CN110120964A - 用户行为监控方法和装置以及计算设备 - Google Patents

Abstract

本公开是关于一种用户行为监控方法，包括：获取用户的当前操作行为；基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识；以及根据所述行为标识与预设规则的比较结果处理所述当前操作行为。根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

Description

用户行为监控方法和装置以及计算设备

技术领域

本公开涉及计算机网络技术领域，尤其涉及一种基于决策策略的用户行为监控方法和装置以及计算设备。

背景技术

随着互联网技术的发展，线上支付与人们的生活关联越来越密切。以O2O(Onlineto Offline，线上到线下)为例，其基本商业模式是，用户在线上平台预先支付，然后到线下消费体验，商家实时追踪其营销效果，从而形成闭环的商业服务和体验过程。类似O2O这种以线上支付为中心的新兴商业模式还有很多，正是因为线上支付的便利和安全性，它们已经越来越为广大消费者所接受。

然而，用户在互联网支付时，不可避免的会将银行卡等重要信息暴露在网络中。不法分子利用各种手段收集用户的银行卡信息，但不能保证这些卡信息的正确性，于是利用各支付平台提供的签约或绑卡功能对这些卡信息进行筛选(可称为洗卡)。在洗卡过程中，被泄漏银行卡信息的持有人会收到银行发送的签约短信通知，从而会干扰到用户甚至可能侵犯用户的财产权利。并且，这种洗卡行为还会影响到支付平台的安全，降低用户对支付平台的信任度。

目前支付平台的风险监控针对这种洗卡行为尚无相应的解决方案。

发明内容

本公开的目的是提供一种用户行为监控方法、装置、存储介质以及计算设备，进而至少在一定程度上克服由于相关技术的限制和缺陷而导致的一个或者多个问题。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开实施例的第一方面，提供一种用户行为监控方法，包括：获取用户的当前操作行为；基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识；以及根据所述行为标识与预设规则的比较结果处理所述当前操作行为。

根据本公开实施例的第二方面，提供一种用户行为监控装置，包括：行为获取模块，设置为获取用户的当前操作行为；行为分析模块，设置为基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识；以及决策处理模块，设置为根据所述行为标识与预设规则的比较结果处理所述当前操作行为。

根据本公开实施例的第三方面，提供一种存储有计算机程序的存储介质，所述计算机程序在由计算设备的处理器运行时，使所述计算设备执行本公开任一实施例所述的用户行为监控方法。

根据本公开实施例的第四方面，提供一种计算设备，包括：处理器；存储器，存储有可由所述处理器执行的指令；其中所述处理器被配置为执行本公开任一实施例所述的用户行为监控方法。

根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

图1为根据本公开一实施例的用户行为监控方法流程图。

图2为根据本公开另一实施例的用户行为监控方法流程图。

图3为根据本公开一实施例用户行为监控装置的示意框图。

图4为根据本公开另一实施例用户行为监控装置的示意框图。

图5为根据本公开一实施例的计算设备示意框图。

具体实施方式

下面将参考若干示例性实施方式来描述本发明的原理和精神。应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本发明，而并非以任何方式限制本发明的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

本领域技术人员知道，本发明的实施方式可以实现为一种系统、装置、设备、方法或计算机程序产品。因此，本公开可以具体实现为以下形式，即：完全的硬件、完全的软件(包括固件、驻留软件、微代码等)，或者硬件和软件结合的形式。

根据本发明的实施方式，提出了一种用户行为监控方法和装置以及介质和计算设备。

下面参考本发明的若干代表性实施方式，详细阐释本发明的原理和精神。

图1为根据本公开一实施例的用户行为监控方法流程图，如图所示，本实施例的方法包括以下步骤101-103。在一个实施例中，本实施例的方法可由但不限于由任意支付平台的设备(例如服务器)来执行。

在步骤101中，获取用户的当前操作行为。

传统的风险管控策略大多基于用户的历史数据进行分析，进而训练出对可能存在风险的用户和用户行为的拦截模型。然而，这种风控策略的实施须依赖于大量且长期历史数据的记录，因此对于类似“洗卡”等非法操作不能实现及时的有效拦截。

本实施例中步骤101获取用户的当前操作行为并直接转入监控处理，最后可对于当前操作行为直接给出拒绝或允许的反馈，从而能够在传统的风控策略实施之前对存在风险的非法用户及其操作进行有效拦截。

在一个实施例中，为了构建步骤102中用到的操作池，步骤101在获取当前操作行为的同时还可包括对当前操作行为的相关信息进行记录，从而作为后续监控行为的依据。这里的相关信息可以包括但不限于发起操作的用户信息、操作类型等等。

在步骤102中，基于当前操作行为与操作池中记录的历史操作行为提取行为标识。

对于存在风险的非法操作，可通过收集用户的行为轨迹信息建立操作模型来进行识别。例如，对于类似“洗卡”等非法操作，可以用来识别的特点之一包括在短时间内的高频绑卡操作。这样一来，如果用户在一段时间内进行绑卡操作的次数高于预设阈值，便可初步判定符合“洗卡”的行为特点。

在一个实施例中，为了便于对用户的操作行为进行准确、高效的识别，服务器可基于用户一段时间的操作行为提取行为标识，这里的行为标识可包括但不限于用户身份标识、操作类型以及操作计数等信息。在一个实施例中，为了提高行为识别的准确性，用户的身份标识可以包括多维度的用户信息，例如包括但不限于账户名、真实姓名、身份证号、手机号、银行卡号、IP地址、指纹信息等等。收集多维度的用户信息有利于实施对非法操作的准确打击，既能避免“误伤”用户的正常操作，也能够防止非法操作采取各种规避措施(例如多终端、多账户、多IP联合洗卡)逃避打击的情况。

区别于上述传统风控的事后处理，步骤102将获取的当前操作行为与历史数据一起作为行为标识的提取对象，进一步作为后续实时处理的依据。

在一个实施例中，步骤102实时提取用户当前操作行为的行为标识，并将提取的行为标识存入操作池中。这样一来，对于用户当前操作行为的处理，步骤102实际进行的行为标识提取可仅针对当前操作行为进行，至于操作池中记录的历史操作行为，步骤102提取的可以是操作池中已经记录的行为标识，从而进一步提高本公开实施例用户行为监控的处理效率。在一个实施例中，操作池中可以按提取的行为标识来记录历史操作行为。

在步骤103中，根据行为标识与预设规则的比较结果处理当前操作行为。

为了对步骤102提取的行为标识进行识别，可以预先创建比较规则。例如，对于类似“洗卡”等非法操作，预设规则可以包括但不限于“同一IP地址在x分钟内进行绑卡操作的次数超过y”。这样一来，基于步骤102提取的行为标识，经与预设规则进行比对即可得到当前操作行为是否属于非法操作的比较结果。

接续，在得到当前操作行为与预设规则的比较结果后，可根据设置的策略对其进行处理。例如，在确定当前操作行为符合“洗卡”操作的预设规则时，可拒绝操作；在确定当前操作行为不符合“洗卡”操作的预设规则时，可允许操作。

根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

图2为根据本公开另一实施例的用户行为监控方法流程图，如图所示，本实施例的方法包括以下步骤201-205。在一个实施例中，本实施例的方法可由但不限于由任意支付平台的设备(例如服务器)来执行。

在步骤201中，针对非法操作行为创建预设规则。

为了对后续提取的行为标识进行识别，可以预先建立智能规则中心。规则中心中针对不同类型的非法操作可存储相应的预设规则。例如，对于类似“洗卡”等非法操作，预设规则可以包括但不限于“同一IP地址在x分钟内访问次数超过y”；而对于其他非法操作可以设置其他的预设规则。

在一个实施例中，此处的预设规则可以基于多维度的用户信息来创建。这里多维度的用户信息例如包括但不限于账户名、真实姓名、身份证号、手机号、银行卡号、IP地址、指纹信息。相应的，对于同一类非法操作，基于用户信息的类型不同也可以设置多条预设规则。例如，对于类似“洗卡”等非法操作，预设规则可以包括“同一IP地址在x1分钟内进行绑卡操作的次数超过y1”(以下称规则1)、“同一银行卡号在x2分钟被发起绑定操作的次数超过y2”(以下称规则2)等等。这样一来，符合其中任意一条预设规则的用户操作都可被识别为非法操作，从而实现全方位的限制策略。

在一个实施例中，当基于多维度的用户信息来创建预设规则时，这些预设规则之间可具有不同的优先级，从而确定后续所提取行为标识的比较顺序或置信等级。例如，对于类似“洗卡”等非法操作，上述规则2可具有比规则1更高的优先级，后续提取的行为标识优先与规则2进行比较，或者当与两条规则的比较结果不同时优先采信规则2的比较结果。这样一来，通过设置多维度的预设规则并分配不同的优先级，可以实现更灵活的监控策略。

在步骤202中，获取用户的当前操作行为，提取行为标识并记录在操作池中。

步骤202对应于前述实施例步骤101-102的一种实施方式。在本实施例中，步骤202在获取当前操作行为的同时，完成从其中提取行为标识并记录的动作。这里的行为标识包括但不限于用户标识、操作类型以及操作次数，其中用户标识与步骤201创建预设规则的依据相对应，可包括多维度的用户信息，例如账户名、真实姓名、身份证号、手机号、银行卡号、IP地址、指纹信息等等。

在一个实施例中，可在操作池中滑动记录一个时间窗口内的行为标识。例如，操作池中始终存储当前操作前10分钟内提取的行为标识，对于之前的数据则可使用最新的数据进行覆盖。

在一个实施例中，在提取行为标识之前或者在记录行为标识之前还可包括清除异常数据的步骤。

在步骤203中，统计临近时间窗口的操作数据分布，并与预设规则进行比对。

经过步骤202的提取和记录，操作池中始终存储有最近一个时间窗口的操作行为标识。并且，响应于步骤202获取的当前操作行为，步骤203开始统计操作池中最近时间窗口的操作数据分布，并将统计结果与规则中心的预设规则进行比对。

例如，用D来表示用户信息，T表示操作类型，C表示操作次数，则响应于步骤202获取到用户D1的当前操作为Tn，步骤203统计得到的操作数据分布包括：(D1,T1,C1),(D1,T2,C2)…(D1,Tn,Cn)。假设规则中心中针对类型为Tn的操作设置有预设规则：同一用户在一个时间窗口内进行绑卡操作的次数超过Cn，则通过比对可得到当前用户操作行为命中预设规则的结果，反之可得到未命中任何一条规则的结果。

在步骤204中，判断统计数据的行为标识是否符合任意预设规则，若是则转步骤206，否则转步骤205。

在步骤205中，允许当前操作行为。

经步骤203得到临近时间窗口的操作数据分布后，如果与规则中心的所有规则进行比对均未发现任何匹配，则表明当前操作行为尚不足以触发任何非法操作的判断，从而允许步骤202获取的当前操作行为。

在步骤206中，拒绝当前操作行为。

经步骤203得到临近时间窗口的操作数据分布后，如果与规则中心的所有规则进行比对发现有任一匹配，则表明再加入当前操作行为的行为标识后，该用户在邻近时间窗口的操作数据分布符合某种非法操作模式，从而对步骤202获取的当前操作行为予以拒绝。这种结合历史数据对当前操作行为进行的实时处理，能够在传统的风控策略之前对洗卡等非法操作进行有效的拦截。

在步骤207中，设置用户的访问权限。

经步骤204判断当前操作行为命中预设规则从而在步骤206中予以拒绝后，还可在步骤207中对当前操作行为的发起用户进行处理，例如在一段时间内将相关的用户、IP地址列入禁止访问名单。

在步骤208中，分析与当前操作行为对应的用户信息，并根据分析结果调整用户访问权限以及预设规则。

步骤206和207分别涉及对行为和用户的处理，为了防止误伤正常用户，本公开的实施例还可包括召回处理机制。在一个实施中，步骤208可包括将步骤207所处理的用户信息上传至数据中心进行人工审核，如果经人工审核发现被禁止访问的用户属于正常用户，则可从禁止访问列表中删除。另外，如果人工审核结果表明之前基于预设规则设置禁止访问的用户实际属于正常用户，则表示预设规则可能有误，因此步骤208还可包括基于分析的结果对预设规则进行优化调整，例如对规则的权重和优先级进行调整。

根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

另外，通过对发起被拒绝的操作行为的用户进行再次分析，可避免误伤正常用户，召回正常用户及其操作，同时对规则进行优化调整，后续能够实现针对非法操作的更准确拦截。

本公开实施方式中还提供了一种用户行为监控装置。

图3为根据本公开一实施例用户行为监控装置的示意框图。如图所示，本实施例的装置包括但不限于：行为获取模块31、行为分析模块32和决策处理模块33。

行为获取模块31设置为获取用户的当前操作行为。

行为分析模块32设置为基于当前操作行为与操作池中记录的历史操作行为提取行为标识。

决策处理模块33设置为根据行为标识与预设规则的比较结果处理当前操作行为。

根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

图4为根据本公开另一实施例用户行为监控装置的示意框图。如图4所示，在图4所示实施例的基础上，本实施例的装置还包括但不限于：规则存储模块34及操作记录模块35；决策处理模块33包括但不限于：规则比较单元331、操作允许单元332、操作拒绝单元333、权限设置单元334及信息上报单元335。

规则存储模块34设置为基于多维度的用户信息来创建预设规则，且不同维度的用户信息对应的预设规则具有不同的优先级。

操作记录模块35设置为在操作池中记录用户在时间窗口内的历史操作行为。在一个实施例中，行为分析模块32设置为基于行为获取模块31获取的当前操作行为提取用户标识、操作类型以及操作次数，并通知操作记录模块35记录在操作池中。这里的用户标识可包括多维度的用户信息，例如包括但不限于账户名、真实姓名、身份证号、手机号、银行卡号、IP地址、指纹信息等等。

规则比较单元331设置为将行为分析模块32提取的行为标识与规则存储模块34中存储的预设规则进行比较。

操作允许单元332设置为在规则比较单元331确定行为分析模块32提取的行为标识不符合任一预设规则时允许当前操作行为。

操作拒绝单元333设置为在规则比较单元331确定行为分析模块32提取的行为标识符合任一预设规则时拒绝当前操作行为。

权限设置单元334设置为在操作拒绝单元333拒绝当前操作行为后将相应的用户访问权限设置为禁止访问。

信息上报单元335设置为在操作拒绝单元333拒绝当前操作行为后将相应的用户信息上报至数据中心进行分析，并根据反馈的分析结果通知相应单元进行处理。在一个实施例中，当数据中心反馈相应用户为正常用户时，信息上报单元335通知权限设置单元334将相应的用户访问权限重新设置为允许访问，并通知规则存储模块34调整相应的预设规则。

根据本公开的实施例，通过收集用户操作行为的标识进行规则的自动适配，能够实现对当前操作行为的实时处理，从而在风控策略之前有效拦截非法用户操作。

另外，通过对发起被拒绝的操作行为的用户进行上报分析，可避免误伤正常用户，召回正常用户及其操作，同时对规则进行优化调整，后续能够实现针对非法操作的更准确拦截。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。作为模块或单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本公开方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上实施方式的描述，本领域的技术人员易于理解，上文描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。

例如，在一个示例实施方式中，还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时可以实现上述任意一个实施例中所述方法的步骤。所述方法的具体步骤可参考前述实施例中的详细描述，此处不再赘述。所述计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

在另一个示例实施方式中，还提供一种计算设备，该计算设备可以是手机、平板电脑等移动终端，也可以是台式计算机、服务器等终端设备，本示例实施方式中对此不作限制。图5示出根据本公开示例实施方式中一种计算设备50的示意图。例如，计算设备50可以被提供为一移动终端。参照图5，设备50包括处理组件51，其进一步包括一个或多个处理器，以及由存储器52所代表的存储器资源，用于存储可由处理组件51的执行的指令，例如应用程序。存储器52中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件51被配置为执行指令，以执行上述任一实施例及其任意组合实施例的方法。该方法的步骤可参考前述方法实施例中的详细描述，此处不再赘述。

计算设备50还可以包括一个电源组件53被配置为执行计算设备50的电源管理，一个有线或无线网络接口54被配置为将计算设备50连接到网络，和一个输入输出(I/O)接口55。计算设备50可以操作基于存储在存储器52的操作系统，例如Android、IOS或类似。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。

虽然已参照几个典型实施例描述了本公开，但应当理解，所用的术语是说明和示例性、而非限制性的术语。由于本公开能够以多种形式具体实施而不脱离申请的精神或实质，所以应当理解，上述实施例不限于任何前述的细节，而应在随附权利要求所限定的精神和范围内广泛地解释，因此落入权利要求或其等效范围内的全部变化和改型都应为随附权利要求所涵盖。

Claims (10)

1.一种用户行为监控方法，包括：

获取用户的当前操作行为；

基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识；以及

根据所述行为标识与预设规则的比较结果处理所述当前操作行为。

2.如权利要求1所述的方法，其中，还包括：在所述操作池中记录所述用户在时间窗口内的历史操作行为。

3.如权利要求1所述的方法，其中，所述的基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识，包括：

基于所述当前操作行为与所述历史操作行为提取用户标识、操作类型以及操作次数，所述用户标识包括多维度的用户信息。

4.如权利要求1所述的方法，其中，还包括：

基于多维度的用户信息来创建所述预设规则，且不同维度的用户信息对应的预设规则具有不同的优先级。

5.如权利要求1-4任一项所述的方法，其中，所述的根据所述行为标识与预设规则的比较结果处理所述当前操作行为，包括以下任一步骤：

在确定所述行为标识符合所述预设规则时拒绝所述当前操作行为；以及

在确定所述行为标识不符合所述预设规则时允许所述当前操作行为。

6.如权利要求5所述的方法，其中，在所述的拒绝所述当前操作行为后，还包括：

对与所述当前操作行为对应的用户信息进行分析，并根据分析结果设置所述用户的访问权限。

7.如权利要求5所述的方法，其中，在所述的拒绝所述当前操作行为后，还包括：

对与所述当前操作行为对应的用户信息进行分析，并根据分析结果调整所述预设规则。

8.一种用户行为监控装置，包括：

行为获取模块，设置为获取用户的当前操作行为；

行为分析模块，设置为基于所述当前操作行为与操作池中记录的历史操作行为提取行为标识；以及

决策处理模块，设置为根据所述行为标识与预设规则的比较结果处理所述当前操作行为。

9.一种存储有计算机程序的存储介质，所述计算机程序在由计算设备的处理器运行时，使所述计算设备执行如权利要求1-7中任一项所述的方法。

10.一种计算设备，包括：

处理器；

存储器，存储有可由所述处理器执行的指令；

其中所述处理器被配置为执行如权利要求1-7中任一项所述的方法。