CN109194689A - 异常行为识别方法、装置、服务器及存储介质 - Google Patents

Abstract

本发明公开了一种异常行为识别方法、装置、服务器及存储介质。本发明获取用户设备发送的待验证交互请求，再根据所述待验证交互请求确定对应的待验证交互行为，接着获取所述待验证交互行为的多个待验证特征信息，然后通过目标深度学习模型确定所述待验证特征信息之间的关联度，最后根据所述关联度对所述待验证交互行为进行异常识别，能够有效地识别隐藏的异常行为，提高了攻击者在进行伪造时的成本，降低了攻击者的伪造率。

Description

异常行为识别方法、装置、服务器及存储介质

技术领域

本发明涉及信息处理技术领域，尤其涉及一种异常行为识别方法、装置、服务器及存储介质。

背景技术

随着信息时代的发展，人们越来越离不开网络，日常生活中会涉及很多通过网络进行的活动，例如：网购火车票、网购优惠商品等，这些活动通常是由用户在用户终端上进行，但由于人工智能对于信息的处理能力远超人类，因此，很多资源容易被利用人工智能来模拟用户行为的攻击者垄断，使得真正的用户无法享受到这些资源。

为保证真正的用户能够享受到这些资源，现有技术中通常采用人机识别验证的方式来对人工智能模拟的用户行为进行识别，但攻击者同样会将自己的异常行为隐藏在正常交互流程中，如何更加准确地识别这些隐藏的异常行为，从而提高攻击者在进行伪造时的成本，降低攻击者的伪造率成为了重中之重。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种异常行为识别方法、装置、服务器及存储介质，旨在解决现有技术中如何提高识别隐藏的异常行为准确率的技术问题。

为实现上述目的，本发明提供一种异常行为识别方法，所述异常行为识别方法包括以下步骤：

获取用户设备发送的待验证交互请求；

根据所述待验证交互请求确定对应的待验证交互行为；

获取所述待验证交互行为的多个待验证特征信息；

通过目标深度学习模型确定所述待验证特征信息之间的关联度；

根据所述关联度对所述待验证交互行为进行异常识别。

优选地，所述通过目标深度学习模型确定所述待验证特征信息之间的关联度之前，所述异常行为识别方法还包括：

从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型。

优选地，所述从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型，具体包括：

从所述待验证交互请求中提取当前用户标识，在预设模型库中查找与所述当前用户标识对应的目标深度学习模型。

优选地，所述获取用户设备发送的待验证交互请求之前，所述异常行为识别方法还包括：

获取不同用户标识分别对应的样本交互行为；

获取各样本交互行为分别对应的样本特征信息，获取各样本特征信息之间的关联度；

根据各用户标识的样本特征信息对初始深度学习模型进行训练，获得各用户标识对应的深度学习模型；

将各用户标识以及对应的深度学习模型存储至预设模型库中。

优选地，所述获取不同用户标识分别对应的样本交互行为，具体包括：

从历史交互日志中获取不同用户标识分别对应的样本交互行为。

优选地，所述根据所述关联度对所述待验证交互行为进行异常识别，具体包括：

将所述关联度与预设关联阈值进行比较；

根据比较结果对所述待验证交互行为进行异常识别。

优选地，所述根据比较结果对所述待验证交互行为进行异常识别，具体包括：

当比较结果为所述关联度大于等于所述预设关联阈值时，认定所述待验证交互行为不属于异常行为；

当比较结果为所述关联度小于所述预设关联阈值时，认定所述待验证交互行为属于异常行为。

此外，为实现上述目的，本发明还提供一种服务器，其特征在于，所述服务器包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的异常行为识别程序，所述异常行为识别程序配置为实现如上所述的异常行为识别方法的步骤。

此外，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有异常行为识别程序，所述异常行为识别程序被处理器执行时实现如上所述的异常行为识别方法的步骤。

此外，为实现上述目的，本发明还提供一种异常行为识别装置，所述装置包括：

请求获取模块，用于获取用户设备发送的待验证交互请求；

行为确定模块，用于根据所述待验证交互请求确定对应的待验证交互行为；

信息提取模块，用于从所述待验证交互行为中提取多个待验证特征信息；

关联度确定模块，用于通过目标深度学习模型确定所述待验证特征信息之间的关联度；

异常识别模块，用于根据所述关联度对所述待验证交互行为进行异常识别。

本发明获取用户设备发送的待验证交互请求，再根据所述待验证交互请求确定对应的待验证交互行为，接着获取所述待验证交互行为的多个待验证特征信息，然后通过目标深度学习模型确定所述待验证特征信息之间的关联度，最后根据所述关联度对所述待验证交互行为进行异常识别，能够有效地识别隐藏的异常行为，提高了攻击者在进行伪造时的成本，降低了攻击者的伪造率。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的服务器结构示意图；

图2为本发明异常行为识别方法第一实施例的流程示意图；

图3为本发明异常行为识别方法第二实施例的流程示意图；

图4为本发明异常行为识别装置第一实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明实施例方案涉及的硬件运行环境的服务器的结构示意图。

如图1所示，该服务器可以包括：处理器1001，例如CPU，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图1中示出的结构并不构成对服务器的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种计算机存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及异常行为识别程序。

在图1所示的服务器中，网络接口1004主要用于与外部网络进行数据通信；用户接口1003主要用于接收用户的输入指令；所述服务器通过处理器1001调用存储器1005中存储的异常行为识别程序，并执行以下操作：

获取用户设备发送的待验证交互请求；

根据所述待验证交互请求确定对应的待验证交互行为；

从所述待验证交互行为中提取多个待验证特征信息；

通过目标深度学习模型确定所述待验证特征信息之间的关联度；

根据所述关联度对所述待验证交互行为进行异常识别。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

从所述待验证交互请求中提取当前用户标识，在预设模型库中查找与所述当前用户标识对应的目标深度学习模型。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

获取不同用户标识分别对应的样本交互行为；

从各样本交互行为中分别提取样本特征信息，获取各样本特征信息之间的关联度；

根据各用户标识的样本特征信息对初始深度学习模型进行训练，获得各用户标识对应的深度学习模型；

将各用户标识以及对应的深度学习模型存储至预设模型库中。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

从历史交互日志中获取不同用户标识分别对应的样本交互行为。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

将所述关联度与预设关联阈值进行比较；

根据比较结果对所述待验证交互行为进行异常识别。

进一步地，处理器1001可以调用存储器1005中存储的异常行为识别程序，还执行以下操作：

当比较结果为所述关联度大于等于所述预设关联阈值时，认定所述待验证交互行为不属于异常行为；

当比较结果为所述关联度小于所述预设关联阈值时，认定所述待验证交互行为属于异常行为。

本实施例通过上述方案，获取用户设备发送的待验证交互请求，再根据所述待验证交互请求确定对应的待验证交互行为，接着获取所述待验证交互行为的多个待验证特征信息，然后通过目标深度学习模型确定所述待验证特征信息之间的关联度，最后根据所述关联度对所述待验证交互行为进行异常识别，能够有效地识别隐藏的异常行为，提高了攻击者在进行伪造时的成本，降低了攻击者的伪造率。

基于上述硬件结构，提出本发明异常行为识别方法实施例。

参照图2，图2为本发明异常行为识别方法第一实施例的流程示意图。

在第一实施例中，所述异常行为识别方法包括以下步骤：

S10：获取用户设备发送的待验证交互请求。

需要说明的是，所述待验证交互请求为用户通过用户设备所触发的需要进行交互的请求。

可理解的是，所述用户设备为个人电脑、笔记本电脑、智能手机或平板电脑等终端设备，当然，还可为其他具有类似功能的终端设备。

S20：根据所述待验证交互请求确定对应的待验证交互行为。

在具体实现中，所述待验证交互请求通常具有一定的目的性，例如：读取某一存储单元中的数据，又或是读取某一文件等，此时，所述待验证交互行为即为反映所述待校验交互请求目的性的行为。

S30：获取所述待验证交互行为的多个待验证特征信息。

需要说明的是，所述待验证交互行为通常会带有一些待验证信息，例如：设备型号ID等特征，为了便于进行后续异常行为识别，本实施例中，还可再获取待验证性能特征等特征信息，例如：可在第一时刻向用户设备反馈一较为复杂的逻辑运算问题，并记录所述用户设备反馈运算问题的第二时刻，将第一时刻和第二时刻之间的时间差作为待验证性能特征。

S40：通过目标深度学习模型确定所述待验证特征信息之间的关联度。

可理解的是，由于所述设备型号ID本身会对应实际性能特征，即根据设备型号ID可估算出实际设备性能，相应地，可根据所述待验证性能特征通过目标深度学习模型确定对应的待验证设备性能，此时，可计算所述实际设备性能与待验证设备性能之间的比值，并根据所述比值作为所述待验证特征信息之间的关联度。

在具体实现中，设备型号ID可反映所述用户设备内部的硬件型号，此时，可大概估算出实际设备性能，所述实际设备性能可为性能指数，例如：某一手机的性能指标为24874，然后，可通过所述目标深度学习模型来确定所述待验证性能特征对应的待验证设备性能，当然，所述目标深度学习模型即需要通过大量样本性能指数和样本性能特征进行训练。

S50：根据所述关联度对所述待验证交互行为进行异常识别。

为便于对所述待验证交互行为进行异常识别，以确定所述待验证交互行为是否为异常行为，在具体实现中，可将所述关联度与预设关联阈值进行比较，根据比较结果对所述待验证交互行为进行异常识别。

具体地，当比较结果为所述关联度大于等于所述预设关联阈值时，认定所述待验证交互行为不属于异常行为；当比较结果为所述关联度小于所述预设关联阈值时，认定所述待验证交互行为属于异常行为。

当然，若所述待验证交互行为不属于异常行为，则对所述待验证交互行为进行响应，若所述待验证交互行为属于异常行为，则对所述待验证交互行为进行拦截。

本实施例获取用户设备发送的待验证交互请求，再根据所述待验证交互请求确定对应的待验证交互行为，接着获取所述待验证交互行为的多个待验证特征信息，然后通过目标深度学习模型确定所述待验证特征信息之间的关联度，最后根据所述关联度对所述待验证交互行为进行异常识别，能够有效地识别隐藏的异常行为，提高了攻击者在进行伪造时的成本，降低了攻击者的伪造率。

参照图3，图3为本发明异常行为识别方法第二实施例的流程示意图，基于上述图2所示的实施例，提出本发明异常行为识别方法的第二实施例。

在第二实施例中，步骤S40之前，所述异常行为识别方法还包括：

S31：从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型。

由于不同用户标识的特征信息之间会存在一定区别，因此，本实施例中，可为各用户标识的用户分别设置深度学习模型，从而进一步提高异常行为的识准确率。

为便于查找所述目标深度学习模型，本实施例中，可预先设置一个预设模型库，在查找所述目标深度学习模型时，可先从所述待验证交互请求中提取当前用户标识，然后在预设模型库中查找与所述当前用户标识对应的目标深度学习模型。

为便于获取各深度学习模型，本实施例中，在步骤S10之前，所述异常行为识别方法还包括：获取不同用户标识分别对应的样本交互行为；获取各样本交互行为分别对应的样本特征信息，获取各样本特征信息之间的关联度；根据各用户标识的样本特征信息对初始深度学习模型进行训练，获得各用户标识对应的深度学习模型；将各用户标识以及对应的深度学习模型存储至预设模型库中。

为便于获取所述样本交互行为，本实施例中，可从历史交互日志中获取不同用户标识分别对应的样本交互行为。

此外，本发明实施例还提出一种存储介质，所述存储介质上存储有异常行为识别程序，所述异常行为识别程序被处理器执行时实现如下操作：

获取用户设备发送的待验证交互请求；

根据所述待验证交互请求确定对应的待验证交互行为；

获取所述待验证交互行为的多个待验证特征信息；

通过目标深度学习模型确定所述待验证特征信息之间的关联度；

根据所述关联度对所述待验证交互行为进行异常识别。

本实施例的异常行为识别程序还可用于实现上述异常行为识别方法的各步骤，在此不再赘述。

此外，本发明实施例还提出一种异常行为识别装置，参照图4，所述异常行为识别装置包括：

请求获取模块10，用于获取用户设备发送的待验证交互请求；

行为确定模块20，用于根据所述待验证交互请求确定对应的待验证交互行为；

信息提取模块30，用于从所述待验证交互行为中提取多个待验证特征信息；

关联度确定模块40，用于通过目标深度学习模型确定所述待验证特征信息之间的关联度；

异常识别模块50，用于根据所述关联度对所述待验证交互行为进行异常识别。

上述装置中的各模块可用于实现上述方法中的各个步骤，在此不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在如上所述的一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种异常行为识别方法，其特征在于，所述异常行为识别方法包括以下步骤：

获取用户设备发送的待验证交互请求；

根据所述待验证交互请求确定对应的待验证交互行为；

获取所述待验证交互行为的多个待验证特征信息；

通过目标深度学习模型确定所述待验证特征信息之间的关联度；

根据所述关联度对所述待验证交互行为进行异常识别。

2.如权利要求1所述的异常行为识别方法，其特征在于，所述通过目标深度学习模型确定所述待验证特征信息之间的关联度之前，所述异常行为识别方法还包括：

从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型。

3.如权利要求2所述的异常行为识别方法，其特征在于，所述从所述待验证交互请求中提取用户标识，查找与所述用户标识对应的目标深度学习模型，具体包括：

从所述待验证交互请求中提取当前用户标识，在预设模型库中查找与所述当前用户标识对应的目标深度学习模型。

4.如权利要求3所述的异常行为识别方法，其特征在于，所述获取用户设备发送的待验证交互请求之前，所述异常行为识别方法还包括：

获取不同用户标识分别对应的样本交互行为；

获取各样本交互行为分别对应的样本特征信息，获取各样本特征信息之间的关联度；

根据各用户标识的样本特征信息对初始深度学习模型进行训练，获得各用户标识对应的深度学习模型；

将各用户标识以及对应的深度学习模型存储至预设模型库中。

5.如权利要求4所述的异常行为识别方法，其特征在于，所述获取不同用户标识分别对应的样本交互行为，具体包括：

从历史交互日志中获取不同用户标识分别对应的样本交互行为。

6.如权利要求1～5中任一项所述的异常行为识别方法，其特征在于，所述根据所述关联度对所述待验证交互行为进行异常识别，具体包括：

将所述关联度与预设关联阈值进行比较；

根据比较结果对所述待验证交互行为进行异常识别。

7.如权利要求6所述的异常行为识别方法，其特征在于，所述根据比较结果对所述待验证交互行为进行异常识别，具体包括：

当比较结果为所述关联度大于等于所述预设关联阈值时，认定所述待验证交互行为不属于异常行为；

当比较结果为所述关联度小于所述预设关联阈值时，认定所述待验证交互行为属于异常行为。

8.一种服务器，其特征在于，所述服务器包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的异常行为识别程序，所述异常行为识别程序配置为实现如权利要求1至7中任一项所述的异常行为识别方法的步骤。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有异常行为识别程序，所述异常行为识别程序被处理器执行时实现如权利要求1至7中任一项所述的异常行为识别方法的步骤。

10.一种异常行为识别装置，其特征在于，所述装置包括：

请求获取模块，用于获取用户设备发送的待验证交互请求；

行为确定模块，用于根据所述待验证交互请求确定对应的待验证交互行为；

信息提取模块，用于从所述待验证交互行为中提取多个待验证特征信息；

关联度确定模块，用于通过目标深度学习模型确定所述待验证特征信息之间的关联度；

异常识别模块，用于根据所述关联度对所述待验证交互行为进行异常识别。