CN108229963A

CN108229963A - 用户操作行为的风险识别方法及装置

Info

Publication number: CN108229963A
Application number: CN201611141078.0A
Authority: CN
Inventors: 郑霖
Original assignee: Alibaba Group Holding Ltd
Current assignee: Advanced New Technologies Co Ltd; Advantageous New Technologies Co Ltd
Priority date: 2016-12-12
Filing date: 2016-12-12
Publication date: 2018-06-29
Anticipated expiration: 2036-12-12
Also published as: CN108229963B

Abstract

本申请提供一种用户操作行为的风险识别方法，通过将若干样本用户在执行目标操作行为之前的若干个操作行为，与各样本用户在执行目标操作行为时是否存在安全风险的相关程度，量化为对应于各操作行为的风险特性值，并将风险特性值大于预设阈值的若干操作行为作为关键操作行为，然后进一步量化各关键操作行为对于目标用户和各样本用户的行为权重，并基于得到的行为权重，为目标用户和各样本用户分别构建对应的操作行为向量，最终可以基于目标用户和各样本用户的操作行为向量之间的相似度，来确定目标用户在执行目标操作行为时是否存在安全风险；本申请可以异常操作行为风险识别的准确度，提升风险识别的可解释性。

Description

用户操作行为的风险识别方法及装置

技术领域

本申请涉及计算机应用领域，尤其涉及一种用户操作行为的风险识别方法及装置。

背景技术

随着移动端业务规模的不断扩大，越来越多的用户选择使用移动终端来完成一些具有安全风险的业务操作；例如，用户在移动端的支付操作；

因此，如何对用户操作行为进行风险判断，准确识别出一些具有风险的操作行为，对于提升用户的安全级别，具有很重要的意义；例如，对用户在移动端发起的支付操作，如果能准确识别出该支付操作是否为盗号者发起的，并及时的进行风险控制，则能够充分保证用户的财产安全。

发明内容

本申请提出一种用户操作行为的风险识别方法，应用于服务端，所述服务端包括样本数据库；所述样本数据库中存储了由若干样本用户在执行目标操作行为之前的若干个操作行为构成的行为序列样本，以及对应于各行为序列样本的风险标签；所述风险标签表征各样本用户在执行所述目标操作行为时是否存在安全风险；所述方法包括：

计算所述样本数据库中构成所述行为序列样本的各操作行为，对应于所述风险标签的风险特性值，并将计算出的所述风险特性值大于预设阈值的若干个操作行为确定为关键操作行为；其中，所述风险特性值表征各操作行为与所述风险标签的相关程度；

计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重；

基于各关键操作行为对应于所述目标用户以及所述各样本用户的行为权重，为所述目标用户以及各样本用户分别构建对应的操作行为向量；

分别计算所述目标用户与各样本用户的操作行为向量之间的相似度，并基于所述相似度来确定所述目标用户在执行所述目标操作行为时是否存在安全风险。

本申请还提出一种用户操作行为的风险识别装置，应用于服务端，所述服务端包括样本数据库；所述样本数据库中存储了由若干样本用户在执行目标操作行为之前的若干个操作行为构成的行为序列样本，以及对应于各行为序列样本的风险标签；所述风险标签表征各样本用户在执行所述目标操作行为时是否存在安全风险；所述装置包括：

第一计算模块，计算所述样本数据库中构成所述行为序列样本的各操作行为，对应于所述风险标签的风险特性值，并将计算出的所述风险特性值大于预设阈值的若干个操作行为确定为关键操作行为；其中，所述风险特性值表征各操作行为与所述风险标签的相关程度；

第二计算模块，计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重；

构建模块，基于各关键操作行为对应于所述目标用户以及所述各样本用户的行为权重，为所述目标用户以及各样本用户分别构建对应的操作行为向量；

第三计算模块，分别计算所述目标用户与各样本用户的操作行为向量之间的相似度，并基于所述相似度来确定所述目标用户在执行所述目标操作行为时是否存在安全风险。

本申请中，通过将若干样本用户在执行目标操作行为之前的若干个操作行为，与各样本用户在执行目标操作行为时是否存在安全风险的相关程度，量化为对应于各操作行为的风险特性值，并将风险特性值大于预设阈值的若干操作行为作为关键操作行为，然后进一步量化各关键操作行为对于目标用户和各样本用户的行为权重，并基于得到的行为权重，为目标用户和各样本用户分别构建对应的操作行为向量，最终可以基于目标用户和各样本用户的操作行为向量之间的相似度，来确定目标用户在执行目标操作行为时是否存在安全风险；由于不再从单一用户出发，而是通过将目标用户与各样本用户的操作行为向量进行相似度比较，来完成针对目标用户的安全风险识别，不仅可以提升风险识别的准确度；而且，通过将各关键操作行为对用户的重要程度量化为行为权重，可以准确的定位出用户的异常操作行为，提升风险识别的可解释性。

附图说明

图1是本申请一实施例示出的用户操作行为的风险识别方法的流程图；

图2是本申请一实施例提供的一种用户操作行为的风险识别装置的逻辑框图；

图3是本申请一实施例提供的承载所述一种用户操作行为的风险识别装置的服务端所涉及的硬件结构图。

具体实施方式

在相关技术中，在对用户操作行为进行安全风险识别时，通常可以通过以下方案来完成：

在一种方案中，可以基于有监督的风险识别模型来识别用户的安全风险。在这种方案中，可以利用用户过去的操作行为数据，累计用户各个操作行为的发生频次，以及发生时的环境设备信息等，再以黑白标签为操作行为数据打标，并将打标后的操作行为数据作为训练样本，基于特定的建模算法(比如回归算法)来训练风险识别模型，然后基于训练出的风险识别模型来识别用户的操作行为是否存在风险。

然而对于这种方案，仍然会存在如下缺陷：

1)只进行单一用户维度的分析。训练模型所采用的变量，如操作行为频次，设备环境信息等，通常只累计当前用户，并没有把当前用户的操作行为与其他用户的操作行为进行比较，即使用户的操作行为被模型识别为高风险，也很难解释出具体风险出现的原因，以及该用户的操作行为异常点。而且当模型采用的变量之间存在相关性、共线性的时候，利用回归分析等建模算法训练出的风险识别模型会存在识别结果抖动，造成识别结果不准确的问题。

2)强烈依赖数据的质量。训练模型所需要的变量，如操作行为频次，设备环境信息等，需要很高的数据质量，才能保证累计的操作行为数据是有效的；如果已知的数据来源存在炒信，小号等异常情况，会使最终模型的训练结果出现偏差。

在另一种方案中，运营人员可以基于经验与理解，预先配置操作行为风险的判定规则；比如用户在新设备上重置密码，则可以判定是高风险操作；然后给出这样的一组判定规则的集合，用户在执行特定的操作行为时(比如支付操作)，只要用户命中其中的一些规则，就会判定该操作行为存在风险，进而采取进一步的风控措施。

然而对于这种方案，仍然会存在如下缺陷：

1)强烈依赖运营人员的经验和业务理解，容易出现偏差，而且对判定规则的调整通常也无具体方向，只是基于经验再重新制定一些当前适用的规则，具有片面性。

2)没有考虑安全风险具有攻防特点，运营人员配置的判定规则很容易被盗号者感知，并尝试绕过。

有鉴于此，本申请提出一种用户操作行为的风险识别方法，通过将若干样本用户在执行目标操作行为之前的若干个操作行为，与各样本用户在执行目标操作行为时是否存在安全风险的相关程度，量化为对应于各操作行为的风险特性值，并将风险特性值大于预设阈值的若干操作行为作为关键操作行为，然后进一步量化各关键操作行为对于目标用户和各样本用户的行为权重，并基于得到的行为权重，为目标用户和各样本用户分别构建对应的操作行为向量，最终可以基于目标用户和各样本用户的操作行为向量之间的相似度，来确定目标用户在执行目标操作行为时是否存在安全风险；

与以上示出的基于有监督的风险识别模型，以及基于判定规则的风险识别方案相比，至少具有如下技术效果：

1)由于不再从单一用户出发，而是通过将目标用户与各样本用户的操作行为向量进行相似度比较，来完成针对目标用户的安全风险识别，不仅可以提升风险识别的准确度；而且，通过将各关键操作行为对用户的重要程度量化为行为权重，可以准确的定位出用户的异常操作行为，提升风险识别的可解释性；

2)计算简便，无需利用过长的历史数据累计各个变量和指标，只需要关注一小段时间窗口内，用户出现了哪些操作行为，然后和现有的样本用户的操作行为进行比较即可，因此对于数据质量上没有过多的限制。

3)基于用户的操作行为数据来识别安全风险，可以强化数据驱动，弱化人的经验。

4)由于是通过量化操作行为对应于目标用户以及各样本用户的行为权重，并基于得到的行为权重来构建向量进行相似度比较，来识别目标用户的安全风险，因此风险识别的基本计算逻辑无法被盗号者感知，安全性更高。

下面通过具体实施例并结合具体的应用场景对本申请进行描述。

请参考图1，图1是本申请一实施例提供的一种用户操作行为的风险识别方法，应用于服务端，所述方法执行以下步骤：

步骤101，计算所述样本数据库中构成所述行为序列样本的各操作行为，对应于所述风险标签的风险特性值，并将计算出的所述风险特性值大于预设阈值的若干个操作行为确定为关键操作行为；其中，所述风险特性值表征各操作行为与所述风险标签的相关程度；

步骤102，计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重；

步骤103，基于各关键操作行为对应于所述目标用户以及所述各样本用户的行为权重，为所述目标用户以及各样本用户分别构建对应的操作行为向量；

步骤104，分别计算所述目标用户与各样本用户的操作行为向量之间的相似度，并基于所述相似度来确定所述目标用户在执行所述目标操作行为时是否存在安全风险。

上述服务端，可以包括用于对用户执行的目标操作行为进行风险识别的服务器、服务器集群或者基于服务器集群搭建的业务平台；

上述目标操作行为，是指用户通过客户端所执行的具有安全风险，且需要由服务端进行风险识别的用户操作行为；

例如，上述目标操作行为可以是用户通过支付客户端执行的支付操作行为，为避免用户所执行的支付操作行为存在安全风险，服务端可以对用户的支付操作行为进行风险识别，以判定本次支付操作的发起者是否为非法用户(比如盗号者)。

上述目标用户，是指当前服务端需要针对其执行的操作行为进行风险识别的当前用户；而上述样本用户，则是指在针对目标用户执行的操作行为进行风险识别时的参照用户；例如，服务端可以通过将采集到的目标用户的操作行为数据与样本用户的操作行为数据进行比较，来确认目标用户执行的操作行为是否存在风险。

在本例中，上述服务端可以预先创建一样本数据库，该样本数据库用于存储采集到的大量样本用户的操作行为数据。

一方面，由于用户所执行的目标操作行为的安全风险，通常受到用户在执行该目标操作行为之前的一系列操作行为的影响，因此服务端可以收集各样本用户在使用自身的账号信息成功登录客户端后，在执行目标操作行为之前所执行的一系列的操作行为数据，然后基于记录的各操作行为的发生时刻(比如，可以由支付客户端在其本地记录发生时刻后，通过消息的形式上报给服务端)，将收集到的操作行为数据生成对应的操作行为序列，然后存储在上述样本数据库中。

例如，以上述目标操作行为为支付操作行为为例，一般地，盗号用户在使用账号成功登录支付客户端之后，在执行第一笔支付操作之前，通常会执行一些列的操作行为；比如，修改密码，重置密码，更换绑定手机，设备授权，快捷签约，删除交易记录，确认收货，升级安保问题，社交行为，等等，因此服务端可以记录各样本用户在成功登录支付客户端后，在执行登录后的第一笔支付操作之前，所执行的一系列操作行为的发生时刻，然后基于记录的发生时刻，将各样本用户在成功登录支付客户端后，在执行登录后的第一笔支付操作之前所执行的一系列操作行为生成为对应的操作行为序列，存储至上述样本数据库。

另一方面，由于上述样本数据库中存储的操作行为序列，最终会作为数据样本，与目标用户在执行上述目标操作行为之前的所执行的一系列的操作行为进行比较，来判定目标用户在执行的目标操作行为时是否存在安全风险，因此对于存储在上述样本数据库中的操作行为序列，可以分别预先标定一个对应的风险标签；该风险标签用于表征各用本用户在执行上述目标操作行为时是否存在安全风险。

其中，需要说明的是，各样本用户在执行上述目标操作行为时是否存在安全风险，可以由各样本用户主动的进行反馈；而上述服务端在为每一个样本用户生成操作行为序列时，可以是在接收到各样本用户反馈的其在执行上述目标操作行为是否存在风险的结果时，对各样本用户在执行上述目标操作行为之前所执行的操作行为进行回溯，然后生成对应的操作行为序列，并集合用户的反馈结果，为生成的该操作行为序列标定风险标签。

例如，仍以上述目标操作行为为支付操作行为为例，当用户确认自己的支付客户端的某笔支付操作，不是由自己操作，此时可以通过挂失的方式，向服务端的服务中心进行反馈，服务端在接收到该用户的反馈后，可以回溯该用户在该笔支付操作之前所执行的一些列的操作行为，然后基于预先记录的这些操作行为的发生时刻，为该用户生成操作行为序列，并为该操作行为序列标定一个存在支付风险的风险标签。而对于未进行任何反馈的用户，可以默认为正常用户，其执行的支付操作不存在安全风险，并为这些用户的操作行为序列标定一个不存在支付风险的风险标签。

其中，需要说明的是，对于上述样本数据库中存储的各样本用户的操作行为序列来说，被标定为存在安全风险和不存在安全风险的操作行为序列的比例，在本例中不进行特别的限定；例如，上述样本数据中存在安全风险和不存在安全风险的操作行为序列的比例，可以完全参照正常的风险用户和正常用户的比例，也可以由本领域技术人员基于实际的业务需求对上述样本数据中存在安全风险和不存在安全风险的操作行为序列的比例进行控制调整。

另外，为了保持上述样本数据库中存储的操作行为序列具有良好的实时性，还可以针对上述样本数据库预先设置一个数据库的更新周期，然后服务端可以基于设置的该更新周期，周期性的对样本数据库中存储的操作行为序列进行更新；

例如，假设上述更新周期为一天，那么服务端可以每天对样本数据库中更新后的各样本用户在执行上述目标操作行为之前的一系列操作行为重新进行记录，并重新生成对应的操作行为序列，对数据库进行更新。

以上详细描述了上述样本数据库的组织形式，在本例中，上述服务端可以将上述样本数据库中存储的操作行为序列作为数据样本，通过将各样本用户在执行目标操作行为之前的若干个操作行为，与各样本用户在执行目标操作行为时是否存在安全风险的相关程度，量化为对应于各操作行为的风险特性值，并将风险特性值最高的若干操作行为作为关键操作行为，然后进一步将各关键操作行为对于目标用户和各样本用户的重要程度量化为行为权重，并基于得到的行为权重，为目标用户和各样本用户分别构建对应的操作行为向量，最终可以基于目标用户和各样本用户的操作行为向量之间的相似度，来确定目标用户在执行目标操作行为时是否存在安全风险。

以下以上述目标操作行为为支付操作行为为例，并结合“风险特征值的量化”、“关键操作行为的筛选”、“行为权重的量化”、“操作行为向量的构建”“操作行为的相似度计算”以及“基于相似度识别安全风险”等六个阶段对本申请的技术方案进行详细描述。

请参见表1，表1为本例示出的上述样本数据库。

在该样本数据库中包括包括user1-user5等5个样本用户在登录支付客户端后，在执行第一笔支付操作行为之前的一系列操作行为生成的操作行为序列，在这5个用户中包括2名支付操作存在风险的用户(user3和user4)，和3名支付操作不存在风险的用户(user1、user2和user5)。

表1

请参见表2，表2为本例示出的目标用户user6在登录支付客户端后，执行第一笔支付操作行为之前的一系列操作行为生成的操作行为序列。

在以下实施例中，将以如表1所示出的样本数据库，以及表2示出的目标用户的操作行为序列为例进行说明。当然，表1和表2仅为示例性的，并不用于限定。

1)风险特性值的量化

在本例中，服务端可以采用统计学的方式，对表1中构成各操作行为序列的操作行为，与各样本用户在执行目标操作行为时是否存在安全风险的相关程度进行量化，针对表1中记录的构成各操作行为序列的每一个操作行为分别量化得到一个对应的风险特征值，从而可以基于该风险特征值的大小，从表1中筛选出最具风险的关键操作行为。

在示出的一种实施方式中，可以假定表1中构成各操作行为序列的操作行为，与上述风险标签之间符合一阶自由度的卡方分布(X2分布)，并将表1中构成各操作行为序列的操作行为，以及对应于各操作行为序列的风险标签作为计算参数，执行一阶自由度的卡方检验计算，然后利用计算得到的卡方值来表征上述风险特征值。

其中，在计算表1中构成各操作行为序列的操作行为中任一操作行为的风险特性值时，可以将样本数据库中执行了该操作行为且该操作行为存在安全风险的用户数、执行了该操作行为且该操作行为不存在安全风险的用户数、未执行该操作行为且该操作行为存在安全风险的的用户数、以及未执行该操作行为且该操作行为存在安全风险的的用户数作为计算参数采用如下公式进行一阶自由度的卡方检验计算：

请表3，表3为本例中示出的在针对构成各操作行为序列的操作行为中任一操作行为进行一阶自由度(即独立四格表资料检验)的卡方检验计算时，上述公式中各参数的含义示意图。

表3

在上述公式中，X²为计算得到的卡方值，在本例中用于表示计算得到的风险特性值；n表示所述样本数据库中的总用户数；a表示表1中(即样本数据库中)执行了该操作行为且支付操作行为(即目标操作行为)存在安全风险的用户数；b表示表1中执行了该操作行为且支付操作行为不存在安全风险的用户数；c表示表1中未执行该操作行为且支付操作行为存在安全风险的的用户数；d表示表1中未执行该操作行为且且支付操作行为存在安全风险的的用户数。

服务端可以基于以上示出的计算公式，针对表1中user1-user5所执行的各操作行为分别进行一阶自由度的卡方检验计算，分别生成对应的风险特征值。

例如，请继续参见表1，表1中n＝5；假设需要计算“用户换绑手机”，“删除交易记录”和“重置支付密码”这三个操作行为的风险特征值。

对于“用户换绑手机”这一操作行为，服务端按照表3示出的格式分别统计a、b、c、d等参数对应的用户数，最终统计结果如下表所示：

对于“删除交易记录”这一操作行为，服务端按照表3示出的格式分别统计a、b、c、d等参数对应的用户数，最终统计结果如下表所示：

对于“重置支付密码”这一操作行为，服务端按照表3示出的格式分别统计a、b、c、d等参数对应的用户数，最终统计结果如下表所示：

通过以上计算过程可见，用户换绑手机这一操作行为对于上述风险标签的相关程度最高，是一个高风险的操作行为，表明如果用户在登录支付客户端后，执行第一笔支付操作之前，执行了用户换绑手机这一操作行为，则本次支付操作的支付风险会显著上升。

在本例中，服务端可以重复以上的计算过程，针对表1中的各个操作行为分别进行一阶自由度的卡方检验计算，对每一个操作行为对于支付是否存在风险的相关程度进行量化，进而可以为每一个操作行为分别生成一个对应的风险特征值。

2)关键操作行为的筛选

在本例中，当服务端通过以上示出的计算过程，为表1中每一个操作行为分别计算出了对应的风险特征值后，此时服务端可以通过比较各操作行为的风险特征值的大小，将风险特性值最高的N个操作行为，确定为关键操作行为；例如，可以预设一个风向特性值的阈值，然后将计算出的风险特性值大于该预设的阈值的若干个操作行为，确定为关键操作行为；此时确定出的关键操作行为，即为表1中对最终的支付操作，最具风险的操作行为，也即与支付账号盗用风险最相关的操作行为。

其中，上述N的取值，在本例中不进行限定，本领域技术人员可以就实际的需求进行设置；

例如，假设上述N的取值为3，那么服务端在计算出表1中每一个操作行为对应的风险特征值后，假设计算出的风险特征值最高的三个操作行为，分别为“用户换绑手机”，“删除交易记录”和“重置支付密码”，那么此时服务端可以将表1中的“用户换绑手机”，“删除交易记录”和“重置支付密码”确定为最具风险的关键操作行为。

3)行为权重的量化

在本例中，当服务端确定出最具风险的N个关键操作行为后，此时每一一个用户将对应N个关键操作行为；然而，在实际应用中，即便不同的用户对应相同的N个关键操作行为，这些相同的关键操作行为对于不同的用户的重要程度都可能存在一定的差异；

例如，假设用户user1和user2都出现了“重置支付密码”这一关键操作行为，但是user1经常忘记密码，因此重置支付密码的次数较频繁；而user2一直喜欢有支付密码的支付方式，几乎不会忘记支付密码，因此重置支付密码的次数较低；在这种情况下，user1和user2都出现了“重置支付密码”这一关键操作行为，但“重置支付密码”这一关键操作行为对于user1来说。是一个比较正常的行为，重要程度较低；而对于user2来说，是一个比较反常的行为，重要程度较高。

在本例中，服务端仍然可以采用统计学的方式，结合表1和表2中记载的内容，将确定各关键操作行为对于user6和user1-user5的重要程度量化为行为权重。

其中，在实际应用中，由于某一个操作行为对于用户的重要程度，通常随着“用户出现该操作行为的次数”增加而增大，随着“出现了该操作行为的用户数”的增大而减小；简单的说，如果只有用户user1执行了操作行为A，而其他用户都没有执行过操作行为A，则基于操作行为A可以有效的区分出user1，该操作行为A对于user1来说重要程度较高；反之，如果所有的用户都执行过操作行为A，那么操作行为A就无法有效的区分出user1，该操作行为A对于user1来说重要程度较低。

基于此，在示出的一种实施方式中，可以将user6以及user1-user5在执行支付操作之前，执行各关键操作行为的次数与该用户执行的操作行为的总次数的比值，以及，总用户数(目标用户和样本用户的总和)和执行了该关键操作行为的总用户数的比值作为计算参数，进行TF-IDF统计计算，然后利用计算得到的TF-IDF值来表征各关键操作行为对应于用户的行为权重。

其中，需要说明的是，TF-IDF统计计算，通常被广泛的应用于文本信息处理领域，是一种综合考虑词频TF和逆文档率IDF的权重计算方法。而在本例中，可以引入该方法来量化每一个关键操作行为对应于不同用户的行为权重，来识别用户操作行为的安全风险。

在本例中，在计算确定出的各关键操作行为中任一关键操作行为，对应于user6以及user1-user5中任一用户的行为权重时，可以采用如下公式进行TF-IDF统计计算：

在以上公式中，ω即为通过TF-IDF统计计算得出的TF-IDF，在本例中用于表示计算出的行为权重；T_action表示该用户执行了该关键操作行为的次数；T_a11表示该用户执行的操作行为的总次数；N_a11表示总用户数，N_action表示执行了该关键操作行为的用户数。

例如，请继续参见表1和表2，假设需要计算关键操作行为“用户换绑手机”这一关键操作行为对应于user3，user4，user5的行为权重；通过查看表1和表2可以发现，user3和user4分别执行了“用户换绑手机”这一关键操作行为1次，而user5执行了“用户换绑手机”这一关键操作行为2次；执行了“用户换绑手机”这一关键操作行为的用户数为3个；

通过以上的计算结果可知，在所有的6个用户中，只有user3，user4，user5执行过“用户换绑手机”这一关键操作行为，但是因为user5执行过两次用户换绑手机的操作，所以“用户换绑手机”这一关键操作行为对于user5的行为权重最大，说明通过用户换绑手机这一操作行为最能区分出user5，user5很可能是一个具有手机换绑习惯的用户。

又如，请继续参见表1和表2，假设需要计算关键操作行为“申请退款”这一关键操作行为对应于user2的行为权重；通过查看表1和表2可以发现，只有user2执行过该关键操作行为“申请退款”2次，则执行了“申请退款”这一关键操作行为的用户数为1个；

通过以上的计算结果可知，在所有的6个用户中，只有user2有过“申请退款”行为，所以“申请退款”这一关键操作行为对于user2的行为权重最大(其他未执行过“申请退款”这一操作行为的用户对于该操作行为的行为权重为0)，说明用户user2最近可能遇到了不大开心的购物经历，通过申请退款这一操作行为最能区分出user2。

在本例中，服务端可以重复以上的计算过程，基于表1以及表2中记载的内容，计算确定出的各关键操作行为分别对应于user1-user6中每一个用户的行为权重。

通过以上实施例可见，通过将各关键操作行为对用户的重要程度量化为行为权重，可以准确的定位出用户的异常操作行为，从而可以提升风险识别的可解释性；

例如，假设user6最终被判定为疑似盗号用户，其执行支付操作存在安全风险，则运营人员通过比对user6对应于各关键业务行为的行为权重，与其他正常用户对应于各关键业务行为的行为权重，就可以准确定位出user6的操作行为异常点，直观的了解到user6到底执行了哪个操作行为导致user6的支付操作存在异常，从而可以很容易解释出安全风险出现的原因。

4)操作行为向量的构建

当服务端通过以上示出的计算过程，确定出了N个关键操作行为，并分别计算出了各关键操作行为对应于各用户的行为权重后，可以根据计算出的各关键操作行为对应于各用户(包括目标用户和各样本用户)的行为权重，为各用户分别构建对应的操作行为向量。

在本例中，服务端具体可以按照如下格式，为各用户分别构建操作行为向量:

user_j{action₁:ω_1j,action₂:ω_2j,…action_k:ω_kj}

其中，j表示用户编号；action_k表示第K个关键操作行为；ω_kj表示action_k对应于用户j的行为权重。

例如，假设确定出的关键操作行为为action₁、action₂、action₃，服务端分别计算出的action₁、action₂、action₃对应于user1-user6的行为权重ω如下表所示：

那么针对user1-user6构建的操作行为向量，可以如下所示：

user₁{action₁:ω₁,action₂:ω₂,action₃:ω₃}

user₂{action₁:ω₄,action₂:ω₅,action₃:ω₆}

user₃{action₁:ω₇,action₂:ω₈,action₃:ω₉}

user₄{action₁:ω₁₀,action₂:ω₁₁,action₃:ω₁₂}

user₅{action₁:ω₁₃,action₂:ω₁₄,action₃:ω₁₅}

user₆{action₁:ω₁₆,action₂:ω₁₇,action₃:ω₁₈}

当服务端针对每一个用户分别构建出对应的操作行为向量后，虽然不同的用户的操作行为向量中分别对应相同的关键操作行为，然后由于不同的关键操作行为对应于不同用户的行为权重存在一定的差异，因此此时构建完成的每一个操作行为向量，均可以作为用户独有的操作行为参照，进而服务端可以分别量化user6与user1-user5的操作行为向量的相似度，通过相似度比较来判定user6在执行支付操作时，是否存在安全风险。

5)操作行为的相似度计算

在本例中，当服务端为各用户分别构建出了专属的操作行为向量后，可以进一步对不同用户之间的操作行为向量之间的相似度进行量化，进而可以基于向量相似度来表征各用户之间的行为相似度。

在示出的一种实施方式中，服务端可以采用余弦夹角来表征操作行为向量之间的相似度。当服务端需要判定user6在执行支付操作时是否存在风险时，此时可以分别针对user6的操作行为向量与user1-user5的操作行为向量分别进行余弦夹角计算，然后基于计算得到的余弦夹角来表征user6的操作行为向量与user1-user5之间的相似度；当计算出的余弦夹角越大，表明二者的操作行为越相似。

其中，服务端在分别计算user6的操作行为向量与user1-user5的操作行为向量之间的余弦夹角时的具体计算过程，在本例中不再进行详述，本领域技术人员在将本申请的技术方案付诸实施时，可以参考相关技术中的记载。

当然，除了利用余弦夹角来表征向量间的相似度以外，在实际应用中，也可以使用向量之间的欧氏距离或者马氏距离，来表征向量之间的相似度，其具体的实施过程，本领域技术人员可以参考相关技术中的记载，在本例中不再进行详细描述。

6)基于相似度识别安全风险

在本例中，当最终计算出user6的操作行为向量与user1-user5的操作行为向量之间的相似度后，服务端可以基于计算得到的相似度，来度量user6在执行支付操作时，是否存在安全风险。

其中，由于user1-user5中，既包括存在支付风险的疑似盗号用户，也包括不存在支付风险的正常用户，而且当前user6在成功登录支付客户端，执行了在第一笔支付操作之前的一系列操作行为后，服务端已经分别计算得到的user6与user1-user5中的疑似盗号用户和正常用户的行为相似度；因此，在这种情况下，服务端可以基于计算得出的user6与user1-user5的操作行为向量之间的相似度，进行分类计算，然后基于分类结果，来判定user6是否为疑似盗号用户，以及user6在执行支付操作时是否存在安全风险。

在示出的一种实施方式中，服务端可以采用KNN-K近邻分类算法，针对计算出的所述目标用户与各样本用户的操作行为向量之间的相似度进行KNN-K近邻分类计算，然后基于KNN-K近邻分类结果来判定user6在执行支付操作时是否存在安全风险。

其中，KNN-K的核心思想是，如果一个样本与k个最相邻的样本中的大多数属于某一个类别，那么可以判定该样本也属于该类别。

当服务端基于KNN-K近邻分类算法，计算出与user6最邻近的K个用户后(其中K的具体取值可以基于实际的需求进行自定义配置)，此时user6会与该K个用户划分至同一个分类，服务端可以基于KNN-K近邻分类的分类结果，进一步与user6划分至同一分类的这些样本用户中，执行支付安全风险的用户占比，并确定在执行支付操作行为时存在安全风险的用户占比是否达到预设阈值(比如50％)；

如果与user6划分至同一分类的这些样本用户中，执行支付安全风险的用户占比达到该预设阈值，则服务端可以判定user6为疑似盗号用户，user6本次执行的支付操作存在安全风险；

相反，如果与user6划分至同一分类的这些样本用户中，执行支付安全风险的用户占比未达到该预设阈值，则服务端可以判定user6为正常用户，user6本次执行的支付操作不存在安全风险。

例如，请继续参见表1，假设基于KNN-K近邻分类算法，最终将user6与user3、user4和user5划分至同一个分类中，上述预设阈值为50％，由于user3、user4和user5中user3、user4为正常用户，user5为疑似盗号用户，正常用户的占比大于50％，则可以直接判定user6在执行支付操作时，不存在安全风险，在这种情况下，服务端可以正常响应user6发起的支付操作；相反，如果基于KNN-K近邻分类算法，最终将user6与user1、user2和user3划分至同一个分类中，由于user1、user2和user3中user1、user2为疑似盗号者，疑似盗号用户的占比大于50％，则可以直接判定user6在执行支付操作时，存在安全风险，在这种情况下，服务端可以终止user6发起的支付操作，进一步提示user6进行身份认证。

在以上实施例中，以上述目标操作行为为支付操作行为为例进行了详细说明。需要强调的是，在实际应用中，上述目标操作行为也可以是与支付操作类似的具有安全风险的其它用户行为；比如，用户的登录操作行为，等等；在本例中不再一一进行列举。

与上述方法实施例相对应，本申请还提供了装置的实施例。

请参见图2，本申请提出一种用户操作行为的风险识别装置20，应用于服务端；所述服务端包括样本数据库；所述样本数据库中存储了由若干样本用户在执行目标操作行为之前的若干个操作行为构成的行为序列样本，以及对应于各行为序列样本的风险标签；所述风险标签表征各样本用户在执行所述目标操作行为时是否存在安全风险；

其中，请参见图3，作为承载所述用户操作行为的风险识别装置20的服务端所涉及的硬件架构中，通常包括CPU、内存、非易失性存储器、网络接口以及内部总线等；以软件实现为例，所述用户操作行为的风险识别装置20通常可以理解为加载在内存中的计算机程序，通过CPU运行之后形成的软硬件相结合的逻辑装置，所述装置20包括：

第一计算模块201，计算所述样本数据库中构成所述行为序列样本的各操作行为，对应于所述风险标签的风险特性值，并将计算出的所述风险特性值大于预设阈值的若干个操作行为确定为关键操作行为；其中，所述风险特性值表征各操作行为与所述风险标签的相关程度；

第二计算模块202，计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重；构建模块203，基于各关键操作行为对应于所述目标用户以及所述各样本用户的行为权重，为所述目标用户以及各样本用户分别构建对应的操作行为向量；

第三计算模块204，分别计算所述目标用户与各样本用户的操作行为向量之间的相似度，并基于所述相似度来确定所述目标用户在执行所述目标操作行为时是否存在安全风险。

在本例中，所述第一计算模块201具体用于：

在计算所述样本数据库中构成所述行为序列样本的各操作行为中的任一目标操作行为的风险特性值时，将所述样本数据库中执行了该目标操作行为且该目标操作行为存在安全风险的用户数、执行了该目标操作行为且该目标操作行为不存在安全风险的用户数、未执行该目标操作行为且该目标操作行为存在安全风险的的用户数、以及未执行该目标操作行为且该目标操作行为存在安全风险的的用户数作为计算参数，执行一阶自由度的卡方检验计算，得到对应于该目标操作行为的风险特性值。

在本例中，所述第二计算模块202具体用于：

在计算各关键操作行为中任一关键操作行为，对应于所述目标用户以及各样本用户中任一用户的行为权重时，将该用户在执行所述目标操作行为之前执行各关键操作行为的次数与该用户执行的操作行为的总次数的比值，以及，总用户数和执行了该关键操作行为的总用户数的比值作为计算参数，执行TF-IDF统计计算，得到该关键操作行为对应于该用户的行为权重。

在本例中，所述第三计算模块204具体用于：

分别计算所述目标用户与各样本用户的操作行为向量之间的余弦夹角，并基于计算出的所述余弦夹角表征所述目标用户与各样本用户的操作行为向量之间的相似度。

在本例中，所述第三计算模块204进一步用于：

针对计算出的所述目标用户与各样本用户的操作行为向量之间的相似度进行KNN-K近邻分类计算；

基于KNN-K近邻分类的分类结果，确定与所述目标用户划分至同一分类的样本用户中，执行所述目标操作行为时存在安全风险的用户占比是否达到预设阈值；

如果与所述目标用户划分至同一分类的样本用户中，执行所述目标操作行为时存在安全风险的用户占比达到所述预设阈值，则确定所述目标用户在执行所述目标操作行为时存在安全风险；

如果与所述目标用户划分至同一分类的样本用户中，执行所述目标操作行为时存在安全风险的用户占比未达到所述预设阈值，则确定所述目标用户在执行所述目标操作行为时不存在安全风险。

在本例中，所述装置20还包括：

更新模块205(图2中未示出)，基于预设的更新周期，对所述样本数据库中存储的行为序列样本进行更新。

在本例中，所述目标操作行为包括支付操作行为；所述行为序列样本由若干样本用户在登录支付客户端后，首次执行支付操作行为之前的若干个操作行为构成。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本申请的其它实施方案。本申请旨在涵盖本申请的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本申请的真正范围和精神由下面的权利要求指出。

应当理解的是，本申请并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本申请的范围仅由所附的权利要求来限制。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种用户操作行为的风险识别方法，其特征在于，应用于服务端，所述服务端包括样本数据库；所述样本数据库中存储了由若干样本用户在执行目标操作行为之前的若干个操作行为构成的行为序列样本，以及对应于各行为序列样本的风险标签；所述风险标签表征各样本用户在执行所述目标操作行为时是否存在安全风险；所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述计算所述样本数据库中构成所述行为序列样本的各操作行为，对应于所述风险标签的风险特性值，包括：

3.根据权利要求1所述的方法，其特征在于，所述计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重，包括：

4.根据权利要求1所述的方法，其特征在于，所述分别计算所述目标用户与各样本用户的操作行为向量之间的相似度，包括：

5.根据权利要求1所述的方法，其特征在于，所述基于所述相似度来确定所述目标用户在执行所述目标操作行为时是否存在安全风险，包括：

6.根据权利要求1所述的方法，其特征在于，还包括：

基于预设的更新周期，对所述样本数据库中存储的行为序列样本进行更新。

7.根据权利要求1所述的方法，其特征在于，所述目标操作行为包括支付操作行为；所述行为序列样本由若干样本用户在登录支付客户端后，首次执行支付操作行为之前的若干个操作行为构成。

8.一种用户操作行为的风险识别装置，其特征在于，应用于服务端，所述服务端包括样本数据库；所述样本数据库中存储了由若干样本用户在执行目标操作行为之前的若干个操作行为构成的行为序列样本，以及对应于各行为序列样本的风险标签；所述风险标签表征各样本用户在执行所述目标操作行为时是否存在安全风险；所述装置包括：

第二计算模块，计算各关键操作行为分别对应于所述目标用户以及所述各样本用户的行为权重；构建模块，基于各关键操作行为对应于所述目标用户以及所述各样本用户的行为权重，为所述目标用户以及各样本用户分别构建对应的操作行为向量；

9.根据权利要求8所述的装置，其特征在于，所述第一计算模块具体用于：

10.根据权利要求8所述的装置，其特征在于，所述第二计算模块具体用于：

11.根据权利要求8所述的装置，其特征在于，所述第三计算模块具体用于：

12.根据权利要求8所述的装置，其特征在于，所述第三计算模块进一步用于：

13.根据权利要求8所述的装置，其特征在于，还包括：

更新模块，基于预设的更新周期，对所述样本数据库中存储的行为序列样本进行更新。

14.根据权利要求8所述的装置，其特征在于，所述目标操作行为包括支付操作行为；所述行为序列样本由若干样本用户在登录支付客户端后，首次执行支付操作行为之前的若干个操作行为构成。