CN110046805A - 风险用户发现方法及装置 - Google Patents

Abstract

本公开提供一种用于发现风险用户的方法和装置。在该方法中，基于至少一个用户的网络行为数据，构建至少一个用户‑媒介关联图，所述用户‑媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系。对所述至少一个用户‑媒介关联图中的每种用户‑媒介关联图执行社区发现，以找出至少一个社区。然后，基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户。利用该风险用户发现方法及装置，能够高效地发现风险用户。

Description

风险用户发现方法及装置

技术领域

本公开通常涉及计算机技术领域，更具体地，涉及用于发现风险用户的方法及装置。

背景技术

在比如电商平台的网络平台上，风险用户(即，恶意用户)经常会伪装成正常用户从事风险行为，比如，通过购买电商平台上的物品进行盗刷信用卡或洗钱等。风险用户通常以风险用户群体的方式出现，并且这些群体成员在平台上的行为跟正常用户相似，群体成员之间也没有直接的联系，从而不容易被发现。如何发现这些风险用户群体，成为亟待解决的问题。

发明内容

鉴于上述，本公开提供了一种风险用户发现方法及装置。利用该风险用户发现方法及装置，能够高效地发现风险用户。

根据本公开的一个方面，提供了一种用于发现风险用户的方法，包括：基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系；对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区，所述社区包括用户和/或媒介；以及基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户。

可选地，在上述方面的一个示例中，所述网络行为数据包括下述网络行为数据中的至少一种：用户所使用的网络访问设备；用户使用的网络IP地址；和用户的网络操作行为。

可选地，在上述方面的一个示例中，所述至少一个社区风险指标包括以下社区指标中的至少一种：社区稠密程度；社区中的风险用户占比。

可选地，在上述方面的一个示例中，基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户群体包括：基于所述至少一个社区的至少一个社区风险指标来对所述至少一个社区进行风险评分；从所述至少一个社区中选择风险评分满足预定要求的社区；以及将所选择出的社区中的所有用户确定为风险用户。

可选地，在上述方面的一个示例中，所述预定要求包括下述要求中的一种：风险评分大于预定阈值；风险评分最高的预定数目个社区；和风险评分最高的预定比例的社区。

可选地，在上述方面的一个示例中，所述风险网络用户是从所述至少一个社区中选择出的风险评分满足预定要求且经过人工审核后的社区中的所有用户。

可选地，在上述方面的一个示例中，对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现包括：对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行层次式社区发现。

可选地，在上述方面的一个示例中，基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户群体还包括：将所确定的风险用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。

根据本公开的另一方面，提供一种用于发现风险用户的装置，包括：关联图构建单元，被配置为基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系；社区发现单元，被配置为对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区，所述社区包括用户和/或媒介；以及风险用户确定单元，被配置为基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户。

可选地，在上述方面的一个示例中，所述网络行为数据包括下述网络行为数据中的至少一种：用户所使用的网络访问设备；用户所使用的网络IP地址；和用户的网络操作行为。

可选地，在上述方面的一个示例中，所述风险网络用户群体确定单元包括：风险评分模块，被配置为基于所述至少一个社区的至少一个社区风险指标来对所述至少一个社区进行风险评分；社区选择模块，被配置为从所述至少一个社区中选择风险评分满足预定要求的社区；以及风险用户确定模块，被配置为将所选择的社区中的所有用户确定为风险用户。

可选地，在上述方面的一个示例中，所述社区发现单元被配置为：对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行层次式社区发现。

可选地，在上述方面的一个示例中，所述风险用户确定单元还被配置为：将所确定的风险网络用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。

根据本公开的另一方面，提供一种计算设备，包括：至少一个处理器，以及与所述至少一个处理器耦合的存储器，所述存储器存储指令，当所述指令被所述至少一个处理器执行时，使得所述至少一个处理器执行如上所述的用于发现风险用户群体的方法。

根据本公开的另一方面，提供一种非暂时性机器可读存储介质，其存储有可执行指令，所述指令当被执行时使得所述机器执行如上所述的用于发现风险用户群体的方法。

附图说明

通过参照下面的附图，可以实现对于本公开内容的本质和优点的进一步理解。在附图中，类似组件或特征可以具有相同的附图标记。

图1示出了根据本公开的实施例的用于发现风险用户的方法的流程图；

图2A-2C示出了根据本公开的实施例的用户-媒介关联图的若干示例的示意图；

图3示出了根据本公开的实施例的社区发现过程的示例的示意图；

图4示出了根据本公开的实施例的风险用户确定过程的一个示例的流程图；

图5示出了根据本公开的实施例的风险用户发现装置的方框图；

图6示出了根据本公开的实施例的风险用户确定单元的一个示例的方框图；

图7示出了根据本公开的实施例的用于风险用户发现的计算设备的方框图。

具体实施方式

现在将参考示例实施方式讨论本文描述的主题。应该理解，讨论这些实施方式只是为了使得本领域技术人员能够更好地理解从而实现本文描述的主题，并非是对权利要求书中所阐述的保护范围、适用性或者示例的限制。可以在不脱离本公开内容的保护范围的情况下，对所讨论的元素的功能和排列进行改变。各个示例可以根据需要，省略、替代或者添加各种过程或组件。例如，所描述的方法可以按照与所描述的顺序不同的顺序来执行，以及各个步骤可以被添加、省略或者组合。另外，相对一些示例所描述的特征在其它例子中也可以进行组合。

如本文中使用的，术语“包括”及其变型表示开放的术语，含义是“包括但不限于”。术语“基于”表示“至少部分地基于”。术语“一个实施例”和“一实施例”表示“至少一个实施例”。术语“另一个实施例”表示“至少一个其他实施例”。术语“第一”、“第二”等可以指代不同的或相同的对象。下面可以包括其他的定义，无论是明确的还是隐含的。除非上下文中明确地指明，否则一个术语的定义在整个说明书中是一致的。

下面将结合附图来详细描述根据本公开的实施例的用于发现风险用户的方法及装置。

图1示出了根据本公开的实施例的用于发现风险用户的方法的流程图。

如图1所示，在块110，基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系。

在本公开中，网络行为数据可以是通过收集至少一个用户的网络行为来获取。例如，收集规定时间段(例如，近三个月)内的至少一个用户的网络行为数据。在本公开的一个示例中，所述网络行为数据可以包括用户访问网络所使用的网络访问设备信息、用户访问网络所使用的网络IP地址和/或用户访问网络的网络操作行为。网络访问设备信息可以使用网络访问设备的设备唯一标识信息来表示，比如，网络访问设备的国际移动设备识别码(IMEI：International Mobile Equipment Identification Number)或者MAC地址等。网络操作行为可以包括用户在网络上执行的操作行为，比如，用户使用了哪个账户来购买商品，用户购买了哪个/哪些商品，用户购买商品所花费的钱款等。在本公开的其它示例中，所述网络行为数据还可以包括其它类型的用户网络行为数据。

在收集到至少一个用户的网络行为数据后，可以基于所收集的网络行为数据来创建网络行为数据表。然后，基于所创建的网络行为数据表来来构建出至少一种用户-媒介关联图。这里，术语“媒介”是指用户进行网络行为时所使用的媒介。例如，媒介可以包括用户所使用的网络访问设备、用户所使用的网络IP地址、用户的网络操作行为等。用户之间可以基于媒介的相同性/相似性发生关联，从而可以基于这种关联性来进行聚集，由此可以基于用户-媒介关联图来进行社区聚集。

图2A-2C示出了根据本公开的实施例的用户-媒介关联图的若干示例的示意图。图2A示出了基于用户和所使用的网络访问设备构建的用户关联图，图2B示出了基于用户和所使用的网络IP地址构建的用户关联图，以及图2C示出了基于用户和用户的网络访问操作行为构建的用户关联图。这里，图2C中示出的网络操作行为例如可以包括用户使用了账户A来购买商品，用户购买了商品B，用户购买商品所花费的钱款C等。

在本公开中，用户-媒介关联图用于指示用户与进行网络行为时所使用的媒介之间的关联关系。例如，使用关系图R＝(V，E)来表示用户-媒介关联图，其中，V是关系图R中的节点集合，所述节点可以包括用户和媒介，以及E是关系图R中的边，用于指示用户和媒介之间的关联关系。在用户“张三”和媒介“设备A”之间的E存在取值时，说明用户“张三”和媒介“设备A”之间存在关联关系，并且E的取值大小用于指示用户“张三”和媒介“设备A”之间的关联关系强度值。

在本公开中，可以基于所收集的网络行为数据进行统计来确定用户-媒介关联图中的各个用户-媒介关联关系的强度值。例如，可以通过统计用户“张三”使用媒介“设备A”来进行网络行为的次数来作为用户“张三”和媒介“设备A”之间的关联关系强度值。可以通过统计用户“张三”使用媒介“网络IP地址1”来进行网络行为的次数来作为用户“张三”和媒介“网络IP地址1”之间的关联关系强度值。可以通过统计用户“张三”使用媒介“账户A”来进行网络行为的次数来作为用户“张三”和媒介“账户A”之间的关联关系强度值。如何基于所收集的网络行为数据进行统计来确定用户-媒介关联图中的各个用户-媒介关联关系的强度值，可以采用本领域的各种适用的方法来执行，在此不再详细描述。。

此外，在本公开中，所述网络行为数据可以是时间序列，即，网络行为数据具有时间属性。相应地，可以为网络行为数据设置随时间变化的权重值，该权重值随时间增加而变小，例如，可以是时间衰减因子。例如，假设用户“张三”在一周前使用设备A来购买商品，以及用户“李四”在一月前使用设备A来购买商品，则用户“张三”与媒介“设备A”之间的关联关系所对应的权重值大于用户“李四”与媒介“设备A”之间的关联关系所对应的权重值，从而虽然都是使用设备A来建立关联关系，但是用户“张三”与媒介“设备A”之间的关联关系强度值大于用户“李四”与媒介“设备A”之间的关联关系强度值。此外，在基于统计数据来确定用户-媒介之间的关联关系强度值时，针对不同时间点所统计到的用户-媒介关联的统计数据所对应的权重值也不同，然后对所得到的统计数据进行加权求和来得到最后的关联关系强度值。例如，假设在统计时段内，用户“李四”6次使用媒介“设备A”来进行网络行为，并且1次发生在一月前，2次发生在一周前，以及3次发生在3天前。假设一月前所对应的权重为0.5，一周前所对应的权重为0.7，以及3天前所对应的权重为0.9，则用户“李四”与媒介“设备A”之间的关联关系强度值为1×0.5+0.7×2+0.9×3＝4.6。

在如上构建出至少一个用户-媒介关联图后，在块120，对至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区，所述社区包括用户和/或媒介。在本公开中，可以使用本领域公知的各种社区发现算法来执行上述社区发现过程，例如，使用fast-unfolding算法来执行上述社区发现过程。在针对不同媒介的用户-媒介关联关系强度值所对应的单位不统一的情况下，还可以先对各个用户-媒介关联关系强度值进行归一化处理，然后基于归一化后的关联关系强度值来执行社区发现算法以找到至少一个社区。

图3示出了根据本公开的实施例的社区发现过程的示例的示意图。在图3中示出的社区发现算法是层次式社区发现算法。如图3所示，首先，基于社区发现算法找到Level1级的社区划分，然后，再次迭代社区发现算法来找到Level2级的社区划分。其中，Level2级的社区划分是对Level1级的社区划分后得到的社区再次聚集得到的更大的社区，即，Level2级的社区包括一个或多个Level1级的社区。在本公开中，Level2级的社区被称为是所包含的Level1级的社区的上层社区。

在如上找出至少一个社区后，在块130，基于至少一个社区的至少一个社区风险指标，从至少一个社区中确定出风险用户。在本公开中，至少一个社区风险指标可以是基于风险用户发现的应用场景确定的。例如，所述至少一个社区风险指标包括以下社区指标中的至少一种：社区稠密程度和社区中的风险用户占比。这里，社区稠密程度可以是在进行社区发现时获得，以及风险用户可以是在收集用户的网络行为数据时进行标记而获得。

图4示出了根据本公开的实施例的风险用户确定过程的一个示例的流程图。

如图4所示，在块131，基于至少一个社区的至少一个社区风险指标来对至少一个社区进行风险评分。例如，可以采用预定的风险评分模型来基于各个社区的社区风险指标进行风险评分。此外，在至少一个社区风险指标包括多个社区风险指标的情况下，还可以为每个社区风险指标设定权重值，并且基于各个社区风险指标以及对应的权重值来进行风险评分。

接着，在块133，从至少一个社区中选择风险评分满足预定要求的社区。这里，所述预定要求可以包括下述要求中的一种：风险评分大于预定阈值；风险评分最高的预定数目个社区(例如，Top100)；和风险评分最高的预定比例的社区(例如，Top 5％)。在所述预定要求包括风险评分最高的预定数目个社区或风险评分最高的预定比例的社区的情况下，从至少一个社区中选择风险评分满足预定要求的社区，以确定为风险用户群体可以包括：基于各个社区的风险评分来对至少一个社区进行排序，然后，从经过排序后的至少一个社区中选择风险评分最高的预定数目个社区或风险评分最高的预定比例的社区。

然后，在块135，将所选择的社区中的所有用户确定为风险用户。

此外，在本公开的另一示例，所述风险用户是从所述至少一个社区中选择出的风险评分满足预定要求且经过人工审核后的社区中的所有用户。即，在从至少一个社区中选择风险评分满足预定要求的社区后，还需要对所选择的社区进行人工审核。只有经过人工审核通过后的社区，才能将该社区中的所有用户确定为是风险用户。例如，针对所选择出的Top 100的社区，经过人工审核来确定最终的风险用户。

此外，在本公开的另一示例中，在对至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现是使用层次式社区发现算法执行的情况下，基于至少一个社区的至少一个社区风险指标，从至少一个社区中确定出风险用户还可以包括：将所确定的风险用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。换言之，针对所确定的风险用户所在的社区的上层社区的社区，即使该社区的风险评分不满足预定要求，也会将该社区中的所有用户确定为是风险用户。

利用图1到图4所描述的用于发现风险用户的方法，可以基于用户的网络行为数据来构建用户-媒介关联图，并基于用户-媒介关联图来进行社区发现，从而对至少一个用户进行社区聚集，即，将网络行为相似的用户聚集在同一社区内。然后，基于社区的社区风险指标来进行风险社区判定，并且将判定为风险社区的社区中的所有用户确定为风险用户，从而可以实现风险用户发现。

此外，利用根据本公开的用于发现风险用户的方法，通过使用层次式社区发现来找出不同层次的社区(即，不同颗粒度的社区)，并且将多种层次的社区放置在一起来进行风险社区判定，从而可以提高风险用户发现的精度。

此外，利用根据本公开的用于发现风险用户的方法，在对用户-媒介关联图中的每种用户-媒介关联图执行社区发现是使用层次式社区发现算法执行的情况下，还可以将所确定的风险用户所在的社区的上层社区的社区中的所有用户确定为风险用户。由此，针对所确定的风险用户所在的社区的上层社区的社区，即使该社区的风险评分不满足预定要求，也会将该社区中的用户确定为是风险用户，从而可以提高风险用户发现的精度。

图5示出了根据本公开的实施例的风险用户发现装置500的方框图。如图5所示，风险用户发现装置500包括关联图构建单元510、社区发现单元520和风险用户确定单元530。

关联图构建单元510被配置为基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图。这里，用户-媒介关联图用于表示所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系。关联图构建单元510的操作可以参考上面参照图1和图2A-2C描述的块110的操作。

社区发现单元520被配置为对至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区。社区发现单元520的操作可以参考上面参照图1和图3描述的块120的操作。

风险用户确定单元530被配置为基于至少一个社区的至少一个社区风险指标，从至少一个社区中确定出风险用户。风险用户确定单元530的操作可以参考上面参照图1和图4描述的块130的操作。

图6示出了根据本公开的实施例的风险用户确定单元530的一个示例的方框图。如图6所示，风险用户确定单元530包括风险评分模块531、社区选择模块533和风险用户确定模块535。

风险评分模块531被配置为基于至少一个社区的至少一个社区风险指标来对至少一个社区进行风险评分。风险评分模块531的操作可以参考上面参照图4描述的块131的操作。

社区选择模块533被配置为从至少一个社区中选择风险评分满足预定要求的社区。社区选择模块533的操作可以参考上面参照图4描述的块133的操作。

风险用户确定模块535被配置为将所选择的社区中的所有用户确定为风险用户。风险用户确定模块535的操作可以参考上面参照图4描述的块135的操作。

此外，在对用户-媒介关联图中的每种用户-媒介关联图执行社区发现是使用层次式社区发现算法执行的情况下，风险用户确定单元530还被配置为：将所确定的风险用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。

如上参照图1到图6，对根据本公开的风险用户发现方法及风险用户发现装置的实施例进行了描述。上面的风险用户发现装置可以采用硬件实现，也可以采用软件或者硬件和软件的组合来实现。

图7示出了根据本公开的实施例的用于风险用户发现的计算设备700的硬件结构图。如图7所示，计算设备700可以包括至少一个处理器710、存储器720、内存730和通信接口740，并且至少一个处理器710、存储器720、内存730和通信接口740经由总线760连接在一起。至少一个处理器710执行在存储器中存储或编码的至少一个计算机可读指令(即，上述以软件形式实现的元素)。

在一个实施例中，在存储器中存储计算机可执行指令，其当执行时使得至少一个处理器710：基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系；对至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区；以及基于至少一个社区的至少一个社区风险指标，从至少一个社区中确定出风险用户。

应该理解，在存储器中存储的计算机可执行指令当执行时使得至少一个处理器710进行本公开的各个实施例中以上结合图1-6描述的各种操作和功能。

在本公开中，计算设备700可以包括但不限于：个人计算机、服务器计算机、工作站、桌面型计算机、膝上型计算机、笔记本计算机、移动计算设备、智能电话、平板计算机、蜂窝电话、个人数字助理(PDA)、手持装置、消息收发设备、可佩戴计算设备、消费电子设备等等。

根据一个实施例，提供了一种比如非暂时性机器可读介质的程序产品。非暂时性机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本公开的各个实施例中以上结合图1-6描述的各种操作和功能。具体地，可以提供配有可读存储介质的系统或者装置，在该可读存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机或处理器读出并执行存储在该可读存储介质中的指令。

根据一个实施例，提供了一种比如非暂时性机器可读介质的程序产品。非暂时性机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本公开的各个实施例中以上结合图1-6描述的各种操作和功能。具体地，可以提供配有可读存储介质的系统或者装置，在该可读存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机或处理器读出并执行存储在该可读存储介质中的指令。

在这种情况下，从可读介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此机器可读代码和存储机器可读代码的可读存储介质构成了本发明的一部分。

可读存储介质的实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD-RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上或云上下载程序代码。

本领域技术人员应当理解，上面公开的各个实施例可以在不偏离发明实质的情况下做出各种变形和修改。因此，本发明的保护范围应当由所附的权利要求书来限定。

需要说明的是，上述各流程和各系统结构图中不是所有的步骤和单元都是必须的，可以根据实际的需要忽略某些步骤或单元。各步骤的执行顺序不是固定的，可以根据需要进行确定。上述各实施例中描述的装置结构可以是物理结构，也可以是逻辑结构，即，有些单元可能由同一物理实体实现，或者，有些单元可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。

以上各实施例中，硬件单元或模块可以通过机械方式或电气方式实现。例如，一个硬件单元、模块或处理器可以包括永久性专用的电路或逻辑(如专门的处理器，FPGA或ASIC)来完成相应操作。硬件单元或处理器还可以包括可编程逻辑或电路(如通用处理器或其它可编程处理器)，可以由软件进行临时的设置以完成相应操作。具体的实现方式(机械方式、或专用的永久性电路、或者临时设置的电路)可以基于成本和时间上的考虑来确定。

上面结合附图阐述的具体实施方式描述了示例性实施例，但并不表示可以实现的或者落入权利要求书的保护范围的所有实施例。在整个本说明书中使用的术语“示例性”意味着“用作示例、实例或例示”，并不意味着比其它实施例“优选”或“具有优势”。出于提供对所描述技术的理解的目的，具体实施方式包括具体细节。然而，可以在没有这些具体细节的情况下实施这些技术。在一些实例中，为了避免对所描述的实施例的概念造成难以理解，公知的结构和装置以框图形式示出。

本公开内容的上述描述被提供来使得本领域任何普通技术人员能够实现或者使用本公开内容。对于本领域普通技术人员来说，对本公开内容进行的各种修改是显而易见的，并且，也可以在不脱离本公开内容的保护范围的情况下，将本文所定义的一般性原理应用于其它变型。因此，本公开内容并不限于本文所描述的示例和设计，而是与符合本文公开的原理和新颖性特征的最广范围相一致。

Claims (15)

1.一种用于发现风险用户的方法，包括：

基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系；

对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区，所述社区包括用户和/或媒介；以及

基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户。

2.如权利要求1所述的方法，其中，所述网络行为数据包括下述网络行为数据中的至少一种：

用户所使用的网络访问设备；

用户所使用的网络IP地址；和

用户的网络操作行为。

3.如权利要求1所述的方法，其中，所述至少一个社区风险指标包括以下社区指标中的至少一种：

社区稠密程度；

社区中的风险用户占比。

4.如权利要求1所述的方法，其中，基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户包括：

基于所述至少一个社区的至少一个社区风险指标来对所述至少一个社区进行风险评分；

从所述至少一个社区中选择风险评分满足预定要求的社区；以及

将所述社区中的所有用户确定为风险用户。

5.如权利要求4所述的方法，其中，所述预定要求包括下述要求中的一种：

风险评分大于预定阈值；

风险评分最高的预定数目个社区；和

风险评分最高的预定比例的社区。

6.如权利要求4所述的方法，其中，所述风险用户是从所述至少一个社区中选择出的风险评分满足预定要求且经过人工审核后的社区中的所有用户。

7.如权利要求1到6中任一所述的方法，其中，对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现包括：

对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行层次式社区发现。

8.如权利要求7所述的方法，其中，基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户还包括：

将所确定出的风险用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。

9.一种用于发现风险用户的装置，包括：

关联图构建单元，被配置为基于至少一个用户的网络行为数据，构建至少一个用户-媒介关联图，所述用户-媒介关联图用于表示用户与进行网络行为时所使用的媒介之间的关联关系；

社区发现单元，被配置为对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行社区发现，以找出至少一个社区，所述社区包括用户和/或媒介；以及

风险用户群体确定单元，被配置为基于所述至少一个社区的至少一个社区风险指标，从所述至少一个社区中确定出风险用户。

10.如权利要求9所述的装置，其中，所述网络行为数据包括下述网络行为数据中的至少一种：

用户所使用的网络访问设备；

用户所使用的网络IP地址；和

用户的网络操作行为。

11.如权利要求9所述的装置，其中，所述风险用户确定单元包括：

风险评分模块，被配置为基于所述至少一个社区的至少一个社区风险指标来对所述至少一个社区进行风险评分；以及

社区选择模块，被配置为从所述至少一个社区中选择风险评分满足预定要求的社区；以及

风险用户确定模块，被配置为将所选择的社区中的所有用户确定为风险用户。

12.如权利要求9到11中任一所述的装置，其中，所述社区发现单元被配置为：

对所述至少一个用户-媒介关联图中的每种用户-媒介关联图执行层次式社区发现。

13.如权利要求12所述的装置，其中，所述风险用户确定单元还被配置为：

将所确定的风险用户所在的社区的上层社区的社区中的所有用户，确定为风险用户。

14.一种计算设备，包括：

至少一个处理器，以及

与所述至少一个处理器耦合的存储器，所述存储器存储指令，当所述指令被所述至少一个处理器执行时，使得所述至少一个处理器执行如权利要求1到8中任一所述的方法。

15.一种非暂时性机器可读存储介质，其存储有可执行指令，所述指令当被执行时使得所述机器执行如权利要求1到8中任一所述的方法。