CN109450920A - 一种异常账号检测方法及装置 - Google Patents

Abstract

本发明公开了一种异常账号检测方法及装置，包括：获取待分析的样本数据集；从样本数据集中获取具有关联关系的账号信息和设备信息；从设备信息中获取设备的标识信息，并依据设备的标识信息，构建与设备的标识信息有关联关系的账号之间的复杂网络；依据预设的社团挖掘算法对复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定目标社团簇中包含的账号为异常账号。由此，解决了现有技术中传统的异常账号的识别方法容易失效的问题，实现了更加全面、深入的识别异常账号的目的。

Description

一种异常账号检测方法及装置

技术领域

本发明涉及网络安全领域，尤其涉及一种异常账号检测方法及装置。

背景技术

随着互联网行业的发展，互联网企业推出了越来越多的应用程序，并且为了向用户提供更有针对化的服务，一般情况下需要客户注册账号后使用应用程序。账号不仅仅是客户私有资产，也是互联网企业的核心资产。

随着互联网O2O的大力发展，平台给予客户的补贴层出不穷，在此背景下，专门薅各平台各种优惠活动福利为目的的“羊毛党”壮大起来，例如：通过注册多个账号从平台获取利益，这些账号不是正常用户注册的账号。为了“薅羊毛”，黑产需要掌握大量的账号资源，而对于企业平台来说，如何识别这些异常账号就成为捍卫公司利益的关键。

传统的异常账号识别的方法，主要是通过手机号黑名单以及限制同一IP注册频次来实现，然而由于黑产可以随意伪造手机号和IP资源，传统的异常账号识别方法很容易失效。

发明内容

有鉴于此，本发明实施例公开了一种异常账号检测方法及装置，解决了现有技术中传统的异常账号的识别方法容易失效的问题。

本发明公开了一种异常账号检测方法，其特征在于，包括：

获取待分析的样本数据集；

从所述样本数据集中获取具有关联关系的账号信息和设备信息；

从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

可选的，所述构建所有账号之间的复杂网络，包括：

依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

将与所述设备的标识信息具有关联关系的账号之间进行关联。

可选的，所述依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇，包括：

为所述复杂网络中的每个账号节点随机的指定一个标签；

不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

将具有相同标签的账号节点作为一个社团簇。

可选的，所述不断刷新所有节点的标签，直到所有的标签不再发生变化，包括：

获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

统计与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选包含标签数量最多的目标标签集；

若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。

本发明实施例还公开了一种异常账号检测装置，包括：

第一获取单元，用于获取待分析的样本数据集；

第二获取单元，用于从所述样本数据集中获取具有关联关系的账号信息和设备的标识信息；

复杂网络构建单元，用于从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

社团簇挖掘单元，用于依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

异常账号确定单元，用于从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

可选的，所述复杂网络构建单元，包括：

关联账号确定子单元，用于依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

复杂网络构建子单元，用于将与所述设备的标识信息具有关联关系的账号之间进行关联。

可选的，所述社团簇挖掘单元，包括：

标签指定子单元，用于为所述复杂网络中的每个账号节点随机的指定一个标签；

节点刷新子单元，用于不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

社团簇确定子单元，用于将具有相同标签的账号节点作为一个社团簇。

可选的，所述社团簇确定子单元，，包括：

获取子单元，用于获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

统计子单元，用于统计与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选子单元，用于筛选包含标签数量最多的目标标签集；

第一赋值子单元，用于若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

第二赋值子单元，用于若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。

本发明实施例公开了一种异常账号检测方法及装置，包括：获取待分析的样本数据集；从样本数据集中获取具有关联关系的账号信息和设备信息；从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；依据预设的社团挖掘算法，对复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。由此可知，通过设备的标识信息确定出与同一个设备相关联的账号，并将这些账号进行关联构成复杂网络，通过社团挖掘算法挖掘出账号节点之间更多的关联关系，进而确定出异常账号。这样，实现了更加全面、深入的识别异常账号的目的。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1示出了本发明实施例提供的一种异常账号检测方法的流程示意图；

图2示出了本发明实施例提供的一种异常账号检测装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参考图1，示出了本发明实施例提供的一种异常账号检测方法的流程示意图，在本实施例中，该方法包括：

S101：获取待分析的样本数据集；

本实施例中，待分析的样本数据集中包含账号信息以及设备信息。其中，样本数据集可以是日志信息，日志信息中包含：注册日志、登录日志、观看日志、搜索日志、广告日志等。日志信息中包含账号在设备上登录的记录，也就包含了账号的信息和设备信息，其中账号信息包括：账号的用户名等，设备信息包括：设备的标识信息、设备的IP地址等。

S102：从所述样本数据集中获取具有关联关系的账号信息和设备信息；

本实施例中，某个账号在某个设备注册或者登陆过，表示该账号与该设备为具有关联关系的账号。其中，获取到的具有关联关系的账号和设备可以表示为账号-设备对。

举例说明：在日志信息中，相关联的账号信息和设备信息会出现在同一条日志中，因此可以在同一条日志中获取到账号信息以及与账号相关联的设备信息。

S103:从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

本实施例中，设备的标识信息也可以理解为设备指纹信息，是基于设备的多种存储或路由介质生成的不重复、唯一的设备标识。

本实施例中，通过S102的步骤，由于不同的账号会在同一个设备上注册或者登陆，即不同的账号可能会与相同的设备相关联，并且每个设备具有唯一的标识信息，因此可以根据设备的标识信息确定与设备相关联的账号信息。具体的，S103包括：

依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

将与所述设备的标识信息具有关联关系的账号之间进行关联。

举例说明：假设具有关联关系的设备标识和账号构成了设备-账号对，同一个设备标识可能与多个不同的账号之间存在关联，例如：设备标识1-账号1，设备标识1-账号2，设备标识1-账号3，设备标识1-账号4，这样，账号1、账号2、账号3和账号4均是与设备标识1具有关联的账号，那么账号1、账号2、账号3和账号4之间也可能存在一定的关联性，因此将账号1、账号2、账号3和账号4进行关联。

本实施例中，对于复杂网络的构建，每个账号为复杂网络的节点，与同一个设备标识相关联的账号之间相连接构成了复杂网络的边，由于获取到了大量的账号与同一个设备相关联，每两个账号之间相连接构成了一个边，大量的账号以及账号之间的连接也就构成了一个复杂的网络。在本实施例中，可以通过多种方法构建所有账号信息的复杂网络，例如，可以通过Spark GraphX技术构建所有账号与设备的复杂网络，Spark GraphX是一个分布式图处理框架，它是基于Spark平台提供对图计算和图挖掘简洁易用的而丰富的接口，极大的方便了对分布式图处理的需求。

S104:依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

本实施例中，复杂网络中包含多个节点，可能会存在一个设备上出现过多个账号的情况，或者还可能存在一个账号在多个设备上出现过，上述这些情况均表示这些账号之间是相互关联的，由此，可以通过社团挖掘算法挖掘出账号之间一些隐藏的联系。

其中，在本实施例中可以通过标签传播算法(英文全称：LabelPropagation)进行社团挖掘，具体的，S104包括：

为所述复杂网络中的每个账号节点随机的指定一个标签；

不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

将具有相同标签的账号节点作为一个社团簇。

本实施例中，指定的标签表示账号节点的信息，例如可以为一个随机的数值。当所有账号节点的标签不再发生变化后，可以将具有相同数值的标签作为一个社团簇。

本实施例中，针对于任何一个账号节点标签的刷新过程具体包括：

获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

将与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选包含标签数量最多的目标标签集；

若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。

本实施例中，目标标签的数量为相邻节点中相同标签的数量，例如，假设某个账号节点的相邻账号节点的标签分别为2、3、2、2、4、2、5，其中，划分后的标签集分别为{2,2,2,2,}、{3}、{4}、{5}，其中，2的数量为4，则包含标签2的标签集为目标标签集。上述这种情况为只筛选出来了一个目标标签集，直接将该目标标签集对应的标签2赋给该账号节点。假设某个账号节点的相邻账号节点的标签分别为2、3、3、2、3、4、2；其中，标签集包括{2,2}、{3,3}、{4}和{5},其中，包含标签最多的标签集包括两个，分别是包含标签2的标签集和包含标签3的标签集，包含标签2的标签集和包含标签3的标签集均是目标标签集，则2和3中随机选取一个赋值给该账号节点。

本实施例中，根据以上的方法，对所有的节点不断进行刷新，直到刷新完所有的节点，即所有的节点的标签不再发生变化为止。

S105:从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

本实施例中，通过上文的介绍可知，通过S104得到了多个社团簇，每个社团簇包含多个相关联的账号节点，社团簇中包含的账号节点中大于预设阈值的社团簇，则被确定为是异常的异常账号。

其中，预设阈值是技术人员根据实际情况设定的，或者根据不同社团簇包含的节点数量计算出来的，本实施例中不进行限定。

但是，为了确保识别出的异常账号更加准确，需要排除一些正常的账号，例如，基于正常的使用，一个设备上登录过多个账号，但是登录的账号的数量在正常的范围内，因此，可以排除掉一些社团簇中节点数量小于等于预设阈值的社团簇，仅将节点数大于预设阈值的目标社团簇作为目标社团簇。

本实施例中，获取待分析的样本数据集；从样本数据集中获取具有关联关系的账号信息和设备信息；从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；依据预设的社团挖掘算法，对复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。由此可知，通过设备的标识信息确定出与同一个设备相关联的账号，并将这些账号进行关联构成复杂网络，通过社团挖掘算法挖掘出账号节点之间更多的关联关系，进而确定出异常账号。这样，实现了更加全面、深入的识别异常账号的目的。

参考图2，示出了本发明实施例提供的一种异常账号检测装置的结构示意图，在本实施例中，该装置包括：

第一获取单元201，用于获取待分析的样本数据集；

第二获取单元202，用于从所述样本数据集中获取具有关联关系的账号信息和设备的标识信息；

复杂网络构建单元203，用于从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

社团簇挖掘单元204，用于依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

异常账号确定单元205，用于从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

可选的，所述复杂网络构建单元，包括：

关联账号确定子单元，用于依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

复杂网络构建子单元，用于将与所述设备的标识信息具有关联关系的账号之间进行关联。

可选的，所述社团簇挖掘单元，包括：

标签指定子单元，用于为所述复杂网络中的每个账号节点随机的指定一个标签；

节点刷新子单元，用于不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

社团簇确定子单元，用于将具有相同标签的账号节点作为一个社团簇。

可选的，所述社团簇确定子单元，，包括：

获取子单元，用于获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

统计子单元，用于统计与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选子单元，用于筛选包含标签数量最多的目标标签集；

第一赋值子单元，用于若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

第二赋值子单元，用于若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。

通过本实施例的装置，由此可知，通过设备的标识信息确定出与同一个设备相关联的账号，并将这些账号进行关联构成复杂网络，通过社团挖掘算法挖掘出账号节点之间更多的关联关系，进而确定出异常账号。这样，实现了更加全面、深入的识别异常账号的目的。需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (8)

1.一种异常账号检测方法，其特征在于，包括：

获取待分析的样本数据集；

从所述样本数据集中获取具有关联关系的账号信息和设备信息；

从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

2.根据权利要求1所述的方法，其特征在于，所述构建所有账号之间的复杂网络，包括：

依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

将与所述设备的标识信息具有关联关系的账号之间进行关联。

3.根据权利要求1所述的方法，其特征在于，所述依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇，包括：

为所述复杂网络中的每个账号节点随机的指定一个标签；

不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

将具有相同标签的账号节点作为一个社团簇。

4.根据权利要求3所述的方法，其特征在于，所述不断刷新所有节点的标签，直到所有的标签不再发生变化，包括：

获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

将与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选包含标签数量最多的目标标签集；

若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。

5.一种异常账号检测装置，其特征在于，包括：

第一获取单元，用于获取待分析的样本数据集；

第二获取单元，用于从所述样本数据集中获取具有关联关系的账号信息和设备的标识信息；

复杂网络构建单元，用于从所述设备信息中获取设备的标识信息，并依据设备的标识信息，构建与所述设备的标识信息有关联关系的账号之间的复杂网络；

社团簇挖掘单元，用于依据预设的社团挖掘算法，对所述复杂网络进行社团挖掘，得到多个社团簇；每个社团簇包含多个相关联的账号节点；

异常账号确定单元，用于从所有的社团簇中提取账号节点的数量大于预设阈值的目标社团簇，并确定所述目标社团簇中包含的账号为异常账号。

6.根据权利要求5所述的装置，其特征在于，所述复杂网络构建单元，包括：

关联账号确定子单元，用于依据所述设备的标识信息，从所有账号中确定与所述设备的标识信息具有关联关系的账号；

复杂网络构建子单元，用于将与所述设备的标识信息具有关联关系的账号之间进行关联。

7.根据权利要求5所述的装置，其特征在于，所述社团簇挖掘单元，包括：

标签指定子单元，用于为所述复杂网络中的每个账号节点随机的指定一个标签；

节点刷新子单元，用于不断刷新所有账号节点的标签，直到所有的标签不再发生变化；

社团簇确定子单元，用于将具有相同标签的账号节点作为一个社团簇。

8.根据权利要求7所述的装置，其特征在于，所述社团簇确定子单元，，包括：

获取子单元，用于获取与目标账号节点相邻的所有账号节点的标签；所述目标账号节点为任意一个账号节点；

统计子单元，用于统计与所述目标账号节点相邻的所有账号节点的标签中相同的标签划分到一个标签集中，统计每个标签集的数量；

筛选子单元，用于筛选包含标签数量最多的目标标签集；

第一赋值子单元，用于若只筛选出一个目标标签集，将该目标标签集对应的标签赋值给该账号节点；

第二赋值子单元，用于若筛选出多个目标标签，从所述多个目标标签集中随机选择一个标签赋值给所述目标账号节点。