CN107743108A - 一种介质访问控制地址识别方法及装置 - Google Patents

Abstract

本发明实施例公开了一种介质访问控制MAC地址识别方法及装置，MAC地址识别方法包括：接收用户发送的操作请求；提取所述操作请求中包含的MAC地址及对应的行为特征信息；根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；判断所述MAC地址的行为特征得分是否低于预设分数阈值；若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。本发明实施例能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

Description

一种介质访问控制地址识别方法及装置

技术领域

本发明实施例涉及通信技术领域，具体涉及一种介质访问控制地址识别方法及装置。

背景技术

介质访问控制(Media Access Control，MAC)地址，或称为物理地址、硬件地址，MAC地址用于在网络中唯一标识一个网卡，每个网卡都需要有一个唯一的MAC地址。然而，MAC地址并不是不可修改的，修改MAC地址有两种方法：一种是硬件修改，即通过网卡生产厂家提供的修改程序更改存储器里的地址；另一种是软件修改，在Windows中，网卡的MAC地址保存在注册表中，实际使用也是从注册表中提取的，所以只要修改注册表就可以改变MAC地址。由于MAC地址的软件修改方式比较便捷，软件修改方式也就成为恶意人士伪造MAC地址的主要手段。

如果MAC地址被恶意人士伪造并使用，将会给合法用户造成一定的困扰及经济损失，例如在改密、申诉等各类安全场景中，MAC地址经常用于常用环境的判断，恶意人士通常会通过伪造MAC地址来隐藏个人信息，甚至会通过伪造合法用户的MAC地址来绕过常用环境策略，盗取合法用户的账号等信息，给合法用户造成一定的经济损失。

发明内容

有鉴于此，本发明实施例提供了一种介质访问控制地址识别方法及装置，能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

本发明实施例提供的介质访问控制MAC地址识别方法，包括：

接收用户发送的操作请求；

提取所述操作请求中包含的MAC地址及对应的行为特征信息；

根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

判断所述MAC地址的行为特征得分是否低于预设分数阈值；

若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。

本发明实施例提供的视频处理装置介质访问控制MAC地址识别装置，包括：

接收单元，用于接收用户发送的操作请求；

提取单元，用于提取所述操作请求中包含的MAC地址及对应的行为特征信息；

确定单元，用于根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

判断单元，用于判断所述MAC地址的行为特征得分是否低于预设分数阈值；

识别单元，用于在所述MAC地址的行为特征得分低于预设分数阈值时，识别所述MAC地址为假。

本发明实施例中，在接收到用户发送的操作请求之后，会提取所述操作请求中包含的MAC地址及对应的行为特征信息，根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分，然后判断所述MAC地址的行为特征得分是否低于预设分数阈值，若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。即本发明实施例中，通过提取操作请求中的行为特征信息，根据提取的行为特征信息及预设的行为特征库来确定用户所使用的MAC地址的行为特征得分，通过对该MAC地址的行为特征得分的判断来确定该MAC地址是否伪造，因而能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例所提供的MAC地址识别方法的一个场景示意图；

图2是本发明实施例所提供的MAC地址识别方法的一个流程示意图；

图3是本发明实施例所提供的MAC地址识别方法的另一流程示意图；

图4是本发明实施例所提供的MAC地址识别装置的一个结构示意图；

图5是本发明实施例所提供的MAC地址识别装置的另一结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

MAC地址用于在网络中唯一标识一个网卡，即唯一标识使用该网卡的设备。每个设备通常会有固定的使用者和使用模式，当恶意人士伪造MAC地址时，其所使用的设备将并非真实的MAC地址对应的设备，所以其行为特征会与真实MAC地址对应设备的行为特征不同，因此，本发明实施例提出一种基于行为特征识别MAC地址真伪的方法，能够准确识别出伪造的MAC地址。

如图1所示，图1为本发明MAC地址识别方法一个具体场景图，本发明实施例提供的MAC地址识别方法可以应用于MAC地址识别装置中，MAC地址识别装置可以为个人计算机(personal computer，PC)、笔记本电脑、平板电脑等终端。具体处理方法包括：MAC地址识别装置接收用户发送的操作请求，操作请求例如改密，申诉等，MAC地址识别装置提取所述操作请求中包含的MAC地址及对应的行为特征信息，行为特征信息例如登陆的账号，业务，具体的操作等；根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；判断所述MAC地址的行为特征得分是否低于预设分数阈值；若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假，识别出假的MAC地址之后，可以拒绝执行用户发送的操作请求，从而保证合法用户的财产安全。

以下分别进行详细说明，需说明的是，以下实施例的序号不作为对实施例优选顺序的限定。

实施例一

如图2所示，本实施例的MAC地址识别方法包括以下步骤：

步骤201、接收用户发送的操作请求；

具体实现中，例如当用户需要对某个业务进行账号安全(例如改密、申诉)或财产安全(例如点播、充值)等相关操作时，可以发送操作请求，MAC地址识别装置接收用户发送的操作请求。

步骤202、提取所述操作请求中包含的MAC地址及对应的行为特征信息；

操作请求中包含用户当前使用的MAC地址，该MAC地址可能是真实的，也可能是伪造的，后续将对用户当前使用的MAC地址的真伪进行识别。行为特征信息中可以包括一个或多个行为特征，这些行为特征可以包括但不限于用户使用的账号、请求的业务、请求的操作、IPC、城市等。以腾讯业务为例，业务可以是QQ、微信、腾讯视频、腾讯游戏等，账号可以是QQ、微信、腾讯视频、腾讯游戏的账号，请求的操作可以是登陆、充值、改密、申诉、点播等等。

步骤203、根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

行为特征库可以预先建立，具体的建立方法可如下：

(1)定时收集操作记录；

仍以腾讯业务为例，可以收集腾讯业务下各个用户每周或每月的操作记录，操作记录中包括该用户所使用的MAC地址及对应的行为特征信息。

(2)提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征；

行为特征信息中可以包括一个或多个行为特征，具体地，行为特征例如用户使用的账号、业务、操作、IPC、城市等。

(3)根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；

每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。

以单个行为特征为账号a为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有5条操作记录记录的是账号a，则MAC地址的单个行为特征得分P(账号＝a|MAC地址＝f)＝5/10＝0.5，即在预设时长内地址f上登陆账号a的概率为0.5。以单个行为特征为IPC1.1.1为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有8条操作记录记录的是IPC1.1.1，则MAC地址的单个行为特征得分P(IPC＝1.1.1|MAC地址＝f)＝8/10＝0.8，即在预设时长内地址f上使用IPC1.1.1的概率为0.8。

以组合行为特征为账号a、业务b、操作c、IPCd、城市e为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中组合行为特征账号a、业务b、操作c、IPCd、城市e出现的次数为2，则MAC地址的组合行为特征得分P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2，即在预设时长内地址f上出现该组合行为特征的概率为0.2。

(4)根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库。

所建立的行为特征库中可以包括每个MAC地址对应的单个行为特征及单个行为特征得分，一个MAC地址可以对应多个单个行为特征；以及包括每个MAC地址对应的组合行为特征及组合行为特征得分，一个MAC地址可以对应多个组合行为特征，此处不做具体限定。

具体确定用户当前使用的MAC地址的行为特征得分的方法可如下：

先判断用户当前的操作请求内行为特征信息中包含的各个行为特征是否属于行为特征库中的组合行为特征，当上述行为特征信息中包含的各个行为特征与行为特征库中的某个组合行为特征中包含的各个行为特征相同时，认为上述行为特征信息中包含的各个行为特征属于行为特征库中的组合行为特征，否则，判断为不属于。

若上述行为特征信息中包含的各个行为特征属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分。例如，上述行为特征信息中包含的各个行为特征分别为账号a、业务b、操作c、IPCd、城市e，属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为该组合行为特征对应的MAC地址的组合行为特征得分，即P＝P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2。

若所述行为特征信息中包含的各个行为特征不属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。例如，上述行为特征信息中包含的各个行为特征分别为账号x、业务p、操作q、IPCm、城市n，不属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为上述各个行为特征得分对应的MAC地址的单个行为特征得分的乘积，即P＝P(账号＝x|MAC地址＝f)*P(业务＝p|MAC地址＝f)*P(操作＝q|MAC地址＝f)*P(IPC＝m|MAC地址＝f)*P(城市＝n|MAC地址＝f)。

步骤204、判断所述MAC地址的行为特征得分是否低于预设分数阈值，若低于，则执行步骤205，否则，结束处理；

预设分数阈值可根据实际需要自定义，在这个步骤中，将判断用户当前所使用的MAC地址的行为特征得分是否低于预设分数阈值，若低于，则说明用户当前所使用的MAC地址为假，当前用户可能不是合法用户。

举例来说，合法用户的PC网卡对应的MAC地址为00:0A:02:0B:03:0C，这上面经常登陆的账号为740589825，常登陆业务为腾讯视频，常用操作为登陆、点播、充值等，常用IPC为1.1.1，常登陆城市为深圳。若恶意人士假冒合法用户的MAC地址来隐藏自身信息，则恶意人士登陆的账号应该不是合法用户的账号，判断为MAC地址造假；若恶意人士假冒合法用户的MAC地址来盗取合法用户的账号，这时恶意人士使用的账号虽然为合法用户的账号，但是登陆的IPC应该与合法用户常用的IPC不同，判断为MAC地址造假。

步骤205、识别所述MAC地址为假。

识别出用户当前所使用的MAC地址为假之后，可以采取相应的保护措施，例如拒绝当前用户的操作请求等，以保护合法用户的财产安全。

本实施例中，建立行为特征库的过程相当于预先为每个MAC地址建立了正常行为特征画像，当用户使用某个MAC地址发出操作请求之后，会为该用户当前使用的MAC地址建立行为特征画像，通过将所建立的行为特征画像与正常行为特征画像进行比对即可判断出该用户当前使用的MAC地址是否为伪造。

本实施例中，通过提取操作请求中的行为特征信息，根据提取的行为特征信息及预设的行为特征库来确定用户所使用的MAC地址的行为特征得分，通过对该MAC地址的行为特征得分的判断来确定该MAC地址是否伪造，因而能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

实施例二

实施例一所描述的方法，本实施例将举例作进一步详细说明，如图3所示，本实施例的方法包括：

步骤301、定时收集操作记录；

以腾讯业务为例，可以收集腾讯业务下各个用户每周或每月的操作记录，操作记录中包括该用户所使用的MAC地址及对应的行为特征信息。

步骤302、提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征；

行为特征信息中可以包括一个或多个行为特征，具体地，行为特征例如用户使用的账号、业务、操作、IPC、城市等。以腾讯业务为例，业务可以是QQ、微信、腾讯视频、腾讯游戏等，账号可以是QQ、微信、腾讯视频、腾讯游戏的账号，请求的操作可以是登陆、充值、改密、申诉、点播等等。

步骤303、根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；

每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。

以单个行为特征为账号a为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有5条操作记录记录的是账号a，则MAC地址的单个行为特征得分P(账号＝a|MAC地址＝f)＝5/10＝0.5，即在预设时长内地址f上登陆账号a的概率为0.5。以单个行为特征为IPC1.1.1为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有8条操作记录记录的是IPC1.1.1，则MAC地址的单个行为特征得分P(IPC＝1.1.1|MAC地址＝f)＝8/10＝0.8，即在预设时长内地址f上使用IPC1.1.1的概率为0.8。

以组合行为特征为账号a、业务b、操作c、IPCd、城市e为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中组合行为特征账号a、业务b、操作c、IPCd、城市e出现的次数为2，则MAC地址的组合行为特征得分P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2，即在预设时长内地址f上出现该组合行为特征的概率为0.2。

步骤304、根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库；

所建立的行为特征库中可以包括每个MAC地址对应的单个行为特征及单个行为特征得分，一个MAC地址可以对应多个单个行为特征；以及包括每个MAC地址对应的组合行为特征及组合行为特征得分，一个MAC地址可以对应多个组合行为特征，此处不做具体限定。

步骤305、接收用户发送的操作请求；

例如当用户需要对某个业务进行账号安全(例如改密、申诉)或财产安全(例如点播、充值)等相关操作时，可以发送操作请求，MAC地址识别装置接收用户发送的操作请求。

步骤306、提取所述操作请求中包含的MAC地址及对应的行为特征信息；

步骤307、判断所述行为特征信息中包含的各个行为特征是否属于所述组合行为特征，若属于，则执行步骤308，否则执行步骤309；

具体地，当上述行为特征信息中包含的各个行为特征与行为特征库中的某个组合行为特征中包含的各个行为特征相同时，认为上述行为特征信息中包含的各个行为特征属于行为特征库中的组合行为特征，否则，判断为不属于。

步骤308、确定所述MAC地址的行为特征得分为行为特征库中所述组合行为特征对应的MAC地址的组合行为特征得分；

若上述行为特征信息中包含的各个行为特征属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分。例如，上述行为特征信息中包含的各个行为特征分别为账号a、业务b、操作c、IPCd、城市e，属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为该组合行为特征对应的MAC地址的组合行为特征得分，即P＝P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2。

步骤309、确定所述MAC地址的行为特征得分为行为特征库中所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积；

若所述行为特征信息中包含的各个行为特征不属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。例如，上述行为特征信息中包含的各个行为特征分别为账号x、业务p、操作q、IPCm、城市n，不属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为上述各个行为特征得分对应的MAC地址的单个行为特征得分的乘积，即P＝P(账号＝x|MAC地址＝f)*P(业务＝p|MAC地址＝f)*P(操作＝q|MAC地址＝f)*P(IPC＝m|MAC地址＝f)*P(城市＝n|MAC地址＝f)。

步骤310、判断所述MAC地址的行为特征得分是否低于预设分数阈值，若低于，则执行步骤311，否则，结束处理；

预设分数阈值可根据实际需要自定义，在这个步骤中，将判断用户当前所使用的MAC地址的行为特征得分是否低于预设分数阈值，若低于，则说明用户当前所使用的MAC地址为假，当前用户可能不是合法用户。

举例来说，合法用户的PC网卡对应的MAC地址为00:0A:02:0B:03:0C，这上面经常登陆的账号为740589825，常登陆业务为腾讯视频，常用操作为登陆、点播、充值等，常用IPC为1.1.1，常登陆城市为深圳。若恶意人士假冒合法用户的MAC地址来隐藏自身信息，则恶意人士登陆的账号应该不是合法用户的账号，判断为MAC地址造假；若恶意人士假冒合法用户的MAC地址来盗取合法用户的账号，这时恶意人士使用的账号虽然为合法用户的账号，但是登陆的IPC应该与合法用户常用的IPC不同，判断为MAC地址造假。

步骤311、识别所述MAC地址为假；

步骤312、拒绝执行所述用户发送的操作请求。

本实施例中，通过提取操作请求中的行为特征信息，根据提取的行为特征信息及预设的行为特征库来确定用户所使用的MAC地址的行为特征得分，通过对该MAC地址的行为特征得分的判断来确定该MAC地址是否伪造，因而能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

实施例三

为了更好地实施以上方法，本发明实施例还提供一种MAC地址识别装置，如图4所示，本实施例的MAC地址识别装置包括接收单元401、提取单元402、确定单元403、判断单元404及识别单元405，如下：

(1)接收单元401；

接收单元401，用于接收用户发送的操作请求；

例如当用户需要对某个业务进行账号安全(例如改密、申诉)或财产安全(例如点播、充值)等相关操作时，可以发送操作请求，接收单元401接收用户发送的操作请求。

(2)提取单元402；

提取单元402，用于提取所述操作请求中包含的MAC地址及对应的行为特征信息；

操作请求中包含用户当前使用的MAC地址，该MAC地址可能是真实的，也可能是伪造的，后续将对用户当前使用的MAC地址的真伪进行识别。行为特征信息中可以包括一个或多个行为特征，这些行为特征可以包括但不限于用户使用的账号、请求的业务、请求的操作、IPC、城市等。以腾讯业务为例，业务可以是QQ、微信、腾讯视频、腾讯游戏等，账号可以是QQ、微信、腾讯视频、腾讯游戏的账号，请求的操作可以是登陆、充值、改密、申诉、点播等等。

(3)确定单元403；

确定单元403，用于根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

具体地，本实施例的装置还可以包括收集单元、统计单元、计算单元及建立单元，以建立行为特征库，如下：

收集单元，用于定时收集操作记录。

统计单元，用于提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征。行为特征信息中可以包括一个或多个行为特征，具体地，行为特征例如用户使用的账号、业务、操作、IPC、城市等。

计算单元，用于根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。以单个行为特征为账号a为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有5条操作记录记录的是账号a，则MAC地址的单个行为特征得分P(账号＝a|MAC地址＝f)＝5/10＝0.5，即在预设时长内地址f上登陆账号a的概率为0.5。以单个行为特征为IPC1.1.1为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中有8条操作记录记录的是IPC1.1.1，则MAC地址的单个行为特征得分P(IPC＝1.1.1|MAC地址＝f)＝8/10＝0.8，即在预设时长内地址f上使用IPC1.1.1的概率为0.8。

以组合行为特征为账号a、业务b、操作c、IPCd、城市e为例，如果在预设时长内收集了10条关于MAC地址f的操作记录，其中组合行为特征账号a、业务b、操作c、IPCd、城市e出现的次数为2，则MAC地址的组合行为特征得分P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2，即在预设时长内地址f上出现该组合行为特征的概率为0.2。

建立单元，用于根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库。所建立的行为特征库中可以包括每个MAC地址对应的单个行为特征及单个行为特征得分，一个MAC地址可以对应多个单个行为特征；以及包括每个MAC地址对应的组合行为特征及组合行为特征得分，一个MAC地址可以对应多个组合行为特征，此处不做具体限定。

确定单元403具体包括判断子单元及确定子单元，按照如下方式确定所述MAC地址的行为特征得分：

判断子单元用于，判断所述行为特征信息中包含的各个行为特征是否属于所述组合行为特征；当上述行为特征信息中包含的各个行为特征与行为特征库中的某个组合行为特征中包含的各个行为特征相同时，认为上述行为特征信息中包含的各个行为特征属于行为特征库中的组合行为特征，否则，判断为不属于；

确定子单元用于，在所述行为特征信息中包含的各个行为特征属于所述组合行为特征时，确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分；在所述行为特征信息中包含的各个行为特征不属于所述组合行为特征时，确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。例如，上述行为特征信息中包含的各个行为特征分别为账号a、业务b、操作c、IPCd、城市e，属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为该组合行为特征对应的MAC地址的组合行为特征得分，即P＝P(账号＝a，业务属性＝b，操作信息＝c，IPC＝d，城市＝e|MAC地址＝f)＝2/10＝0.2。例如，上述行为特征信息中包含的各个行为特征分别为账号x、业务p、操作q、IPCm、城市n，不属于行为特征库中的组合行为特征，则用户当前使用的MAC地址的行为特征得分为上述各个行为特征得分对应的MAC地址的单个行为特征得分的乘积，即P＝P(账号＝x|MAC地址＝f)*P(业务＝p|MAC地址＝f)*P(操作＝q|MAC地址＝f)*P(IPC＝m|MAC地址＝f)*P(城市＝n|MAC地址＝f)。

(4)判断单元404；

判断单元404，用于判断所述MAC地址的行为特征得分是否低于预设分数阈值；

预设分数阈值可根据实际需要自定义，判断单元404将判断用户当前所使用的MAC地址的行为特征得分是否低于预设分数阈值，若低于，则说明用户当前所使用的MAC地址为假，当前用户可能不是合法用户。

(5)识别单元405；

识别单元405，用于在所述MAC地址的行为特征得分低于预设分数阈值时，识别所述MAC地址为假。

本实施例的装置还可以包括执行单元，执行单元用于在识别单元405识别出所述MAC地址为假之后，拒绝执行所述用户发送的操作请求。

需要说明的是，上述实施例提供的MAC地址识别装置在识别MAC地址时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的MAC地址识别装置与MAC地址识别方法属于同一构思，其具体实现过程详见方法实施例，此处不再赘述。

本实施例中，在接收单元接收用户发送的操作请求之后，提取单元会提取所述操作请求中包含的MAC地址及对应的行为特征信息，确定单元根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分，然后判断单元判断所述MAC地址的行为特征得分是否低于预设分数阈值，若所述MAC地址的行为特征得分低于预设分数阈值，则识别单元识别所述MAC地址为假。即本实施例中，通过提取操作请求中的行为特征信息，根据提取的行为特征信息及预设的行为特征库来确定用户所使用的MAC地址的行为特征得分，通过对该MAC地址的行为特征得分的判断来确定该MAC地址是否伪造，因而能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

实施例四

本发明实施例的MAC地址识别装置另一结构如图5所示，装置500包括可以包括RF(Radio Frequency，射频)电路510、包括有一个或一个以上计算机可读存储介质的存储器520、输入单元530、显示单元540、传感器550、音频电路560、WiFi(wireless fidelity，无线保真)模块570、包括有一个或者一个以上处理核心的处理器580、以及电源590等部件。

本领域技术人员可以理解，图5中示出的MAC地址识别装置结构并不构成对装置的限定，实际中可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

RF电路510可用于收发消息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，交由一个或者一个以上处理器580处理；另外，将涉及上行的数据发送给基站。通常，RF电路510包括但不限于天线、至少一个放大器、调谐器、一个或多个振荡器、用户身份模块(SIM)卡、收发信机、耦合器、LNA(Low Noise Amplifier，低噪声放大器)、双工器等。此外，RF电路510还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobile communication，全球移动通讯系统)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA(CodeDivision Multiple Access，码分多址)、WCDMA(Wideband Code Division MultipleAccess,宽带码分多址)、LTE(Long Term Evolution,长期演进)、电子邮件、SMS(ShortMessaging Service，短消息服务)等。

存储器520可用于存储软件程序以及模块，处理器580通过运行存储在存储器520的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器520可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据装置500的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器520可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器520还可以包括存储器控制器，以提供处理器580和输入单元530对存储器520的访问。

输入单元530可用于接收输入的数字或字符信息，以及产生与用户设置以及功能控制有关的键盘、鼠标、操作杆、光学或者轨迹球信号输入。具体地，输入单元530可包括触敏表面531以及其他输入设备532。触敏表面531，也称为触摸显示屏或者触控板，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触敏表面531上或在触敏表面331附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触敏表面531可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器580，并能接收处理器580发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触敏表面531。除了触敏表面531，输入单元530还可以包括其他输入设备532。具体地，其他输入设备532可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元540可用于显示由用户输入的信息或提供给用户的信息以及装置500的各种图形用户接口，这些图形用户接口可以由图形、文本、图标、视频和其任意组合来构成。显示单元540可包括显示面板541，可选的，可以采用LCD(Liquid Crystal Display，液晶显示器)、OLED(Organic Light-Emitting Diode,有机发光二极管)等形式来配置显示面板541。进一步的，触敏表面531可覆盖显示面板541，当触敏表面531检测到在其上或附近的触摸操作后，传送给处理器580以确定触摸事件的类型，随后处理器580根据触摸事件的类型在显示面板541上提供相应的视觉输出。虽然在图5中，触敏表面531与显示面板541是作为两个独立的部件来实现输入和输入功能，但是在某些实施例中，可以将触敏表面531与显示面板541集成而实现输入和输出功能。

装置500还可包括至少一种传感器550，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板541的亮度，接近传感器可在装置500移动到耳边时，关闭显示面板541和/或背光。作为运动传感器的一种，重力加速度传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别装置姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于装置500还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路560、扬声器561，传声器562可提供用户与装置500之间的音频接口。音频电路560可将接收到的音频数据转换后的电信号，传输到扬声器561，由扬声器561转换为声音信号输出；另一方面，传声器562将收集的声音信号转换为电信号，由音频电路560接收后转换为音频数据，再将音频数据输出处理器580处理后，经RF电路510以发送给比如另一终端，或者将音频数据输出至存储器520以便进一步处理。音频电路560还可能包括耳塞插孔，以提供外设耳机与装置500的通信。

WiFi属于短距离无线传输技术，装置500通过WiFi模块570可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图5示出了WiFi模块570，但是可以理解的是，其并不属于装置500的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器580是装置500的控制中心，利用各种接口和线路连接整个计算机设备的各个部分，通过运行或执行存储在存储器520内的软件程序和/或模块，以及调用存储在存储器520内的数据，执行装置500的各种功能和处理数据，从而对计算机设备进行整体监控。可选的，处理器580可包括一个或多个处理核心；优选的，处理器580可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器580中。

装置500还包括给各个部件供电的电源590(比如电池)，优选的，电源可以通过电源管理系统与处理器580逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。电源590还可以包括一个或一个以上的直流或交流电源、再充电系统、电源故障检测电路、电源转换器或者逆变器、电源状态指示器等任意组件。

尽管未示出，装置500还可以包括摄像头、蓝牙模块等，在此不再赘述。

具体在本发明的一些实施例中，装置中的处理器501会按照如下的指令，将一个或一个以上的应用程序的进程对应的可执行文件加载到存储器502中，并由处理器501来运行存储在存储器502中的应用程序，从而实现各种功能，如下：

接收用户发送的操作请求；

提取所述操作请求中包含的MAC地址及对应的行为特征信息；

根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

判断所述MAC地址的行为特征得分是否低于预设分数阈值；

若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。

可选地，在接收用户发送的操作请求之前，该处理器501还可以用于执行如下操作：

定时收集操作记录；

提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征；

根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；

根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库。

可选地，每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。

可选地，该处理器501按照如下方式确定所述MAC地址的行为特征得分：

判断所述行为特征信息中包含的各个行为特征是否属于所述组合行为特征；

若所述行为特征信息中包含的各个行为特征属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分；

若所述行为特征信息中包含的各个行为特征不属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。

可选地，该处理器501还用于，在识别所述MAC地址为假之后，拒绝执行所述用户发送的操作请求。

本实施例中，在接收到用户发送的操作请求之后，会提取所述操作请求中包含的MAC地址及对应的行为特征信息，根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分，然后判断所述MAC地址的行为特征得分是否低于预设分数阈值，若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。即本发明实施例中，通过提取操作请求中的行为特征信息，根据提取的行为特征信息及预设的行为特征库来确定用户所使用的MAC地址的行为特征得分，通过对该MAC地址的行为特征得分的判断来确定该MAC地址是否伪造，因而能够准确识别出假的MAC地址，为打击恶意人士的恶意行为提供可靠依据，保护合法用户的财产安全。

另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，单元之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本发明而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上对本发明实施例所提供的一种MAC地址识别方法及装置进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式及应用范围上均会有改变之处，因此，本说明书内容不应理解为对本发明的限制。

Claims (12)

1.一种介质访问控制MAC地址识别方法，其特征在于，包括：

接收用户发送的操作请求；

提取所述操作请求中包含的MAC地址及对应的行为特征信息；

根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

判断所述MAC地址的行为特征得分是否低于预设分数阈值；

若所述MAC地址的行为特征得分低于预设分数阈值，则识别所述MAC地址为假。

2.根据权利要求1所述的方法，其特征在于，在接收用户发送的操作请求之前，所述方法还包括：

定时收集操作记录；

提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征；

根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；

根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库。

3.根据权利要求2所述的方法，其特征在于，每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。

4.根据权利要求3所述的方法，其特征在于，所述根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分包括：

判断所述行为特征信息中包含的各个行为特征是否属于所述组合行为特征；

若所述行为特征信息中包含的各个行为特征属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

若所述行为特征信息中包含的各个行为特征不属于所述组合行为特征，则确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。

6.根据权利要求1所述的方法，其特征在于，识别所述MAC地址为假之后，所述方法还包括：

拒绝执行所述用户发送的操作请求。

7.一种介质访问控制MAC地址识别装置，其特征在于，包括：

接收单元，用于接收用户发送的操作请求；

提取单元，用于提取所述操作请求中包含的MAC地址及对应的行为特征信息；

确定单元，用于根据所述行为特征信息及预设的行为特征库确定所述MAC地址的行为特征得分；

判断单元，用于判断所述MAC地址的行为特征得分是否低于预设分数阈值；

识别单元，用于在所述MAC地址的行为特征得分低于预设分数阈值时，识别所述MAC地址为假。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

收集单元，用于定时收集操作记录；

统计单元，用于提取各个操作记录中包含的MAC地址及对应的行为特征信息以统计每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征；

计算单元，用于根据每个MAC地址对应的单个行为特征及每个MAC地址对应的组合行为特征计算每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分；

建立单元，用于根据每个MAC地址的单个行为特征得分及每个MAC地址的组合行为特征得分建立所述行为特征库。

9.根据权利要求8所述的装置，其特征在于，每个MAC地址的单个行为特征得分为在预设时长内所述MAC地址对应的操作记录中单个行为特征出现的概率，每个MAC地址的组合行为特征得分为在预设时长内所述MAC地址对应的操作记录中组合行为特征出现的概率。

10.根据权利要求9所述的装置，其特征在于，所述确定单元包括：

判断子单元，用于判断所述行为特征信息中包含的各个行为特征是否属于所述组合行为特征；

确定子单元，用于在所述行为特征信息中包含的各个行为特征属于所述组合行为特征时，确定所述MAC地址的行为特征得分为所述组合行为特征对应的MAC地址的组合行为特征得分。

11.根据权利要求10所述的装置，其特征在于，

所述确定子单元还用于，在所述行为特征信息中包含的各个行为特征不属于所述组合行为特征时，确定所述MAC地址的行为特征得分为所述行为特征信息中包含的各个单个行为特征对应的MAC地址的单个行为特征得分的乘积。

12.根据权利要求7所述的装置，其特征在于，所述装置还包括：

执行单元，用于在所述识别单元识别所述MAC地址为假之后，拒绝执行所述用户发送的操作请求。