CN108512822A - 一种数据处理事件的风险识别方法和装置 - Google Patents

Abstract

本申请公开了一种数据处理事件的风险识别方法和装置。所述方法包括：解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。本申请大大减少了配置和维护规则的工作量，可提升风控服务的维护效率。

Description

一种数据处理事件的风险识别方法和装置

技术领域

本申请涉及网络安全技术领域，具体涉及一种数据处理事件的风险识别方法和一种数据处理事件的风险识别装置。

背景技术

风险控制是指风险管理者采取各种措施和方法，消灭或减少风险事件发生的各种可能性，或风险控制减少风险事件发生时造成的损失，通过部署SAAS(Software-as-a-Service，软件即服务)可以实现风险控制。

SAAS是一种完全创新的软件应用模式，风控服务供应方将风控软件统一部署在自己的服务器上，使用风控服务的租户(如电商网站、论坛、个人网站等企业或个人)通过互联网购买风控软件的服务，当用户在该租户下产生数据处理事件时(如登录、交易等)，调用风控SAAS服务判断该数据处理事件的风险。

申请人经研究发现，基于各租户所提供的数据处理服务不同，对应的风险识别类型以及所选用的风险识别策略也不同，由此产生的问题如下：

1、现有的风控方案通常是针对各个租户分别配置和维护风险识别策略，工作量较大。

2、针对风控服务的新租户，基于具体的数据处理服务类型针对性地部署风控识别策略需要较长时间周期，从而使得接入风控服务的前期，只能通过共享其他租户已有的风控结果来识别风险，风险控制能力较差。

3、由于不同租户的风险识别过程是相互隔离并无关联的，由此导致对风险识别结果利用不充分，特别是用户在一个行为过程中涉及到多个租户的数据处理事件时，上述识别机制并未关联多个租户的数据处理事件共同进行识别，降低了风险识别的准确率。

申请人经研究进一步发现，以同一设备在不同租户下产生的异地登录事件为例，同一设备在A租户的数据处理系统下产生在N城市的登录事件，同一时间点或是在相隔较近的下一时间点，在B租户的数据处理系统下，产生在M城市的登录事件。由于同一时间点或较近的时间内发生异地登录并无可能，因此，综合两个事件确定发生了具有风险的异地登录事件。而目前的风险识别方案仅仅是单独针对A租户或B租户下发生的事件分别进行识别，在单独识别时，由于此设备均只在一个城市登录，因此并不会识别为风险事件，因此该方案缺乏关联不同租户的多个数据处理事件进行识别的机制。

发明内容

鉴于上述问题，提出了本申请以便提供一种克服上述问题或者至少部分地解决上述问题的一种数据处理事件的风险识别方法和相应的一种数据处理事件的风险识别装置。

依据本申请的一个方面，提供了一种数据处理事件的风险识别方法，包括：

解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；

采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

优选地，所述采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别包括：

结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别。

优选地，所述结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别包括：

从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

基于针对关联的事件通用属性设定的风险识别的第一判断条件，对所述当前数据处理事件进行第一次风险识别。

优选地，所述结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别包括：

从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

基于所述具有关联的事件通用属性的历史数据处理事件的通用风险识别结果，对所述当前数据处理事件进行第一次风险识别。

优选地，所述方法还包括：

将所述通用识别结果添加至存放多种数据处理系统的历史通用识别结果的第一结果集合。

优选地，所述第二风险识别规则包括基于事件特征属性进行风险识别的第二判断条件，以及基于第二判断条件的判断结果和通用识别结果综合判断的第三判断条件；

所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果包括：

采用第二判断条件识别当前数据处理事件，获得特征识别结果；

采用所述第三判断条件综合特征识别结果和通用识别结果进行判断，获得当前数据处理事件的综合识别结果。

优选地，所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别包括：

采用结合存放多种数据系统的历史通用识别结果的第一结果集合、存放多种数据系统的历史综合识别结果的第二结果集合以及事件特征属性进行识别的第二风险识别规则对当前数据处理事件进行第二次风险识别；其中，所述第二风险识别规则包括综合数据处理事件的通用识别结果和事件特征属性进行风险识别的第四判断条件，以及综合历史数据处理事件和当前数据处理事件具有关联的事件通用属性进行风险识别的第五判断条件。

优选地，所述方法还包括：

将所述综合识别结果添加至存放历史综合识别结果的第二结果集合。

优选地，所述当前数据处理事件携带所属数据处理系统的目标数据处理类型，在所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别之前，所述方法还包括：

查找针对所述当前数据处理事件的目标数据处理类型设定的第二风险识别规则。

优选地，所述方法还包括：

若不存在针对所述目标数据处理类型设定的第二风险识别规则，则输出针对当前数据处理事件的通用识别结果。

优选地，在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，所述方法还包括：

加载预先统一定义的事件通用属性以及针对各种数据处理系统分别定义的事件特征属性；

所述解析当前数据处理事件的事件通用属性和事件特征属性包括：

查找针对当前数据处理事件所属数据处理系统设定的事件特征属性；

按照预先定义的事件通用属性和查找的事件特征属性解析当前数据处理事件，获得对应的事件通用属性和事件特征属性。

优选地，在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，所述方法还包括：

加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则。

优选地，所述方法还包括：

根据触发的更新操作，对所述第一风险识别规则或第二风险识别规则进行更新。

优选地，所述事件通用属性包括数据处理事件所处的设备信息、网络环境信息、时间信息、事件行为种类中至少一种。

本申请还提供了一种数据处理事件的风险识别装置，包括：

属性解析模块，用于解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；

第一次识别模块，用于采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

第二次识别模块，用于采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

优选地，所述一次识别模块，具体用于结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别。

优选地，所述一次识别模块包括：

事件查找子模块，用于从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

第一判断子模块，用于基于针对关联的事件通用属性设定的风险识别的第一判断条件，对所述当前数据处理事件进行第一次风险识别。

优选地，所述一次识别模块包括：

事件查找子模块，用于从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

结果识别子模块，用于基于所述具有关联的事件通用属性的历史数据处理事件的通用风险识别结果，对所述当前数据处理事件进行第一次风险识别。

优选地，所述装置还包括：

第一结果添加模块，用于将所述通用识别结果添加至存放多种数据处理系统的历史通用识别结果的第一结果集合。

优选地，所述第二风险识别规则包括基于事件特征属性进行风险识别的第二判断条件，以及基于第二判断条件的判断结果和通用识别结果综合判断的第三判断条件；

所述二次识别模块包括：

第二判断子模块，用于采用第二判断条件识别当前数据处理事件，获得特征识别结果；

第三判断子模块，用于采用所述第三判断条件综合特征识别结果和通用识别结果进行判断，获得当前数据处理事件的综合识别结果。

优选地，所述二次识别模块，具体用于采用结合存放多种数据处理系统的历史通用识别结果的第一结果集合、存放多种数据处理系统的历史综合识别结果的第二结果集合以及事件特征属性进行识别的第二风险识别规则对当前数据处理事件进行第二次风险识别；其中，所述第二风险识别规则包括综合数据处理事件的通用识别结果和事件特征属性进行风险识别的第四判断条件，以及综合历史数据处理事件和当前数据处理事件具有关联的事件通用属性进行风险识别的第五判断条件。

优选地，所述装置还包括：

第二结果添加模块，用于将所述综合识别结果添加至存放历史综合识别结果的第二结果集合。

优选地，所述当前数据处理事件携带所属数据处理系统的目标数据处理类型，所述装置还包括：

规则查找模块，用于在所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别之前，查找针对所述当前数据处理事件的目标数据处理类型设定的第二风险识别规则。

优选地，所述装置还包括：

结果输入模块，用于若不存在针对所述目标数据处理类型设定的第二风险识别规则，则输出针对当前数据处理事件的通用识别结果。

优选地，所述装置还包括：

属性加载模块，用于在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，加载预先统一定义的事件通用属性以及针对各种数据处理系统分别定义的事件特征属性；

所述属性解析模块包括：

属性查找子模块，用于查找针对当前数据处理事件所属数据处理系统设定的事件特征属性；

属性获得子模块，用于按照预先定义的事件通用属性和查找的事件特征属性解析当前数据处理事件，获得对应的事件通用属性和事件特征属性。

优选地，所述装置还包括：

规则加载模块，用于在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则。

优选地，所述装置还包括：

规则更新模块，用于根据触发的更新操作，对所述第一风险识别规则或第二风险识别规则进行更新。

优选地，所述事件通用属性包括数据处理事件所处的设备信息、网络环境信息、时间信息、事件行为种类中至少一种。

依据本申请实施例，将数据处理事件的属性划分为事件通用属性和事件特征属性，不仅针对事件特征属性预置对应的识别规则，还针对事件通用属性预置对应的识别规则，针对待识别的当前数据处理事件，解析获得对应的事件通用属性和事件特征属性，先采用基于事件通用属性进行识别的第一风险识别规则识别，获得通用识别结果，由于第一风险识别规则针对所有租户的不同数据处理类型统一配置，参考了不同数据处理类型下风险识别的普遍规律，可以灵活配置多种识别规则，并且第一风险识别规则更新简单，无需针对各个数据处理系统对应修改，仅需针对各租户分别配置特有的第二风险识别规则，大大减少了配置和维护规则的工作量，可提升风控服务的维护效率。进一步采用结合通用风险识别结果和事件特征属性进行识别的第二风险识别规则进行二次识别，相比于单一采用事件特征属性进行识别，在保证租户之间的数据隔离性的同时，可以提高风险识别的准确率。

由于基于事件通用属性进行识别的第一风险识别规则可以适用于所有数据处理系统，从而使得新接入风控服务的数据处理系统，在基于事件特征属性进行识别的第二风险识别规则未配置完成之前，可以先采用第一风险识别规则进行识别，提高了接入初期的风控能力。

进一步，在基于事件通用属性进行识别时，还可以结合多个租户基于通用属性的历史识别结果共同识别，从而可以关联多个租户的多个数据处理事件形成一个过程，基于关联的数据处理事件进行识别从而可以提高识别的准确率，对历史识别结果进行充分利用。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本申请的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本申请实施例的数据处理事件的风险识别的应用示意图；

图2示出了根据本申请一个实施例的一种数据处理事件的风险识别方法实施例的流程图；

图3示出了背景技术的方案设置的事件属性示意图；

图4示出了本申请实施例的方案设置的事件属性示意图；

图5示出了本申请实施例的风险识别规则配置的示意图；

图6示出了根据本申请另一个实施例的一种数据处理事件的风险识别方法实施例的流程图；

图7示出了本实施例中风控系统加载过程的一个示意图；

图8示出了本申请实施例的一个示例中数据处理事件的风险识别过程示意图；

图9示出了根据本申请一个实施例的一种数据处理事件的风险识别装置的结构框图；

图10示出了根据本申请另一个实施例的一种数据处理事件的风险识别装置的结构框图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

根据本申请一个实施例，参考图1，示出了数据处理事件的风险识别的应用示意图。其中涉及A租户和B租户分别对应的数据处理系统、风控服务提供方的风控系统以及风险结果共享数据库，数据处理系统和风控系统之间通过网关实现互联。其中，数据处理系统可以为提供网络交易、网页编辑、网络账户管理等各种数据处理服务的系统。

用户通过A租户或B租户提供的客户端(Client)访问数据处理系统的服务器(用户Server)，用户服务器(Server)处理客户端提交的数据，为进行风险控制，进一步将数据处理事件经网关发送至风控系统进行风险识别。

风控系统包括风险服务器、风险策略层和风险数据层，风险服务器接收待识别的数据处理事件并发送至风险策略层，针对A租户和B租户的数据处理系统共有的事件通用属性，采用第一风险识别规则进行识别，得到通用识别结果；针对各租户的数据处理系统特有的事件特征属性，结合通用识别结果，采用第二风险识别规则进行风险识别，得到综合识别结果。通用风险识别结果和综合识别结果均由风险数据层保存风险识别结果，并保存至共享数据库，该共享数据库中保存了A租户的数据处理系统和B租户的数据处理系统分别对应的风险识别结果。

由此可见，A租户和B租户的风险识别规则中，共用的第一风险识别规则可以统一配置，仅需针对各租户分别配置特有的第二风险识别规则，从而可以大大减少配置和维护规则的工作量，可提升风控服务的维护效率，并且针对新接入的租户，在未配置对应的第二风险识别规则之前，可以先采用第一风险识别规则进行识别，提高了接入初期的风控能力。由于第二风险规则的识别还可以结合第一风险规则的识别结果，相比于单一采用事件特征属性进行识别，在保证租户之间的数据隔离性的同时，可以提高风险识别的准确率。

参照图2，示出了根据本申请一个实施例的一种数据处理事件的风险识别方法实施例的流程图，该方法具体可以包括以下步骤：

步骤101，解析当前数据处理事件的事件通用属性和事件特征属性。

本申请实施例对事件的属性进行定义，将多个数据处理系统的数据处理事件共有的、与具体的数据处理类型无关的属性抽取出来作为事件通用属性，将数据处理事件在所属数据处理系统特有的，与该数据处理系统的数据处理过程相关的作为事件特征属性，相当于将一个事件拆分为父事件和子事件，基于事件通用属性构建的通用事件作为父事件，基于事件特征属性构建的扩展事件为子事件。

其中，事件通用属性可以包括数据处理事件所处的设备信息、网络环境信息、时间信息、事件行为种类中至少一种。其中，设备信息可以为产生数据处理事件的设备标识或是设备类型等，网络环境信息可以是网络地址、基站信息、WIFI信息等与网络环境相关的至少一种信息。时间信息是指事件相应的事件信息，例如网络购物事件中交易时间、付款时间等。事件行为种类是指事件对应行为归属的种类，例如登录、交易等。具体可以根据实际需求定义事件通用属性的种类，本申请对此并不做限制。事件特征属性可以是与数据处理过程相关的各种属性，具体可以根据实际的数据处理过程进行设定，例如针对交易过程，对应的事件特征属性可以有交易数量、买家级别、商品类型等。

以租户X、租户Y等多个租户为例，图3为背景技术的方案设置的事件属性示意图，在实际应用中，数据处理系统也即是业务系统，针对各个租户统计所有的事件属性，并且对事件属性并不做任何区分，以租户X为例，包括时间信息、设备信息、环境信息(网络环境信息)、租户X的提供的数据处理类型(业务信息)等属性未做分类。图4为本申请实施例的方案设置的事件属性示意图，以时间信息、设备信息、网络环境信息和更多其他通用信息抽取出来，作为共有的事件通用属性，而与各个租户的数据处理过程相关的事件属性为事件特征属性，针对不同的租户均有自己对应的事件特征属性。

以登录事件为例，不同租户下登录事件的共有的事件通用属性可以为登录时间、登录次数、登录终端，对应的事件特征属性为登录用户名、登录所处数据处理系统的数据处理类型、登录行为发生的数据处理场景等。具体的事件通用属性和事件特征属性的种类可以根据实际需求设置，本申请对此并不做限制。

步骤102，采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果。

本申请实施例还针对事件通用属性和事件特征属性分别配置对应的风险识别规则，基于事件通用属性进行风险识别的规则为第一风险识别规则，基于事件特征属性进行风险识别的规则为第二风险识别规则。风险识别规则由具体的判断条件和风险识别结果组成，针对不同的判断结果对应不同的风险识别结果，判断条件可以综合一个或多个属性共同得出。以登录事件为例，针对事件通用属性的风险识别规则可以为判断登录时间是否符合设定时间段且登录次数大于设定阈值，若是，则为风险事件，判断登录终端是否在预置的黑名单中，若是，则为风险事件。针对事件特征属性的风险识别规则可以是判断登录名在数据处理系统的预置的黑名单中，则为风险事件。

由于第一风险识别规则针对所有租户的数据处理系统统一配置，参考了不同数据处理系统下风险识别的普遍规律，可以灵活配置所需的识别规则，例如，可以对应配置人机识别规则，实现对具体操作的主体为人类还是机器进行区分，提高验证过程的可靠性。并且由于第一风险识别规则为共用的规则，因此更新简单，无需针对各个数据处理系统对应修改，大大减少了配置和维护规则的工作量，可提升风控服务的维护效率。

并且，由于基于事件通用属性进行识别的第一风险识别规则可以适用于所有数据处理系统，从而使得新接入风控服务的数据处理系统，在基于事件特征属性进行识别的第二风险识别规则未配置完成之前，可以先采用第一风险识别规则进行识别，在保证各个租户之间数据隔离的前提下，提高了接入初期的风控能力。

图5示出了本申请实施例的风险识别规则配置的示意图。针对图4中解析得到的事件通用属性配置了对应的第一风险识别规则(通用策略)，针对解析得到的事件特征属性，配置了对应的第二风险识别规则(业务策略)。

步骤103，采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

进一步将通用识别结果用于后续识别，采用结合通用风险识别结果和事件特征属性进行识别的第二风险识别规则进行二次识别，相比于单一采用事件特征属性进行识别，可以提高风险识别的准确率。

用户在一个行为过程中涉及到多个租户的数据处理事件时，需要提供一种关联多个数据处理事件的识别机制。本申请实施例中，优选地，所述采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别可以为，结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别。

第一结果集合存放了多个数据处理系统的通用识别结果，具体包括多个数据处理系统下数据处理事件的事件通用属性以及基于该事件通用属性的识别结果，在基于事件通用属性进行识别时，结合多个租户基于通用属性的历史识别结果共同识别，相当于横向集合了多个数据处理系统的数据结果，从而可以关联多个租户的多个数据处理事件形成一个过程，基于关联的数据处理事件进行识别从而可以提高识别的准确率，对历史识别结果进行充分利用。

具体可以是结合通用识别结果中其他数据处理系统的数据处理事件的事件通用属性与当前数据处理事件的事件通用属性进行共同识别，也即是基于其他数据处理事件与当前数据处理事件的关联的事件通用属性进行识别；也可以是结合其他数据处理系统的数据处理事件的通用识别结果与当前数据处理事件的事件通用属性进行共同识别，具体的规则可以根据实际需求制定，本申请对此并不做限制。

结合其他数据处理系统的数据处理事件的事件通用属性进行识别时，具体可以是：首先，从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；其次，基于针对关联的事件通用属性设定的风险识别的第一判断条件，对所述当前数据处理事件进行第一次风险识别。此处所述的关联可以是具有相同的事件通用属性，也可以是具有相关、相匹配的事件通用属性，具体关联的事件通用属性可以预先设置，该第一判断条件是针对关联的通用属性进行判断。

以异地登录事件为例，同一设备同一时间，在A租户的N城市和B租户的M城市登录，针对单个数据处理系统的登录事件并不会识别出异常，需要结合多个数据处理系统的通用事件识别结果进行识别。若结合已识别的A租户的登录事件的通用识别结果对应的事件通用属性，与B租户的事件通用属性，共同对未识别的B租户的登录事件进行识别，关联的事件通用属性为登录设备和登录时间相同，判断条件为地点变化速度过大，即地点变化速度大于设定值，该地点变化速度的计算具体可以是变化前后的两个地点之间的距离差值与登录时间差值的商。查找到具有相同的登录设备和登录时间的登录事件为A租户和B租户在M/N城市的登录事件后，计算地点变化速度，若地点变化速度过大时，意味着同一设备在极短的时间内在距离较远的不同地方发生登录，则判定为发生异地登录事件，也即是一种风险事件。

结合其他数据处理系统的数据处理事件的识别结果与当前数据处理事件的事件通用属性进行共同识别时，可以从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；基于所述具有关联的事件通用属性的历史数据处理事件的通用风险识别结果，对所述当前数据处理事件进行第一次风险识别。具体的判断规则可以根据实际需求设定。

例如，结合已识别的A租户的登录事件的通用识别结果，与B租户的事件通用属性，共同对未识别的B租户的登录事件进行识别，可以设置第一风险识别规则为前一个事件的识别结果为后一个事件的识别结果，若A租户的登录事件的通用识别结果为风险事件，则B租户下的登录事件也为风险事件，无需再次识别。由此可见，通过关联其他数据处理系统的通用识别结果，还可以简化当前识别，提高识别效率。

本申请实施例中，优选地，在获得通用识别结果后，可以将所述通用识别结果添加至存放多种数据处理系统的历史通用识别结果的第一结果集合，结合上述步骤，作为共享数据供其他数据处理事件的识别所用。

本申请实施例中，优选地，所述第二风险识别规则包括基于事件特征属性进行风险识别的第二判断条件，以及基于第二判断条件的判断结果和通用识别结果综合判断的第三判断条件，具体的判断条件可以根据实际需求设定。在进行风险识别时，首先，采用第二判断条件识别当前数据处理事件，获得特征识别结果；其次，采用所述第三判断条件综合特征识别结果和通用识别结果进行判断，获得当前数据处理事件的综合识别结果。相比于单一采用事件特征属性进行识别，在保证租户之间的数据隔离性的同时，可以提高风险识别的准确率。

更具体而言，上述第二次风险识别的过程中，还可以结合历史特征识别结果共同进行识别。具体为采用结合存放多种数据处理系统的历史通用识别结果的第一结果集合、存放多种数据处理系统的历史综合识别结果的第二结果集合以及事件特征属性进行识别的第二风险识别规则对当前数据处理事件进行第二次风险识别。

其中，所述第二风险识别规则包括综合数据处理事件的通用识别结果和事件特征属性进行风险识别的第四判断条件，以及综合历史数据处理事件和当前数据处理事件具有关联的事件通用属性进行风险识别的第五判断条件。第四判断条件和第五判断条件可以根据实际需求设定。

通过对历史特征识别结果的使用，可以关联在同一个数据处理过程中的多个数据处理事件，基于关联的数据处理事件进行识别从而可以提高识别的准确率，对历史识别结果进行充分利用。具体可以是结合特征识别结果中其他数据处理事件的事件特征属性与当前数据处理事件的事件特征属性进行共同识别，也即是基于其他数据处理事件与当前数据处理事件的关联的事件特征属性进行识别；也可以是结合其他数据处理系统的数据处理事件的识别结果与当前数据处理事件的事件通用属性进行共同识别，具体的规则可以根据实际需求制定，本申请对此并不做限制。

相应优选地，可以将所述综合识别结果添加至存放历史综合识别结果的第二结果集合。结合上述步骤，作为共享数据供其他数据处理事件的识别所用。

参照图6，示出了根据本申请另一个实施例的一种数据处理事件的风险识别方法实施例的流程图，该方法具体可以包括以下步骤：

步骤201，加载预先统一定义的事件通用属性以及针对各种数据处理系统分别定义的事件特征属性。

在启动风控服务时，需要预先加载统一定义的事件通用属性和针对各数据处理系统分别定义的事件特征属性，以供后续解析数据处理事件时使用。

步骤202，加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则。

在启动风控服务时，需要预先加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则，以后后续识别所用，本步骤与上个步骤的执行顺序并不限定，也可以同时执行。

步骤203，查找针对当前数据处理事件所属数据处理系统设定的事件特征属性，所述当前数据处理事件携带所属数据处理系统的目标数据处理类型。

步骤204，查找针对所述当前数据处理事件的目标数据处理类型设定的第二风险识别规则。

事件特征属性与数据处理类型对应存储，针对当前待识别的待识别的数据处理事件，需要提取当前数据处理事件所携带的目标数据处理类型，目标数据处理类型标识当前数据处理事件所对应的数据处理系统，根据目标数据处理类型可以确定对应该数据处理系统设定的事件特征属性。

步骤205，按照预先定义的事件通用属性和查找的事件特征属性解析当前数据处理事件，获得对应的事件通用属性和事件特征属性。

步骤206，采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果。

步骤207，若不存在针对所述目标数据处理类型设定的第二风险识别规则，则输出针对当前数据处理事件的通用识别结果。

针对新接入风控服务的数据处理系统，在基于事件特征属性进行识别的第二风险识别规则未配置完成之前，并无法进行后续的风险识别，因此，可以直接将通用识别结果输出。相比于背景技术无法对新接入数据处理系统进行识别的方案，本申请可以提高接入初期的风控能力。

步骤208，采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

步骤209，根据触发的更新操作，对所述第一风险识别规则或第二风险识别规则进行更新。

可以提供针对识别规则的更新入口，供风控服务的维护人员根据需求及时进行更新，通过鼠标或触摸操作访问该更新入口可以展示待更新的风险识别规则，进一步可以通过提供输入框或是增加、删除的按钮来实现更新，具体的更新方式本申请并不限制。

如图7示出了本实施例中风控系统加载过程的一个示意图，在风控系统启动后，加载事件定义，进一步加载第一风险识别规则(通用策略)，加载第二风险识别规则(业务定制策略)，然后启用规则，即启动策略服务，后续还可以对策略进行更新。

为使本领域技术人员更好地理解本申请，以下通过具体的示例对本申请的一种数据处理事件的风险识别方法进行说明。

参见图8，示出了本申请实施例的一个示例中数据处理事件的风险识别过程示意图。

1、对待识别的数据处理事件进行事件解析，得到事件通用属性和事件特征属性。

2、读取通用风险识别结果(通用风险结果数据)结合第一风险识别规则(通用风险识别策略)，进行通用风险的识别，得到通用识别结果(通用风险结果数据)。

3、将通用风险识别结果写入对应存放位置。

4、读取通用识别结果(通用风险结果数据)以及特征识别结果(风险结果数据)，结合第二风险识别规则(业务风险识别规则)，进行识别，得到特征识别结果(风险结果数据)。

5、将特征识别结果写入对应存放位置。

参考图8，示出了根据本申请一个实施例的一种数据处理事件的风险识别装置的结构框图，具体可以包括：

属性解析模块301，用于解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；

一次识别模块302，用于采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

二次识别模块303，用于采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

本申请实施例中，优选地，所述一次识别模块，具体用于结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别。

本申请实施例中，优选地，所述一次识别模块包括：

事件查找子模块，用于从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

第一判断子模块，用于基于针对关联的事件通用属性设定的风险识别的第一判断条件，对所述当前数据处理事件进行第一次风险识别。

本申请实施例中，优选地，所述一次识别模块包括：

事件查找子模块，用于从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

结果识别子模块，用于基于所述具有关联的事件通用属性的历史数据处理事件的通用风险识别结果，对所述当前数据处理事件进行第一次风险识别。

本申请实施例中，优选地，所述装置还包括：

第一结果添加模块，用于将所述通用识别结果添加至存放多种数据处理系统的历史通用识别结果的第一结果集合。

本申请实施例中，优选地，所述第二风险识别规则包括基于事件特征属性进行风险识别的第二判断条件，以及基于第二判断条件的判断结果和通用识别结果综合判断的第三判断条件；

所述二次识别模块包括：

第二判断子模块，用于采用第二判断条件识别当前数据处理事件，获得特征识别结果；

第三判断子模块，用于采用所述第三判断条件综合特征识别结果和通用识别结果进行判断，获得当前数据处理事件的综合识别结果。

本申请实施例中，优选地，所述二次识别模块，具体用于采用结合存放多种数据处理系统的历史通用识别结果的第一结果集合、存放多种数据处理系统的历史综合识别结果的第二结果集合以及事件特征属性进行识别的第二风险识别规则对当前数据处理事件进行第二次风险识别；其中，所述第二风险识别规则包括综合数据处理事件的通用识别结果和事件特征属性进行风险识别的第四判断条件，以及综合历史数据处理事件和当前数据处理事件具有关联的事件通用属性进行风险识别的第五判断条件。

本申请实施例中，优选地，所述事件通用属性包括数据处理事件所处的设备信息、网络环境信息、时间信息、事件行为种类中至少一种。

依据本申请实施例，将数据处理事件的属性划分为事件通用属性和事件特征属性，不仅针对事件特征属性预置对应的识别规则，还针对事件通用属性预置对应的识别规则，针对待识别的当前数据处理事件，解析获得对应的事件通用属性和事件特征属性，先采用基于事件通用属性进行识别的第一风险识别规则识别，获得通用识别结果，由于第一风险识别规则针对所有租户的不同数据处理系统统一配置，参考了不同数据处理系统下风险识别的普遍规律，可以灵活配置多种识别规则，并且第一风险识别规则更新简单，无需针对各个数据处理系统对应修改，仅需针对各租户分别配置特有的第二风险识别规则，大大减少了配置和维护规则的工作量，可提升风控服务的维护效率。进一步将通用识别结果用于后续识别，采用结合通用风险识别结果和事件特征属性进行识别的第二风险识别规则进行二次识别，相比于单一采用事件特征属性进行识别，在保证租户之间的数据隔离性的同时，可以提高风险识别的准确率。

由于基于事件通用属性进行识别的第一风险识别规则可以适用于所有数据处理系统，从而使得新接入风控服务的数据处理系统，在基于事件特征属性进行识别的第二风险识别规则未配置完成之前，可以先采用第一风险识别规则进行识别，提高了接入初期的风控能力。

进一步，在基于事件通用属性进行识别时，还可以结合多个租户基于通用属性的历史识别结果共同识别，从而可以关联多个租户的多个数据处理事件形成一个过程，基于关联的数据处理事件进行识别从而可以提高识别的准确率，对历史识别结果进行充分利用。

参考图9，示出了根据本申请另一个实施例的一种数据处理事件的风险识别装置的结构框图，具体可以包括：

属性加载模块401，用于在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，加载预先统一定义的事件通用属性以及针对各种数据处理系统分别定义的事件特征属性。

规则加载模块402，用于在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则。

属性解析模块403，用于解析当前数据处理事件的事件通用属性和事件特征属性，所述当前数据处理事件携带所属数据处理系统的目标数据处理类型；

本申请实施例中，优选地，所述属性解析模块403包括：

属性查找子模块，用于查找针对当前数据处理事件所属数据处理系统设定的事件特征属性；

属性获得子模块，用于按照预先定义的事件通用属性和查找的事件特征属性解析当前数据处理事件，获得对应的事件通用属性和事件特征属性。

一次识别模块404，用于采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

规则查找模块405，用于查找针对所述当前数据处理事件的目标数据处理类型设定的第二风险识别规则。

结果输入模块406，用于若不存在针对所述目标数据处理类型设定的第二风险识别规则，则输出针对当前数据处理事件的通用识别结果。

二次识别模块407，用于采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

第二结果添加模块408，用于将所述综合识别结果添加至存放历史综合识别结果的第二结果集合。

规则更新模块409，用于根据触发的更新操作，对所述第一风险识别规则或第二风险识别规则进行更新。

依据本申请实施例，将数据处理事件的属性划分为事件通用属性和事件特征属性，不仅针对事件特征属性预置对应的识别规则，还针对事件通用属性预置对应的识别规则，针对待识别的当前数据处理事件，解析获得对应的事件通用属性和事件特征属性，先采用基于事件通用属性进行识别的第一风险识别规则识别，获得通用识别结果，由于第一风险识别规则针对所有租户的不同数据处理系统统一配置，参考了不同数据处理系统下风险识别的普遍规律，可以灵活配置多种识别规则，并且第一风险识别规则更新简单，无需针对各个数据处理系统对应修改，仅需针对各租户分别配置特有的第二风险识别规则，大大减少了配置和维护规则的工作量，可提升风控服务的维护效率。进一步将通用识别结果用于后续识别，采用结合通用风险识别结果和事件特征属性进行识别的第二风险识别规则进行二次识别，相比于单一采用事件特征属性进行识别，在保证租户之间的数据隔离性的同时，可以提高风险识别的准确率。

由于基于事件通用属性进行识别的第一风险识别规则可以适用于所有数据处理系统，从而使得新接入风控服务的数据处理系统，在基于事件特征属性进行识别的第二风险识别规则未配置完成之前，可以先采用第一风险识别规则进行识别，提高了接入初期的风控能力。

由于所述装置实施例基本相应于前述图1、图2所示的方法实施例，故本实施例的描述中未详尽之处，可以参见前述实施例中的相关说明，在此就不赘述了。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本申请也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本申请的内容，并且上面对特定语言所做的描述是为了披露本申请的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本申请的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个申请方面中的一个或多个，在上面对本申请的示例性实施例的描述中，本申请的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本申请要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，申请方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本申请的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本申请的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本申请的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本申请实施例的数据处理事件的风险识别设备中的一些或者全部部件的一些或者全部功能。本申请还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本申请的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本申请进行说明而不是对本申请进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本申请可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (15)

1.一种数据处理事件的风险识别方法，其特征在于，包括：

解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；

采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。

2.根据权利要求1所述的方法，其特征在于，所述采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别包括：

结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别。

3.根据权利要求2所述的方法，其特征在于，所述结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别包括：

从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

基于针对关联的事件通用属性设定的风险识别的第一判断条件，对所述当前数据处理事件进行第一次风险识别。

4.根据权利要求2所述的方法，其特征在于，所述结合存放多种数据处理系统的历史通用识别结果的第一结果集合与所述第一风险识别规则，对当前数据处理事件进行第一次风险识别包括：

从第一结果集合中查找与当前数据处理事件具有关联的事件通用属性的历史数据处理事件；

基于所述具有关联的事件通用属性的历史数据处理事件的通用风险识别结果，对所述当前数据处理事件进行第一次风险识别。

5.根据权利要求2所述的方法，其特征在于，所述方法还包括：

将所述通用识别结果添加至存放多种数据处理系统的历史通用识别结果的第一结果集合。

6.根据权利要求1所述的方法，其特征在于，所述第二风险识别规则包括基于事件特征属性进行风险识别的第二判断条件，以及基于第二判断条件的判断结果和通用识别结果综合判断的第三判断条件；

所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果包括：

采用第二判断条件识别当前数据处理事件，获得特征识别结果；

采用所述第三判断条件综合特征识别结果和通用识别结果进行判断，获得当前数据处理事件的综合识别结果。

7.根据权利要求1所述的方法，其特征在于，所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别包括：

采用结合存放多种数据系统的历史通用识别结果的第一结果集合、存放多种数据系统的历史综合识别结果的第二结果集合以及事件特征属性进行识别的第二风险识别规则对当前数据处理事件进行第二次风险识别；其中，所述第二风险识别规则包括综合数据处理事件的通用识别结果和事件特征属性进行风险识别的第四判断条件，以及综合历史数据处理事件和当前数据处理事件具有关联的事件通用属性进行风险识别的第五判断条件。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

将所述综合识别结果添加至存放历史综合识别结果的第二结果集合。

9.根据权利要求1所述的方法，其特征在于，所述当前数据处理事件携带所属数据处理系统的目标数据处理类型，在所述采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别之前，所述方法还包括：

查找针对所述当前数据处理事件的目标数据处理类型设定的第二风险识别规则。

10.根据权利要求9所述的方法，其特征在于，所述方法还包括：

若不存在针对所述目标数据处理类型设定的第二风险识别规则，则输出针对当前数据处理事件的通用识别结果。

11.根据权利要求1所述的方法，其特征在于，在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，所述方法还包括：

加载预先统一定义的事件通用属性以及针对各种数据处理系统分别定义的事件特征属性；

所述解析当前数据处理事件的事件通用属性和事件特征属性包括：

查找针对当前数据处理事件所属数据处理系统设定的事件特征属性；

按照预先定义的事件通用属性和查找的事件特征属性解析当前数据处理事件，获得对应的事件通用属性和事件特征属性。

12.根据权利要求1所述的方法，其特征在于，在所述解析当前数据处理事件的事件通用属性和事件特征属性之前，所述方法还包括：

加载针对事件通用属性的第一风险识别规则和针对各种数据处理系统的事件特征属性对应设定的第二风险识别规则。

13.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据触发的更新操作，对所述第一风险识别规则或第二风险识别规则进行更新。

14.根据权利要求1所述的方法，其特征在于，所述事件通用属性包括数据处理事件所处的设备信息、网络环境信息、时间信息、事件行为种类中至少一种。

15.一种数据处理事件的风险识别装置，其特征在于，包括：

属性解析模块，用于解析当前数据处理事件的事件通用属性和事件特征属性；所述事件通用属性为多个数据处理系统的数据处理事件共有的属性，所述事件特征属性为数据处理事件在所属数据处理系统特有的属性；

第一次识别模块，用于采用基于事件通用属性进行识别的第一风险识别规则进行第一次风险识别，获得通用识别结果；

第二次识别模块，用于采用结合所述通用识别结果和事件特征属性进行识别的第二风险识别规则进行第二次风险识别，获得针对当前数据处理事件的综合识别结果。