CN104580100B - 一种恶意消息的识别方法及装置、服务器 - Google Patents

Abstract

一种恶意消息的识别方法及装置，该方法包括：识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；若每一维度的各类相同消息特征的聚集度中存在聚集度大于等于该维度对应的聚集阈值，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合；当检测到用户输入的信息源时，若判断用户输入的信息源包括的消息特征属于恶意消息特征集合包括的恶意消息特征，识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息。能够提高恶意消息的识别率。

Description

一种恶意消息的识别方法及装置、服务器

技术领域

本发明涉及互联网技术领域，具体涉及一种恶意消息的识别方法及装置、服务器。

背景技术

众所周知，用户可以通过互联网工具(如论坛)来进行信息源发表(即发帖)，而在实践中发现，用户通过互联网工具发表的信息源中可能会包括用户反复灌水的恶意消息。为了识别这些恶意消息，现有技术中通常会在固定的分析周期内切割信息源，以获得某一维度(如发帖的用户信息、用户IP等)的消息特征，进一步地可以分析这一维度的相同消息特征的聚集度，当聚集度大于等于预设聚集度时，可以识别出消息特征所属消息为恶意消息。然而，仅将某一维度的消息特征作为分析对象而忽略了其他维度的消息特征，会降低恶意消息的识别率。

发明内容

本发明实施例公开了一种恶意消息的识别方法及装置，能够提高恶意消息的识别率。

本发明实施例第一方面公开一种恶意消息的识别方法，包括：

识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；

判断所述每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于所述维度对应的聚集阈值，若存在，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入所述恶意消息特征集合；

当检测到用户输入的信息源时，判断所述用户输入的信息源包括的消息特征是否属于所述恶意消息特征集合包括的恶意消息特征，若属于，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例第二方面公开一种恶意消息的识别装置，包括：

第一识别单元，用于识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；

第一判断单元，用于判断所述每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于所述维度对应的聚集阈值；

第一提取单元，用于在所述第一判断单元的辨别结果为是时，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入所述恶意消息特征集合；

第二判断单元，用于当检测到用户输入的信息源时，判断所述用户输入的信息源包括的消息特征是否属于所述恶意消息特征集合包括的恶意消息特征，

第二识别单元，用于在所述第二判断单元的判断结果为是时，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例第三方面公开一种服务器，所述服务器包括本发明实施例第二方面公开的恶意消息的识别装置。

本发明实施例中，在识别出每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度之后，若判断出每一维度的各类相同消息特征的聚集度中存在聚集度大于等于该维度对应的聚集阈值，则提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合，以及从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合，从而可以提高对恶意消息特征的覆盖度，在此基础上，当判断出用户输入的信息源包括的消息特征属于恶意消息特征集合包括的恶意消息特征时，即可识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，从而可以提高恶意消息的识别率。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例公开的一种恶意消息的识别方法的流程示意图；

图2是本发明实施例公开的一种不同分析周期下训练信息源的各个维度的消息特征的分布示意图；

图3是本发明实施例公开的另一种恶意消息的识别方法的流程示意图；

图4是本发明实施例公开的又一种恶意消息的识别方法的流程示意图；

图5是本发明实施例公开的一种恶意消息的识别装置的结构示意图；

图6是本发明实施例公开的另一种恶意消息的识别装置的结构示意图；

图7是本发明实施例公开的又一种恶意消息的识别装置的结构示意图；

图8是本发明实施例公开的一种服务器的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种恶意消息的识别方法及装置，可以提高对恶意消息特征的覆盖度，从而能够提高恶意消息的识别率。以下分别进行详细说明。

请参阅图1，图1是本发明实施例公开的一种恶意消息的识别方法的流程示意图。其中，图1所示的恶意消息的识别方法可以适用于论坛服务器、社交服务器以及其他具有信息发布功能的服务器、平台，本发明实施例不作限定。如图1所示，该恶意消息的识别方法可以包括以下步骤。

S101、识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度。

本发明实施例中，可以由论坛服务器、社交服务器等服务器来识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度。

本发明实施例中，每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度是指，每一分析周期内训练信息源的每一维度的各类相同消息特征的数目。如图2所示，假设在分析周期A、B、C内，训练信息源包括3个维度，分别是维度α、维度β以及维度σ，在每一维度中小方块均表示消息特征，而且相同颜色的小方块代表一类相同的消息特征，其中，不同维度在同一垂直线上的消息特征属于同一消息。如图2所示，在分析周期A内维度α的白色小方块表示的一类相同消息特征的聚集度为2，黑色小方块表示的另一类相同消息特征的聚集度为3。如图2所示，在分析周期A内维度β的灰色小方块表示的一类相同消息特征的聚集度为2。如图2所示，在分析周期A内维度σ的浅色小方块表示的一类相同消息特征的聚集度为5。

S102、判断每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于该维度对应的聚集阈值，若存在，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合。

本发明实施例中，服务器在识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度之后，可以执行上述步骤S102。

举例来说，在图2中假设维度α对应的聚集阈值为3，那么服务器通过执行上述步骤S102，在分析周期A内可以判断出维度α中的黑色小方块表示的一类相同消息特征的聚集度(即3)大于等于维度α对应的聚集阈值3，因此，服务器可以提取维度α中的黑色小方块表示的相同消息特征加入恶意消息特征集合；以及，服务器可以从维度α中的黑色小方块表示的相同消息特征中每一消息特征所属消息中，提取该消息特征所属消息包括的位于维度β以及维度σ的消息特征加入恶意消息特征集合(其中，维度α、维度β以及维度σ在同一垂直线上的消息特征属于同一消息)，从而可以提高对恶意消息特征的覆盖度。

举例来说，在图2中假设维度β对应的聚集阈值为2，那么服务器通过执行上述步骤S102，在分析周期A内可以判断出维度β中的灰色小方块表示的一类相同消息特征的聚集度(即2)大于等于维度β对应的聚集阈值2，因此，服务器可以提取维度β中的灰色小方块表示的相同消息特征加入恶意消息特征集合；以及，服务器可以从维度β中的灰色小方块表示的相同消息特征中每一消息特征所属消息中，提取该消息特征所属消息包括的位于维度α以及维度σ的消息特征加入恶意消息特征集合(其中，维度α、维度β以及维度σ在同一垂直线上的消息特征属于同一消息)，从而可以提高对恶意消息特征的覆盖度。

举例来说，在图2中假设维度σ对应的聚集阈值为3，那么服务器通过执行上述步骤S102，在分析周期A内可以判断出维度σ中的浅色小方块表示的一类相同消息特征的聚集度(即5)大于等于维度σ对应的聚集阈值3，因此，服务器可以提取维度σ中的浅色小方块表示的相同消息特征加入恶意消息特征集合；以及，服务器可以从维度σ中的浅色小方块表示的相同消息特征中每一消息特征所属消息中，提取该消息特征所属消息包括的位于维度α以及维度σ的消息特征加入恶意消息特征集合(其中，维度α、维度β以及维度σ在同一垂直线上的消息特征属于同一消息)，从而可以提高对恶意消息特征的覆盖度。

S103、当检测到用户输入的信息源时，判断用户输入的信息源包括的消息特征是否属于恶意消息特征集合包括的恶意消息特征，若属于，识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例中，训练信息源的维度可以包括文本内容、图片、音视频、发帖用户信息、发帖用户IP以及被转载者信息中的两个或两个以上。举例来说，当训练信息源的维度为文本内容、图片或音视频时，消息特征可以是文本内容、图片或音视频的链接地址；当训练信息源的维度为发帖用户信息时，消息特征可以是发帖用户的账号信息；当训练信息源的维度为发帖用户IP时，消息特征可以是发帖用户IP。

在图1所描述的方法中，在识别出每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度之后，若判断出每一维度的各类相同消息特征的聚集度中存在聚集度大于等于该维度对应的聚集阈值，则提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合，以及从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合，从而可以提高对恶意消息特征的覆盖度，在此基础上，当判断出用户输入的信息源包括的消息特征属于恶意消息特征集合包括的恶意消息特征时，即可识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，从而可以提高恶意消息的识别率。

请参阅图3，图3是本发明实施例公开的另一种恶意消息的识别方法的流程示意图。其中，图3所示的恶意消息的识别方法可以适用于论坛服务器、社交服务器以及其他具有信息发布功能的服务器、平台，本发明实施例不作限定。如图3所示，该恶意消息的识别方法可以包括以下步骤。

S301、服务器识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度。

本发明实施例中，每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度是指，每一分析周期内训练信息源的每一维度的各类相同消息特征的数目。如图2所示，假设在分析周期A、B、C内，训练信息源包括3个维度，分别是维度α、维度β以及维度σ，在每一维度中小方块均表示消息特征，而且相同颜色的小方块代表一类相同的消息特征，其中，不同维度在同一垂直线上的消息特征属于同一消息。如图2所示，在分析周期A内维度α的白色小方块表示的一类相同消息特征的聚集度为2，黑色小方块表示的另一类相同消息特征的聚集度为3。如图2所示，在分析周期A内维度β的灰色小方块表示的一类相同消息特征的聚集度为2。如图2所示，在分析周期A内维度σ的浅色小方块表示的一类相同消息特征的聚集度为5。

S302、服务器判断每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于该维度对应的聚集阈值，若存在，执行步骤S303；若不存在，结束本流程。

S303、服务器提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合。

举例来说，在图2中假设维度α对应的聚集阈值为3，那么服务器通过执行上述步骤S302，在分析周期A内可以判断出维度α中的黑色小方块表示的一类相同消息特征的聚集度(即3)大于等于维度α对应的聚集阈值3，因此，服务器可以提取维度α中的黑色小方块表示的相同消息特征加入恶意消息特征集合；以及，服务器可以从维度α中的黑色小方块表示的相同消息特征中每一消息特征所属消息中，提取该消息特征所属消息包括的位于维度β以及维度σ的消息特征加入恶意消息特征集合(其中，维度α、维度β以及维度σ在同一垂直线上的消息特征属于同一消息)，从而可以提高对恶意消息特征的覆盖度。

S304、当检测到用户输入的信息源时，服务器判断用户输入的信息源包括的消息特征是否属于恶意消息特征集合包括的恶意消息特征，若属于，执行步骤S305；若不属于，结束本流程。

S305、服务器判断用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，执行步骤S306；如果否，执行步骤S307。

S306、服务器识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，结束本流程。

S307、服务器识别出用户输入的信息源包括的恶意消息特征所属消息为非恶意消息，结束本流程。

本发明实施例中，训练信息源的维度可以包括文本内容、图片、音视频、发帖用户信息、发帖用户IP以及被转载者信息中的两个或两个以上。举例来说，当训练信息源的维度为文本内容、图片或音视频时，消息特征可以是文本内容、图片或音视频的链接地址；当训练信息源的维度为发帖用户信息时，消息特征可以是发帖用户的账号信息；当训练信息源的维度为发帖用户IP时，消息特征可以是发帖用户IP。

在图3所描述的方法中，在识别出每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度之后，若判断出每一维度的各类相同消息特征的聚集度中存在聚集度大于等于该维度对应的聚集阈值，则提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合，以及从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合，从而可以提高对恶意消息特征的覆盖度，在此基础上，当判断出用户输入的信息源包括的消息特征属于恶意消息特征集合包括的恶意消息特征，且用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值大于等于预设阈值时，即可识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，从而可以提高恶意消息的识别率。

请参阅图4，图4是本发明实施例公开的又一种恶意消息的识别方法的流程示意图。其中，图4所示的恶意消息的识别方法可以适用于论坛服务器、社交服务器以及其他具有信息发布功能的服务器、平台，本发明实施例不作限定。如图4所示，该恶意消息的识别方法可以包括以下步骤。

S401、服务器识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度。

本发明实施例中，每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度是指，每一分析周期内训练信息源的每一维度的各类相同消息特征的数目。如图2所示，假设在分析周期A、B、C内，训练信息源包括3个维度，分别是维度α、维度β以及维度σ，在每一维度中小方块均表示消息特征，而且相同颜色的小方块代表一类相同的消息特征，其中，不同维度在同一垂直线上的消息特征属于同一消息。如图2所示，在分析周期A内维度α的白色小方块表示的一类相同消息特征的聚集度为2，黑色小方块表示的另一类相同消息特征的聚集度为3。如图2所示，在分析周期A内维度β的灰色小方块表示的一类相同消息特征的聚集度为2。如图2所示，在分析周期A内维度σ的浅色小方块表示的一类相同消息特征的聚集度为5。

S402、服务器判断每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于该维度对应的聚集阈值，若存在，执行步骤S403；若不存在，结束本流程。

S403、服务器提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合。

举例来说，在图2中假设维度α对应的聚集阈值为3，那么服务器通过执行上述步骤S402，在分析周期A内可以判断出维度α中的黑色小方块表示的一类相同消息特征的聚集度(即3)大于等于维度α对应的聚集阈值3，因此，服务器可以提取维度α中的黑色小方块表示的相同消息特征加入恶意消息特征集合；以及，服务器可以从维度α中的黑色小方块表示的相同消息特征中每一消息特征所属消息中，提取该消息特征所属消息包括的位于维度β以及维度σ的消息特征加入恶意消息特征集合(其中，维度α、维度β以及维度σ在同一垂直线上的消息特征属于同一消息)，从而可以提高对恶意消息特征的覆盖度。

S404、服务器从训练信息源中，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息的用户属性；以及将用户属性加入恶意用户属性集合。

本发明实施例中，用户属性可以包括用户名称、账号、用户IP等，本发明实施例不作限定。

本发明实施例中，将用户属性加入恶意用户属性集合，可以形成长期信用度及短期作恶记录。

S405、当检测到用户输入的信息源时，服务器判断用户输入的信息源包括的消息特征是否属于恶意消息特征集合包括的恶意消息特征，若属于，执行步骤S406；若不属于，结束本流程。

S406、服务器判断用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，执行步骤S407；如果否，执行步骤S409。

S407、服务器判断用户输入的信息源包括的恶意消息特征所属消息的用户属性是否属于恶意用户属性集合包括的恶意用户属性，若属于，执行步骤S408；若不属于，执行步骤S409。

S408、服务器识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，结束本流程。

S409、服务器识别出用户输入的信息源包括的恶意消息特征所属消息为非恶意消息，结束本流程。

本发明实施例中，训练信息源的维度可以包括文本内容、图片、音视频、发帖用户信息、发帖用户IP以及被转载者信息中的两个或两个以上。举例来说，当训练信息源的维度为文本内容、图片或音视频时，消息特征可以是文本内容、图片或音视频的链接地址；当训练信息源的维度为发帖用户信息时，消息特征可以是发帖用户的账号信息；当训练信息源的维度为发帖用户IP时，消息特征可以是发帖用户IP。

在图4所描述的方法中，在识别出每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度之后，若判断出每一维度的各类相同消息特征的聚集度中存在聚集度大于等于该维度对应的聚集阈值，则提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合，以及从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合，从而可以提高对恶意消息特征的覆盖度，在此基础上，还可以从训练信息源中，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息的用户属性；以及将用户属性加入恶意用户属性集合，当判断出用户输入的信息源包括的消息特征属于恶意消息特征集合包括的恶意消息特征，且用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值大于等于预设阈值，且用户输入的信息源包括的恶意消息特征所属消息的用户属性属于恶意用户属性集合包括的恶意用户属性时，即可识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息，从而可以提高恶意消息的识别率。

请参阅图5，图5是本发明实施例公开的一种恶意消息的识别装置的结构示意图。其中，图5所示的恶意消息的识别装置既可以是一种独立装置，也可以是对论坛服务器、社交服务器以及其他具有信息发布功能的服务器、平台所新增的一部分，本发明实施例不作限定。如图5所示，该恶意消息的识别装置可以包括：

第一识别单元501，用于识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；

第一判断单元502，用于判断每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于该维度对应的聚集阈值；

第一提取单元503，用于在第一判断单元502的辨别结果为是时，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入恶意消息特征集合；

第二判断单元504，用于当检测到用户输入的信息源时，判断用户输入的信息源包括的消息特征是否属于恶意消息特征集合包括的恶意消息特征，

第二识别单元505，用于在第二判断单元504的判断结果为是时，识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例中，恶意消息特征集合可以存储在第一提取单元503中。

请一并参阅图6，图6是本发明实施例公开的另一种恶意消息的识别装置的结构示意图。其中，图6所示的恶意消息的识别装置是由图5所示的一种恶意消息的识别装置进行优化得到的，与图5所示的一种恶意消息的识别装置相比较，图6所示的一种恶意消息的识别装置还包括：

第三判断单元506，用于在第二判断单元504的判断结果为是时，判断用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值；

第三识别单元507，用于在第三判断单元506的判断结果为是时，识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例中，在图6所示的恶意消息的识别装置中，可以有管理人员根据实际情况自行决定是启动第二识别单元505，还是启动第三判断单元506和第三识别单元507。例如，当管理人员想进行一步提高恶意消息的识别率时，管理人员可以不启动第二识别单元505，而启动第三判断单元506和第三识别单元507。

请一并参阅图7，图7是本发明实施例公开的另一种恶意消息的识别装置的结构示意图。其中，图7所示的恶意消息的识别装置是由图5所示的一种恶意消息的识别装置进行优化得到的，与图5所示的一种恶意消息的识别装置相比较，图7所示的一种恶意消息的识别装置还包括：

第二提取单元508，用于从训练信息源中，提取聚集度大于等于该维度对应的聚集阈值的相同消息特征中每一消息特征所属消息的用户属性；以及，将用户属性加入恶意用户属性集合。

第四判断单元509，用于在第二判断单元504的判断结果为是时，判断用户输入的信息源包括的恶意消息特征的数量与恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，判断用户输入的信息源包括的恶意消息特征所属消息的用户属性是否属于恶意用户属性集合包括的恶意用户属性；

第四识别单元510，用于在第四判断单元509判断出用户输入的信息源包括的恶意消息特征所属消息的用户属性属于恶意用户属性集合包括的恶意用户属性结果时，识别出用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

本发明实施例中，在图7所示的恶意消息的识别装置中，可以有管理人员根据实际情况自行决定是启动第二识别单元505，还是启动第二提取单元508、第四判断单元509和第四识别单元510。例如，当管理人员想进行一步提高恶意消息的识别率时，管理人员可以不启动第二识别单元505，而启动第二提取单元508、第四判断单元509和第四识别单元510。

本发明实施例中，训练信息源的维度可以包括文本内容、图片、音视频、发帖用户信息、发帖用户IP以及被转载者信息中的两个或两个以上。举例来说，当训练信息源的维度为文本内容、图片或音视频时，消息特征可以是文本内容、图片或音视频的链接地址；当训练信息源的维度为发帖用户信息时，消息特征可以是发帖用户的账号信息；当训练信息源的维度为发帖用户IP时，消息特征可以是发帖用户IP。

本发明实施例公开的恶意消息的识别装置可以提高对恶意消息特征的覆盖度，在此基础上，可以提高恶意消息的识别率。

请参阅图8，图8是本发明实施例公开的一种服务器的结构示意图。其中，图8所示的服务器可以包括恶意消息的识别装置，该恶意消息的识别装置的结构、功能可以和图5～图7中任一个恶意消息的识别装置的结构、功能相同，本发明实施例不作赘述。其中，图8公开的一种服务器可以提高对恶意消息特征的覆盖度，在此基础上，可以提高恶意消息的识别率。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(Random AccessMemory，RAM)、磁盘或光盘等。

以上对本发明实施例公开的一种恶意消息的识别方法及装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (11)

1.一种恶意消息的识别方法，其特征在于，包括：

识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；

判断所述每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于所述维度对应的聚集阈值，若存在，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入所述恶意消息特征集合；

当检测到用户输入的信息源时，判断所述用户输入的信息源包括的消息特征是否属于所述恶意消息特征集合包括的恶意消息特征，若属于，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

2.根据权利要求1所述的方法，其特征在于，若判断所述用户输入的信息源包括的消息特征属于所述恶意消息特征集合包括的恶意消息特征，所述方法还包括：

判断所述用户输入的信息源包括的恶意消息特征的数量与所述恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

从所述训练信息源中，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息的用户属性；以及将所述用户属性加入恶意用户属性集合。

4.根据权利要求3所述的方法，其特征在于，若判断所述用户输入的信息源包括的消息特征属于所述恶意消息特征集合包括的恶意消息特征，所述方法还包括：

判断所述用户输入的信息源包括的恶意消息特征的数量与所述恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，判断所述用户输入的信息源包括的恶意消息特征所属消息的用户属性是否属于所述恶意用户属性集合包括的恶意用户属性，若属于，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

5.根据权利要求1～4任一项所述的方法，其特征在于，所述训练信息源的维度包括文本内容、图片、音视频、发帖用户信息以及被转载者信息中的两个或两个以上。

6.一种恶意消息的识别装置，其特征在于，包括：

第一识别单元，用于识别每一分析周期内训练信息源的每一维度的各类相同消息特征的聚集度；

第一判断单元，用于判断所述每一维度的各类相同消息特征的聚集度中是否存在聚集度大于等于所述维度对应的聚集阈值；

第一提取单元，用于在所述第一判断单元的辨别结果为是时，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征加入恶意消息特征集合；以及，从所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息内，提取该消息特征所属消息包括的位于其他维度的消息特征加入所述恶意消息特征集合；

第二判断单元，用于当检测到用户输入的信息源时，判断所述用户输入的信息源包括的消息特征是否属于所述恶意消息特征集合包括的恶意消息特征，

第二识别单元，用于在所述第二判断单元的判断结果为是时，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第三判断单元，用于在所述第二判断单元的判断结果为是时，判断所述用户输入的信息源包括的恶意消息特征的数量与所述恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值；

第三识别单元，用于在所述第三判断单元的判断结果为是时，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二提取单元，用于从所述训练信息源中，提取所述聚集度大于等于所述维度对应的聚集阈值的相同消息特征中每一消息特征所属消息的用户属性；以及，将所述用户属性加入恶意用户属性集合。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第四判断单元，用于在所述第二判断单元的判断结果为是时，判断所述用户输入的信息源包括的恶意消息特征的数量与所述恶意消息特征集合包括的恶意消息特征的总数量的比值是否大于等于预设阈值，如果是，判断所述用户输入的信息源包括的恶意消息特征所属消息的用户属性是否属于所述恶意用户属性集合包括的恶意用户属性；

第四识别单元，用于在所述第四判断单元判断出所述用户输入的信息源包括的恶意消息特征所属消息的用户属性属于所述恶意用户属性集合包括的恶意用户属性结果时，识别出所述用户输入的信息源包括的恶意消息特征所属消息为恶意消息。

10.根据权利要求6～9任一项所述的装置，其特征在于，所述训练信息源的维度包括文本内容、图片、音视频、发帖用户信息以及被转载者信息中的两个或两个以上。

11.一种服务器，其特征在于，所述服务器包括权利要求6～10任一项所述的恶意消息的识别装置。