中，所述权值还可以根据其它依据确定，来表示应用程序与权限之间的相关程度，特别的，在一种可能的实施方式中，可以根据用户的设定指令确定所述权值。

如上面所述的，在本申请实施例一种可能的实施方式中，所述步骤S120在确定所述权值时，可以根据所述每个申请关系对应的所述应用程序申请所述权限的概率确定所述每个申请关系的权值。

在本申请实施例中，可以根据历史数据获取所述概率。可选地，在一种可能的实施方式中，可以根据所述每个申请关系对应的所述应用程序所属的一应用分类中所有应用程序的权限申请历史数据确定对应的所述权值。在本实施方式中，所述应用分类可以是根据所述应用程序的功能划分的分类，例如游戏、办公、地图等；还可以是根据应用程序的开发商进行的分类，或者还可以是根据应用程序其它方面的相似性(例如本申请实施例中的应用安全风险分类)等进行的聚类分类等等。当然，本领域的技术人员可以知道，所述应用分类还可以是其它的分类标准进行的分类。

可选地，在本申请实施例一种可能的实施方式中，可以根据所述应用程序所属的所述应用分类中所有应用程序申请所述权限的频率与所述所有应用程序分别申请所述多个权限的多个频率之和的比值得到所述权值。可以通过下面的公式表示：

$w_{\mathrm{ij}}=\frac{f_{\mathrm{ij}}}{{\mathrm{\Σ}}_{p_j\∈V^p}{f}_{\mathrm{ij}}},$

其中f_ij表示所述应用程序a_i所属的所述应用分类中的应用程序申请权限p_j的频率。

在本申请实施例一种可能的实施方式中，为了得到归一化的频率，可以通过所述应用分类中申请了一权限的应用程序的数量与该应用分类中所有应用程序的比值得到所述权限对应的所述频率。当然，在本申请实施例其它可能的实施方式中，还可以通过其它方式确定所述频率。

在本申请实施例其它可能的实施方式中，除了上述根据权限的申请频率确定所述每个申请关系的权值外，还可以根据其它参数确定所述权值，例如外部的先验知识，所述先验知识例如可以为本领域专家的意见、其它方法计算出了应用程序与权限之间的相关值等。

可选地，在一种可能的实施方式中，所述步骤S130包括：

获取与所述多个应用程序一一对应的多个应用权值向量；

根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类。

其中，所述多个应用权值向量中的每个应用权值向量中包含与所述多个权限一一对应的多个元素，对于每个应用权值向量：

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间有申请关系，所述应用权值向量中与所述权限对应的元素为所述申请关系的权值；

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间没有申请关系，所述应用权值向量中与所述权限对应的元素为0。

可以看出，得到的所述多个应用权值向量中相同位置的元素对应于同一权限，例如，所有应用权值向量的第一个元素对应于第一个权限、第二个元素对应于第二个权限…最后一个元素对应于最后一个权限。

例如：一应用程序a_i对应的应用权值向量可以表示为： 其中，所述向量包含N个元素，依次分别对应于N个权限，其中，当所述应用程序申请一权限时，对应的元素为对应的权值；当所述应用程序a_i没有申请一权限时，用0代替该元素(此时可以看成所述应用程序a_i申请该权限的权值为0)；应用程序a_j对应的应用权值向量可以表示为

例如，图2所示的实施例中，应用程序a1对应的应用权值向量＝{0.3，0.7，0}，这里的0表示应用程序a₁没有申请权限p₃；应用程序a2对应的应用权值向量应用程序a3对应的应用权值向量应用程序a4对应的应用权值向量

可选地，在一种可能的实施方式中，可以根据所述多个应用程序中两个应用程序分别对应的应用权值向量的相似度来对所述多个应用程序进行应用安全风险聚类。例如，在所述多个应用程序中一些应用程序的安全风险已知的情况下，根据其它应用程序与这些应用程序的相似度，可以对所述其它应用程序进行聚类，进而可以估算该应用安全风险分类中其它应用程序的安全风险。

可选地，在一种可能的实施方式中，可以通过两个应用程序对应的应用权值向量的余弦距离来确定两个应用程序的相似度：

$s_{\mathrm{ij}}^a=\mathrm{Cos}({\stackrel{\→}{a}}_i,{\stackrel{\→}{a}}_j)=\frac{{\stackrel{\→}{a}}_i\·{\stackrel{\→}{a}}_j}{\left|\right|{\stackrel{\→}{a}}_i\left|\right|\·\left|\right|{\stackrel{\→}{a}}_j\left|\right|}$

当然，本领域的技术人员可以知道，其它用于表示两个向量之间相似度的方法也可以用于本申请实施例确定两个应用程序的相似程度，例如通过两个向量之间的欧式距离或KL距离(Kullback-LeiblerDivergence)来确定所述两个向量的相似度。

可选地，在另一种可能的实施方式中，所述步骤S130在获取了所述多个应用程序分别对应的多个应用权值向量之后，可以通过基于距离的聚类算法对所述多个应用权值向量进行聚类，进而确定所述多个应用程序的应用安全风险聚类。

例如，在一种可能的实施方式中，可以将每个应用权值向量看成是多维空间中的点(所述多维空间的维度与所述应用权值向量中的元素个数相等)，通过基于距离的聚类算法，例如通过K-means聚类算法可以对所述多个应用权值向量进行聚类。当然，本领域技术人员可以知道，其它用于向量的聚类算法也可以应用在本申请实施例中对所述多个应用权值向量进行聚类，进而对所述多个应用程序进行聚类。

本领域的技术人员可以知道，上面所述的距离为两个向量之间的距离，例如上面所述的余弦距离、欧式距离、KL距离等等。

可以看出，通过本发明实施例上面的实施方案，可以对多个应用程序进行基于安全风险的聚类，将安全风险相似的应用程序划分在同一应用安全风险分类中，方便用户或应用平台基于安全风险对应用程序进行后续操作。

如图3所示，在本申请实施例另一种可能的实施方式中，除了对所述多个应用程序进行应用安全风险聚类外，还可以对所述多个权限进行权限安全风险聚类，此时，所述方法还包括：

S140根据所述每个申请关系的所述权值对所述多个权限进行权2安全风险聚类。

可选地，在一种可能的实施方式中，所述步骤S140包括：

获取与所述多个权限一一对应的多个权限权值向量；

根据所述多个权限权值向量对所述多个应用程序进行权限安全风险聚类。

其中，所述多个权限权值向量中的每个权限权值向量中包含与所述多个应用程序一一对应的多个元素，对于每个权限权值向量：

对应于与所述权限权值向量对应的权限与所述多个应用程序中的一应用程序之间有申请关系，所述权限权值向量中与所述应用程序对应的元素为所述申请关系的权值；

对应于与所述权限权值向量对应的权值与所述多个应用程序中的一应用程序之间没有申请关系，所述权限权值向量中与所述应用程序对应的元素为0。

可以看出，得到的所述多个权限权值向量中相同位置的元素对应于同一应用程序，例如，所有权限权值向量的第一个元素对应于第一个应用程序、第二个元素对应于第二个应用程序…最后一个元素对应于最后一个应用程序。

例如：一权限p_i对应的权限权值向量表示为其中，所述向量包含M个元素，依次分别对应于M个应用程序，其中，当一应用程序申请所述权限p_i时，对应的元素为对应的权值；当一应用程序没有申请所述权限p_i时，用0代替该元素(此时可以看成所述应用程序申请所述权限的权值为0)；权限p_j表示为

例如，图2所示的实施例中，权限p₁对应的向量 这里的两个0分别表示应用程序a₃和a₄没有申请权限p1；权限p₂对应的向量权限p₃对应的向量

可选地，在一种可能的实施方式中，可以根据所述多个权限中两个权限分别对应的权限权值向量的相似度来对所述多个权限进行权限安全风险聚类。例如，在所述多个权限中一些权限的安全风险已知的情况下，根据其它权限与这些权限的相似度，可以对所述其它权限进行聚类，进而可以估算该权限安全风险分类中其它权限的安全风险。

可选地，在一种可能的实施方式中，可以通过两个权限对应的权限权值向量的余弦距离来确定这两个权限的相似度：

$s_{\mathrm{ij}}^p=\mathrm{Cos}({\stackrel{\→}{p}}_i,{\stackrel{\→}{p}}_j)=\frac{{\stackrel{\→}{p}}_i\·{\stackrel{\→}{p}}_j}{\left|\right|{\stackrel{\→}{p}}_i\left|\right|\·\left|\right|{\stackrel{\→}{p}}_j\left|\right|}$

同样的，本领域的技术人员可以知道，其它用于表示两个向量之间相似度的方法也可以用于本申请实施例确定两个权限的相似程度，例如上面所述的欧式距离。

可选地，在另一种可能的实施方式中，所述步骤S140在获取了所述多个权限分别对应的多个权限权值向量之后，可以通过基于距离的聚类算法对所述多个权限权值向量进行聚类，进而确定所述多个权限的权限安全风险聚类。

例如，在一种可能的实施方式中，可以将每个权限权值向量看成是多维空间中的点(所述多维空间的维度与所述权限权值向量中的元素个数相等)，通过基于距离的聚类算法，例如通过K-means聚类算法可以对所述多个权限权值向量进行聚类。当然，本领域技术人员可以知道，其它用于向量的聚类算法也可以应用在本申请实施例中对所述多个权限权值向量进行聚类，进而对所述多个权限进行聚类。

本领域的技术人员可以知道，上面所述的距离为两个向量之间的距离，例如上面所述的余弦距离、欧式距离等等。

可以看出，通过本发明实施例上面的实施方案，可以对多个权限进行基于安全风险的聚类，将安全风险相似的权限划分在同一权限安全风险分类中，方便用户或开发者基于安全风险对权限进行后续操作，例如用户根据所述安全风险确定是否要关闭或打开权限，开发者根据所述安全风险确定是否要使用对应的权限。

本领域技术人员可以理解，在本申请具体实施方式的上述方法中，各步骤的序号大小并不意味着执行顺序的先后，各步骤的执行顺序应以其功能和内在逻辑确定，而不应对本申请具体实施方式的实施过程构成任何限定。

如图4所示，本申请实施例一种可能的实施方式提供了一种基于安全风险的聚类装置400，包括：

申请关系确定模块410，用于确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

权值确定模块420，用于确定所述多个申请关系中每个申请关系的权值；

应用聚类模块430，用于根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

本申请实施例的装置400通过基于一二部图的模型确定所述多个应用程序和多个权限之间的关系。具体参见图1所示方法实施例中对应的描述。

本申请实施例的至少一个实施方案通过一二部图模型确定多个应用程序与多个权限之间的申请关系以及所述申请关系的权值，并根据所述权值对所述多个应用程序进行基于安全风险的聚类，使得安全风险相似的应用程序被归为同一应用安全风险分类中，便于后续基于安全风险对应用程序进行的处理。

本申请实施例通过下面的实施方式进一步说明本申请实施例的各模块。

在本申请实施例一种可能的实施方式中，对于所述多个应用程序与多个权限之间的多个申请关系以及每个申请关系对应的权值的进一步描述参见上述方法实施例中对图2所示实施方式的描述，这里不再赘述。

在本申请实施例中，所述申请关系的权值对应于所述申请关系对应的应用程序与权限之间的相关性，一般来说，所述相关性越强，所述权值的大小越大。因此，所述权值确定模块420根据所述应用程序与权值之间的相关性就可以确定所述权值的大小。在一种可能的实施方式中，可以通过所述应用程序申请所述权限的概率的大小来获得所述相关性。当然，本领域的技术人员可以知道，在其它可能的实施方式中，除了所述概率外，还可以通过其它方式确定所述应用程序与权限之间的相关性。

因此，可选地，如图5a所示，在本申请实施例一种可能的实施方式中，所述权值确定模块420可以包括：

权值确定子模块421，用于根据所述每个申请关系对应的所述应用程序申请所述权限的概率确定所述每个申请关系的权值。

在本申请实施例一种可能的实施方式中，可以根据历史数据获取所述概率。进一步的，在本实施方式中，所述权值确定子模块421可以包括：

权值确定单元4211，用于根据所述每个申请关系对应的所述应用程序所属的一应用分类中所有应用程序的权限申请历史数据确定对应的所述权值。

在本实施方式中，所述应用分类可以是根据应用程序的功能划分的分类，例如游戏、办公、地图等；还可以是根据应用程序的开发商进行的分类，或者还可以是根据应用程序其它方面的相似性等进行的聚类分类等等。当然，本领域的技术人员可以知道，所述应用分类还可以是以其它的分类标准进行的分类。

如图5b所示，在一种可能的实施方式中，所述权值确定单元4211包括：

权值确定子单元4211a，用于根据所述应用分类中所有应用程序申请所述权限的频率与所述所有应用程序分别申请所述多个权限的多个频率之和的比值得到所述权值。具体参见图2所示方法实施例中对应的描述。

在本申请实施例一种可能的实施方式中，为了得到归一化的频率，可以通过所述应用分类中申请了一权限的应用程序的数量与该应用分类中所有应用程序的比值得到所述权限对应的所述频率。当然，在本申请实施例其它可能的实施方式中，还可以通过其它方式确定所述频率。

可选地，如图5a所示，在一种可能的实施方式中，所述应用聚类模块430包括：

应用权值向量获取子模块431，用于获取与所述多个应用程序一一对应的多个应用权值向量；

应用聚类子模块432，用于根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类。

其中，所述多个应用权值向量中的每个应用权值向量中包含与所述多个权限一一对应的多个元素，对于每个应用权值向量：

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间有申请关系，所述应用权值向量中与所述权限对应的元素为所述申请关系的权值；

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间没有申请关系，所述应用权值向量中与所述权限对应的元素为0。

可以看出，得到的所述多个应用权值向量中相同位置的元素对应于同一权限，例如，所有应用权值向量的第一个元素对应于第一个权限、第二个元素对应于第二个权限…最后一个元素对应于最后一个权限。具体参见上述方法实施例中对应的描述。

可选地，如图5c所示，在一种可能的实施方式中，所述应用聚类子模块432包括：

第一应用聚类单元4321，用于根据所述多个应用程序中两个应用程序分别对应的应用权值向量的相似度来对所述多个应用程序进行应用安全风险聚类。

例如，在所述多个应用程序中一些应用程序的安全风险已知的情况下，根据其它应用程序与这些应用程序的相似度，可以对所述其它应用程序进行聚类，进而可以估算该应用安全风险分类中其它应用程序的安全风险。

可选地，在一种可能的实施方式中，可以通过两个应用程序对应的应用权值向量的余弦距离来确定两个应用程序的相似度，具体参见上面的方法实施例中对应的描述。

当然，本领域的技术人员可以知道，其它用于表示两个向量之间相似度的方法也可以用于本申请实施例确定两个应用程序的相似程度，例如通过两个向量之间的欧式距离或KL距离来确定所述两个向量的相似度。

可选地，如图5d所示，在另一种可能的实施方式中，所述应用聚类子模块432包括：

第二应用聚类单元4322，用于通过基于距离的聚类算法对所述多个应用权值向量进行聚类，进而确定所述多个应用程序的应用安全风险聚类。

例如，在一种可能的实施方式中，可以将每个应用权值向量看成是多维空间中的点(所述多维空间的维度与所述应用权值向量中的元素个数相等)，通过基于距离的聚类算法，例如通过K-means聚类算法可以对所述多个应用权值向量进行聚类。当然，本领域技术人员可以知道，其它用于向量的聚类算法也可以应用在本申请实施例中对所述多个应用权值向量进行聚类，进而对所述多个应用程序进行聚类。

本领域的技术人员可以知道，上面所述的距离为两个向量之间的距离，例如上面所述的余弦距离、欧式距离、KL距离等等。

可以看出，通过本发明实施例上面的实施方案，可以对多个应用程序进行基于安全风险的聚类，将安全风险相似的应用程序划分在同一应用安全风险分类中，方便用户或应用平台基于安全风险对应用程序进行后续操作。

如图6a所示，在本申请实施例一种可能的实施方式中，所述装置400除了对所述多个应用程序进行应用安全风险聚类外，还可以对所述多个权限进行权限安全风险聚类，此时，所述装置400还包括：

权限聚类模块440，用于根据所述每个申请关系的所述权值对所述多个权限进行权限安全风险聚类。

可选地，在一种可能的实施方式中，所述权限聚类模块440包括：

权限权值向量获取子模块441，用于获取与所述多个权限一一对应的多个权限权值向量；

其中，所述多个权限权值向量中的每个权限权值向量中包含与所述多个应用程序一一对应的多个元素；

所述权限权值向量获取子模块441在获取每个权限权值向量时：

对应于与所述权限权值向量对应的权限与所述多个应用程序中的一应用程序之间有申请关系，所述权限权值向量中与所述应用程序对应的元素为所述申请关系的权值；

对应于与所述权限权值向量对应的权值与所述多个应用程序中的一应用程序之间没有申请关系，所述权限权值向量中与所述应用程序对应的元素为0。

在本实施方式中，所述权限聚类模块440还包括：

权限聚类子模块442，用于根据所述多个权限权值向量对所述多个应用程序进行权限安全风险聚类。

可以看出，得到的所述多个权限权值向量中相同位置的元素对应于同一应用程序，例如，所有权限权值向量的第一个元素对应于第一个应用程序、第二个元素对应于第二个应用程序…最后一个元素对应于最后一个应用程序。具体参见上面方法实施例中对应的描述。

可选地，如图6b所示，在一种可能的实施方式中，所述权限聚类子模块442包括：

第一权限聚类单元4421，用于根据所述多个权限中两个权限分别对应的权限权值向量的相似度来对所述多个权限进行权限安全风险聚类。

例如，在所述多个权限中一些权限的安全风险已知的情况下，根据其它权限与这些权限的相似度，可以对所述其它权限进行聚类，进而可以估算该权限安全风险分类中其它权限的安全风险。

可选地，在一种可能的实施方式中，可以通过两个权限对应的权限权值向量的余弦距离来确定这两个权限的相似度。具体参见上述方法实施例中对应的描述。

同样的，本领域的技术人员可以知道，其它用于表示两个向量之间相似度的方法也可以用于本申请实施例确定两个权限的相似程度，例如上面所述的欧式距离。

可选地，如图6c所示，在另一种可能的实施方式中，所述权限聚类子模块442包括：

第二权限聚类单元4422，用于通过基于距离的聚类算法对所述多个权限权值向量进行聚类，进而确定所述多个权限的权限安全风险聚类。

例如，在一种可能的实施方式中，可以将每个权限权值向量看成是多维空间中的点(所述多维空间的维度与所述权限权值向量中的元素个数相等)，通过基于距离的聚类算法，例如通过K-means聚类算法可以对所述多个权限权值向量进行聚类。当然，本领域技术人员可以知道，其它用于向量的聚类算法也可以应用在本申请实施例中对所述多个权限权值向量进行聚类，进而对所述多个权限进行聚类。

本领域的技术人员可以知道，上面所述的距离为两个向量之间的距离，例如上面所述的余弦距离、欧式距离等等。

可以看出，通过本发明实施例上面的实施方案，可以对多个权限进行基于安全风险的聚类，将安全风险相似的权限划分在同一权限安全风险分类中，方便用户或开发者基于安全风险对权限进行后续操作，例如用户根据所述安全风险确定是否要关闭或打开权限，开发者根据所述安全风险确定是否要使用对应的权限。

如图7所示，在本申请实施例一种可能的实施方式中提供了一种电子设备700，包括上面所述的基于安全风险的聚类装置710。

其中，在一种可能的实施方式中，所述电子设备700可以为一用户设备，可选的，可以为一移动用户设备。在另一种可能的实施方式中，所述电子设备700还可以为一服务器，可选地，例如为应用分发平台的服务器。

图8为本申请实施例提供的又一种基于安全风险的聚类装置800的结构示意图，本申请具体实施例并不对基于安全风险的聚类装置800的具体实现做限定。如图8所示，该基于安全风险的聚类装置800可以包括：

处理器(processor)810、通信接口(Communications Interface)820、存储器(memory)830、以及通信总线840。其中：

处理器810、通信接口820、以及存储器830通过通信总线840完成相互间的通信。

通信接口820，用于与比如客户端等的网元通信。

处理器810，用于执行程序832，具体可以执行上述方法实施例中的相关步骤。

具体地，程序832可以包括程序代码，所述程序代码包括计算机操作指令。

处理器810可能是一个中央处理器CPU，或者是特定集成电路ASIC(Application Specific Integrated Circuit)，或者是被配置成实施本申请实施例的一个或多个集成电路。

存储器830，用于存放程序832。存储器830可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。程序832具体可以用于使得所述基于安全风险的聚类装置800执行以下步骤：

确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

确定所述多个申请关系中每个申请关系的权值；

根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

程序832中各步骤的具体实现可以参见上述实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及方法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上实施方式仅用于说明本申请，而并非对本申请的限制，有关技术领域的普通技术人员，在不脱离本申请的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本申请的范畴，本申请的专利保护范围应由权利要求限定。

Claims (23)

1.一种基于安全风险的聚类方法，其特征在于，包括：

确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

确定所述多个申请关系中每个申请关系的权值；

根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

2.如权利要求1所述的方法，其特征在于，根据所述每个申请关系对应的所述应用程序申请所述权限的概率确定所述每个申请关系的权值。

3.如权利要求1所述的方法，其特征在于，根据所述每个申请关系对应的所述应用程序所属的一应用分类中所有应用程序的权限申请历史数据确定对应的所述权值。

4.如权利要求3所述的方法，其特征在于，根据所述应用分类中所述所有应用程序申请所述权限的频率与所述所有应用程序分别申请所述多个权限的多个频率之和的比值得到所述权值。

5.如权利要求1所述的方法，其特征在于，根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类包括：

获取与所述多个应用程序一一对应的多个应用权值向量；

根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类；

其中，所述多个应用权值向量中的每个应用权值向量中包含与所述多个权限一一对应的多个元素，对于每个应用权值向量：

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间有申请关系，所述应用权值向量中与所述权限对应的元素为所述申请关系的权值；

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间没有申请关系，所述应用权值向量中与所述权限对应的元素为0。

6.如权利要求5所述的方法，其特征在于，所述根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类包括：

根据所述多个应用程序中两个应用程序分别对应的应用权值向量的相似度来对所述多个应用程序进行应用安全风险聚类。

7.如权利要求5所述的方法，其特征在于，所述根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类包括：

通过基于距离的聚类算法对所述多个应用权值向量进行聚类，进而确定所述多个应用程序的应用安全风险聚类。

8.如权利要求1所述的方法，其特征在于，所述方法还包括：根据所述每个申请关系的所述权值对所述多个权限进行权限安全风险聚类。

9.如权利要求8所述的方法，其特征在于，所述根据所述每个申请关系的所述权值对所述多个权限进行权限安全风险聚类包括：

获取与所述多个权限一一对应的多个权限权值向量；

根据所述多个权限权值向量对所述多个应用程序进行权限安全风险聚类；

其中，所述多个权限权值向量中的每个权限权值向量中包含与所述多个应用程序一一对应的多个元素，对于每个权限权值向量：

对应于与所述权限权值向量对应的权限与所述多个应用程序中的一应用程序之间有申请关系，所述权限权值向量中与所述应用程序对应的元素为所述申请关系的权值；

对应于与所述权限权值向量对应的权值与所述多个应用程序中的一应用程序之间没有申请关系，所述权限权值向量中与所述应用程序对应的元素为0。

10.如权利要求9所述的方法，其特征在于，所述根据所述多个权限权值向量对所述多个权限进行应用安全风险聚类包括：

根据所述多个权限中两个权限分别对应的权限权值向量的相似度来对所述多个权限进行权限安全风险聚类。

11.如权利要求9所述的方法，其特征在于，所述根据所述多个权限权值向量对所述多个权限进行权限安全风险聚类包括：

通过基于距离的聚类算法对所述多个权限权值向量进行聚类，进而确定所述多个权限的权限安全风险聚类。

12.一种基于安全风险的聚类装置，其特征在于，包括：

申请关系确定模块，用于确定多个应用程序与多个权限之间的多个申请关系；其中，所述多个申请关系中的每个申请关系对应于所述多个应用程序中的一应用程序申请所述多个权限中的一权限；

权值确定模块，用于确定所述多个申请关系中每个申请关系的权值；

应用聚类模块，用于根据所述每个申请关系的所述权值对所述多个应用程序进行应用安全风险聚类。

13.如权利要求12所述的装置，其特征在于，所述权值确定模块包括：

权值确定子模块，用于根据所述每个申请关系对应的所述应用程序申请所述权限的概率确定所述每个申请关系的权值。

14.如权利要求13所述的装置，其特征在于，所述权值确定子模块包括：

权值确定单元，用于根据所述每个申请关系对应的所述应用程序所属的一应用分类中所有应用程序的权限申请历史数据确定对应的所述权值。

15.如权利要求14所述的装置，其特征在于，所述权值确定单元包括：

权值确定子单元，用于根据所述应用分类中所述所有应用程序申请所述权限的频率与所述所有应用程序分别申请所述多个权限的多个频率之和的比值得到所述权值。

16.如权利要求12所述的装置，其特征在于，所述应用聚类模块包括：

应用权值向量获取子模块，用于获取与所述多个应用程序一一对应的多个应用权值向量；

应用聚类子模块，用于根据所述多个应用权值向量对所述多个应用程序进行应用安全风险聚类；

其中，所述多个应用权值向量中的每个应用权值向量中包含与所述多个权限一一对应的多个元素，对于每个应用权值向量：

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间有申请关系，所述应用权值向量中与所述权限对应的元素为所述申请关系的权值；

对应于与所述应用权值向量对应的应用程序与所述多个权限中的一权限之间没有申请关系，所述应用权值向量中与所述权限对应的元素为0。

17.如权利要求16所述的装置，其特征在于，所述应用聚类子模块包括：

第一应用聚类单元，用于根据所述多个应用程序中两个应用程序分别对应的应用权值向量的相似度来对所述多个应用程序进行应用安全风险聚类。

18.如权利要求16所述的方法，其特征在于，所述应用聚类子模块包括：

第二应用聚类单元，用于通过基于距离的聚类算法对所述多个应用权值向量进行聚类，进而确定所述多个应用程序的应用安全风险聚类。

19.如权利要求12所述的装置，其特征在于，所述装置还包括：权限聚类模块，用于根据所述每个申请关系的所述权值对所述多个权限进行权限安全风险聚类。

20.如权利要求19所述的装置，其特征在于，所述权限聚类模块包括：

权限权值向量获取子模块，用于获取与所述多个权限一一对应的多个权限权值向量；

权限聚类子模块，用于根据所述多个权限权值向量对所述多个应用程序进行权限安全风险聚类；

其中，所述多个权限权值向量中的每个权限权值向量中包含与所述多个应用程序一一对应的多个元素；对于每个权限权值向量：

对应于与所述权限权值向量对应的权限与所述多个应用程序中的一应用程序之间有申请关系，所述权限权值向量中与所述应用程序对应的元素为所述申请关系的权值；

对应于与所述权限权值向量对应的权值与所述多个应用程序中的一应用程序之间没有申请关系，所述权限权值向量中与所述应用程序对应的元素为0。

21.如权利要求20所述的方法，其特征在于，所述权限聚类子模块包括：

第一权限聚类单元，用于根据所述多个权限中两个权限分别对应的权限权值向量的相似度来对所述多个权限进行权限安全风险聚类。

22.如权利要求20所述的方法，其特征在于，所述权限聚类子模块包括：

第二权限聚类单元，用于通过基于距离的聚类算法对所述多个权限权值向量进行聚类，进而确定所述多个权限的权限安全风险聚类。

23.一种电子设备，其特征在于，包括权利要求12-22中任一项所述的基于安全风险的聚类装置。