CN110287698A - 基于用户行为与硬件信息的设备指纹实现方法 - Google Patents

Abstract

本发明涉及一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，包括移动端硬件信息的采集与使用的方法及用户行为信息的采集与使用的方法，其中：用户行为信息的采集与使用的方法利用移动端开发技术，收集用户行为数据，对用户行为数据进行数据分析，构建出刻画用户的统计模型，在线上对实时获得的实时用户行为数据进行采样收集与模型拟合，从而判定移动设备是否异常。本发明在只基于硬件信息的基础上，在设备指纹的构建中增加了对用户行为挖掘的智能算法，从而扩展了设备指纹的应用场景，增加了设备指纹的安全性。

Description

基于用户行为与硬件信息的设备指纹实现方法

技术领域

本发明涉及设备指纹的实现方法，尤其设计一种基于用户行为及硬件信息的实现设备指纹的方法。

背景技术

设备指纹的采集与应用是移动互联网时代身份安全的“身份证”。传统的设备指纹采集用户设备的硬件信息，构成设备唯一的硬件标识码，并在用户的设备使用中监督设备与用户信息的匹配关系，从而识别用户设备异常的危险情况。

传统的只基于硬件信息的设备指纹虽然比较普遍使用，但是由于硬件信息的局限性，缺少对设备冒用的危险行为的防范。在移动互联网时代，由于设备，尤其是移动设备，作为与用户高度绑定的“身份证”，设备指纹不应该只限于简单的硬件认证，而同时应当具备智能的识别冒用的能力。比如，当用户的移动设备被盗窃后，设备指纹应当智能识别出危险。为了达到这个目的，设备指纹，特别是移动设备的设备指纹，应当不只局限于简单的硬件匹配，而是应当将对用户行为习惯的分析纳入考量的范畴。在移动互联网时代，设备的识别本质上是对使用设备的人的识别，只有将设备指纹的设计延展到用户行为分析，才能更好的用好设备指纹。

发明内容

本发明要解决的技术问题是：现有的设备指纹仅局限于简单的硬件匹配。

为了达到上述目的，本发明的技术方案是提供了一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，包括移动端硬件信息的采集与使用的方法及用户行为信息的采集与使用的方法，其中：

移动端硬件信息的采集与使用的方法包括以下步骤：

S101.利用移动端开发技术，收集移动设备的硬件参数及唯一的设备识别号，硬件参数包括稳定不变的参数及可变的参数，设备识别号用于标记不同用户的不同移动设备；

S102.在线上对不同用户的不同移动设备的稳定不变的参数进行实时监控，若稳定不变的参数出现变化，则判定当前用户的当前移动设备出现异常，退出本方法；

对收集的不同用户的不同移动设备的可变的参数各个历史状态数据的统计分布进行计算，获得历史统计分布结果，进入下一步；

S103.在线上实时收集某一时间段内的不同用户的不同移动设备的可变的参数各个实时状态数据，对获得的实时状态数据的统计分布进行计算，获得实时统计分布结果，进入下一步；

S104.在线上将步骤S102获得的某一用户的某一移动设备的各个可变的参数的历史统计分布结果与步骤S103获得的同一用户的同一移动设备的各个可变的参数的实时统计分布结果进行匹配，若实时统计分布结果与历史统计分布结果不相匹配，则判定当前用户的当前移动设备出现异常，退出本方法；

用户行为信息的采集与使用的方法利用移动端开发技术，收集用户行为数据，对用户行为数据进行数据分析，构建出刻画用户的统计模型，在线上对实时获得的实时用户行为数据进行采样收集与模型拟合，从而判定移动设备是否异常，包括以下步骤：

S201.收集用户访问App时的历史用户行为信息及用户访问App时的历史移动设备硬件状态数据，用户行为信息及移动设备硬件状态数据利用移动埋点技术获得；

S202.利用数据分析技术，利用步骤S201获得的历史用户行为信息及历史移动设备硬件状态数据对用户行为信息做统计建模，对不同的用户行为数据类型建立不同的统计模型；

S203.在线上实时采集用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，依据实时用户行为信息所对应的相应用户行为数据类型，根据实时用户行为信息及实时移动设备硬件状态数据对步骤S202建立的相应的统计模型进行拟合，依据拟合结果判断移动设备是否异常。

优选地，步骤S102中，若所述可变的参数的所述历史状态数据是数值变量，则对历史状态数据进行参数统计量的计算，获得所述历史统计分布结果；若所述可变的参数的所述历史状态数据是分类变量，则计算所述历史状态数据的描述信息，获得所述历史统计分布结果；

步骤103中，若所述可变的参数的所述实时状态数据是数值变量，则对实时状态数据进行参数统计量的计算，获得所述实时统计分布结果；若所述可变的参数的所述实时状态数据是分类变量，则计算所述实时状态数据的描述信息，获得所述实时统计分布结果。

优选地，所述步骤S202包括以下步骤：

S2021.获得移动设备上安装的每个App的使用次数，计算每个App的使用频率，当前App的使用频率为当前App的使用次数除以所有App的使用次数之和，若当前App的使用频率小于预先设定的阈值，则将当前App判定为低频使用App，进入步骤S2023，否则，进入步骤S2022；

S2022.基于步骤S201获得的历史用户行为信息及历史移动设备硬件状态数据，利用马尔科夫链模型对用户行为信息做统计建模，获得历史事件流马尔科夫矩阵，事件流马尔科夫矩阵表征用户在使用整个App过程中所有行为数据发生先后的概率分布，进入步骤S203；

S2023.将所有App分为不同的类别，并将所有低频使用App归入对应的类别中；

S2024.依据用户使用每一类App的历史用户行为信息及历史移动设备硬件状态数据建立每一类App所对应的线性回归模型，线性回归模型的输出为App点击事件的递归速度的预测档位，App点击事件的递归速度为App从被激活或被开启到产生结果数据之间的时间间隔，App点击事件的递归速度被分为K个档位；

依据用户使用每一类App的历史用户行为信息及历史移动设备硬件状态数据建立每一类App所对应的决策树模型，决策树模型具有K个结果节点，K个结果节点对应App点击事件的递归速度的K个档位，进入步骤S203。

优选地，所述S203包括以下步骤：

S2031.在线上实时采集用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，若当前用户在当前移动设备上访问的当前App为低频使用App，则进入步骤S2033，否则，进入步骤S2032；

S2032.基于采集得到的某一时间段内的用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，采用与步骤S2022相同的方法获得实时事件流马尔科夫矩阵，将实时事件流马尔科夫矩阵与所述历史事件流马尔科夫矩阵相比较，判断概率分布是否发生了偏离，若发生偏离，则认为当前用户的当前移动设备使用存在异常，退出本方法；

S2033.依据当前低频使用App的所属类别，将实时采集到的实时用户行为信息及实时移动设备硬件状态数据分别输入步骤S2024获得的线性回归模型及决策树模型，获得线性回归模型输出的预测档位K1及决策树模型输出的预测档位K2，若实时采集得到的当前用户操作当前移动设备上的当前App的App点击事件的递归速度与预测档位K1或预测档位K2不一致，则认为当前用户的当前移动设备使用存在异常，退出本方法。

优选地，所述步骤S2024中的所述历史用户行为信息及所述历史移动设备硬件状态数据及所述步骤S2032中的所述实时用户行为信息及所述实时移动设备硬件状态数据包括每一类App中各App的使用次数、使用频率、平均每次在线时长和点击事件的递归速度。

本发明在只基于硬件信息的基础上，在设备指纹的构建中增加了对用户行为挖掘的智能算法，从而扩展了设备指纹的应用场景，增加了设备指纹的安全性。

附图说明

图1为本发明的整体设计架构；

图2为事件流马尔科夫链模型的建立流程图；

图3为低频使用App构建设备指纹模型的建立流程图。

具体实施方式

下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。

如图1所示，本发明提供的一种基于用户行为与硬件信息的设备指纹实现方法包括移动端硬件信息的采集与使用的方法及用户行为信息的采集与使用的方法，以下分别对两种方法进行详细说明。

一)移动端硬件信息的采集与使用的方法

移动端信息的采集与使用的方法是类似于传统设备指纹的开发中对设备硬件信息的采集与使用。主要过程是利用移动端开发技术收集移动设备的硬件信息，再在线上对这些硬件信息进行采样收集、监控与匹配，从而试图发现设备是否异常。

1)移动设备的硬件信息的采集

利用安卓开发和IOS开发技术，采集安卓手机和IOS手机的硬件参数，例如：移动设备的设备识别号、移动设备的屏幕物理分辨率、移动设备默认的最大储存信息、移动设备的设备指纹信息(比如设备唯一号)、移动设备的CPU信息、移动设备的蓝牙信息、移动设备的上网状态(比如是否正在使用WIFI)、移动设备是否正在充电等。

2)移动设备的硬件信息的使用

对硬件信息的使用类似于传统的设备指纹，包括以下两个方面：

(1)对不同用户的不同移动设备的硬件信息中稳定不变的参数进行实时监控，若出现变化，则判定设备出现异常。例如：对小K的安卓手机进行监控，假设出现了安卓手机的屏幕物理分辨率发生了变化，则判定小K的安卓手机设备出现异常。

(2)对不同用户的不同移动设备的硬件信息中可变的参数各个状态的统计分布进行计算，即通过收集用户不同设备的各种参数的不同数据，构成“建模数据”。若数据是数值变量，则对这些数据进行参数统计量的计算，比如：计算数据的均值、方差、偏度、峰度、最大值、最小值和最值之差等。若数据是分类变量，则计算数据的描述信息，比如：字段中每个类别占所有数据中的比例、字段中不同类别的数量。

在完成数据统计后，开始在线上对实时采集到的数据进行抽样，比如每五分钟存储新增数据的最近的20％的数据，再每两小时对这两小时内的新存入的数据进行类似上一段中对“建模数据”一样的数据分析，再比较新数据的数据分析结果与“建模数据”的数据分析结果，根据比较新数据中数值变量的均值、方差、偏度、峰度、最大值、最小值和最值之差与“建模数据”的各个相对应统计量之间的区别，或者比较新数据中分类变量的各个字段中每个类别占比与“建模数据”中对应变量的每个类别占比的差别和类别数的差别从而制定规则。比如可以制定规则为“100个字段的500个指标中，变化小于5％的变量小于150个，认为无偏离，否则认为有偏离”，并输入这些信息判断数据是否存在了偏离。当然也需要计算抽样出的数据与“建模数据”之间的PSI指标，交叉验证数据是否存在偏离。若两种方法都判断出数据不足以存在偏差，则认为当前移动设备不存在风险。若判断数据存在偏离，则认为当前移动设备存在异常，比如：当前设备被仿冒，应提示给风控某块，采取措施。

二)用户行为信息的采集与使用的方法

移动互联网时代，通过对用户行为数据的数据分析与统计建模，构造出智能的“设备指纹”。主要流程是利用移动端开发技术收集用户行为数据，对数据进行数据分析，构建出刻画用户的统计模型，再在线上对用户行为数据进行采样收集与模型拟合，从而试图发现设备是否异常。

1)用户行为信息的采集

利用移动埋点技术(比如SDK)，收集用户行为信息，包括：用户每次访问的App名称、每次访问开始时间点、每次访问结束时间点、每次访问的App中的行为事件流(比如先点A、再点B、再点C、再点D、再点A等等)等，并记录用户访问App时的移动设备硬件状态，包括：移动设备是否在充电，移动设备是否连入WIFI等。

2)用户行为信息的使用

利用数据分析技术，对用户行为信息做统计建模，对不同的用户行为数据类型建立不同的统计模型，再在线上根据采样的用户行为数据对模型的拟合，判别设备是否存在异常使用。

以下将阐述两个相关的统计建模例子。

(1)事件流马尔科夫链模型

根据用户在各个App中的事件流(比如用户先点A、再点B、再点C、再点D、再点A等等就构成了事件流)，利用马尔科夫链模型对数据进行建模。其中，模型的输出是一个马尔科夫矩阵，马尔科夫矩阵中的P(A,A)、P(A,B)、P(A,C)等为概率分布函数，分别表示事件A前后事件为A的概率分布、事件A前后事件为B的概率分布，以此类推。

需要收集用户在使用整个App中的所有行为数据，例如点击、页面停留、登录、登出等。若是在网页端的用户，还需要收集用户的鼠标轨迹和键盘数据。将这些事件也纳入模型考量范围，流程如图2所示。

最终的马尔科夫矩阵大致如下：

模型上线后，对新数据进行抽样。比如，在线上对数据进行抽样，比如每五分钟存储新增数据的最近的20％的数据，并每两小时计算新数据的马尔科夫矩阵，计算方式可以参考图2。根据计算结果，比较新数据与原数据的马尔科夫矩阵，可以通过规则(比如所有概率分布的估计中的30％存在变化，则认为分布发生了偏离)或计算分布的PSI，判断分布是否发生了偏离。如果发生偏离，则认为设备使用存在异常，即设备被盗用，否则认为设备的使用是安全的。

(2)低频使用App构建设备指纹模型

当用户使用了低频使用App时，需要使用一些非常的手段进行用户行为识别，以考察是否存在设备使用的异常。

首先需要定义以下概念：

点击事件的递归速度：即用户熟悉某个App需要一个过程，当用户完成一个完整的任务，比如下订单或撤销订单等，用户会随着对App的熟悉，间断提升的(类似统计中经验分布函数)提高整个任务的完成效率。在数据层面，统计每个App从被激活或被开启产生结果数据(比如订单生成，这些数据可以通过监控手机短信的方式收集)之间的时间间隔，以秒计。

同类App：即功能类似或使用流程类似的App，比如订咖啡、订外卖和订奶茶的App属于同类App。

平均每次在线时长：每次打开某App后，从点开到休眠或杀死进程之间的时间差，以分钟计，认为杀死进程和进入休眠在统计平均每次在线时长时是同一种行为。

App使用次数：每个App被打开或从休眠状态到激活状态的次数，认为打开进程和从休眠状态到激活状态在统计App使用次数时是同一种行为。

App使用频率：每个App的App使用次数除以所有App的所有App使用次数使用次数的和。

低频使用App构建设备指纹模型的构建过程如图3所示，包括建立及使用用于分类的回归模型ModelReg及建立及使用用于分类的决策树模型ModelTree。

建立用于分类的回归模型ModelReg时，其输入的数据包括用户使用某类App的历史行为数据，包括App使用次数、App使用频率、App平均每次在线时长和点击事件的递归速度。建立得到的线性回归模型ModelReg的目标为Y。将点击事件的递归速度分成K档(比如10秒内为第一档，10秒到20秒之间为第二档等)，则目标Y为对应的档位。

当用户使用一种低频使用App时，使用该App对应的App类别的分类线性模型ModelReg，输入当前低频使用App对应的App使用次数、App使用频率及App平均每次在线时长，通过分类线性模型ModelReg得到App点击事件的递归速度的档位的预测值，记为K1档。

建立及用于分类的决策树模型ModelTree时，其输入的数据包括用户使用某类App的历史行为数据，包括App使用次数、App使用频率、App平均每次在线时长和点击事件的递归速度。建立得到的决策树模型ModelTree具有K个结果节点，对应App点击事件的递归速度的K个档位。

当用户使用一种低频使用App时，使用该低频使用App对应的App类别的决策树模型ModelTree，输入当前低频使用App对应的App使用次数、App使用频率及App平均每次在线时长，通过决策树模型ModelTree得到其App点击事件的递归速度的档位的预测值，即落入哪个结果节点，记为K2档。

将分类线性模型ModelReg得到的K1档、决策树模型ModelTree得到的K2档与实时采集得到的用户使用当前低频使用App的点击事件的递归速度的实际档位三者相相比较，若三者相等，则认为用户的行为是在正常范围内的，从而推断用户的设备没有被盗用。如果三者存在不一致，则说明用户的行为存在某种异常。如果K1不等于K2，则说明用户的历史使用记录中存在不一致并且这种不一致匹配到了此次App的使用行为。如果K1、K2与实际档位不一致，则说明此次App的使用存在冒用的风险，应提示给风控某块，采取措施。

Claims (5)

1.一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，包括移动端硬件信息的采集与使用的方法及用户行为信息的采集与使用的方法，其中：

移动端硬件信息的采集与使用的方法包括以下步骤：

S101.利用移动端开发技术，收集移动设备的硬件参数及唯一的设备识别号，硬件参数包括稳定不变的参数及可变的参数，设备识别号用于标记不同用户的不同移动设备；

S102.在线上对不同用户的不同移动设备的稳定不变的参数进行实时监控，若稳定不变的参数出现变化，则判定当前用户的当前移动设备出现异常，退出本方法；

对收集的不同用户的不同移动设备的可变的参数各个历史状态数据的统计分布进行计算，获得历史统计分布结果，进入下一步；

S103.在线上实时收集某一时间段内的不同用户的不同移动设备的可变的参数各个实时状态数据，对获得的实时状态数据的统计分布进行计算，获得实时统计分布结果，进入下一步；

S104.在线上将步骤S102获得的某一用户的某一移动设备的各个可变的参数的历史统计分布结果与步骤S103获得的同一用户的同一移动设备的各个可变的参数的实时统计分布结果进行匹配，若实时统计分布结果与历史统计分布结果不相匹配，则判定当前用户的当前移动设备出现异常，退出本方法；

用户行为信息的采集与使用的方法利用移动端开发技术，收集用户行为数据，对用户行为数据进行数据分析，构建出刻画用户的统计模型，在线上对实时获得的实时用户行为数据进行采样收集与模型拟合，从而判定移动设备是否异常，包括以下步骤：

S201.收集用户访问App时的历史用户行为信息及用户访问App时的历史移动设备硬件状态数据，用户行为信息及移动设备硬件状态数据利用移动埋点技术获得；

S202.利用数据分析技术，利用步骤S201获得的历史用户行为信息及历史移动设备硬件状态数据对用户行为信息做统计建模，对不同的用户行为数据类型建立不同的统计模型；

S203.在线上实时采集用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，依据实时用户行为信息所对应的相应用户行为数据类型，根据实时用户行为信息及实时移动设备硬件状态数据对步骤S202建立的相应的统计模型进行拟合，依据拟合结果判断移动设备是否异常。

2.如权利要求1所述的一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，步骤S102中，若所述可变的参数的所述历史状态数据是数值变量，则对历史状态数据进行参数统计量的计算，获得所述历史统计分布结果；若所述可变的参数的所述历史状态数据是分类变量，则计算所述历史状态数据的描述信息，获得所述历史统计分布结果；

步骤103中，若所述可变的参数的所述实时状态数据是数值变量，则对实时状态数据进行参数统计量的计算，获得所述实时统计分布结果；若所述可变的参数的所述实时状态数据是分类变量，则计算所述实时状态数据的描述信息，获得所述实时统计分布结果。

3.如权利要求1所述的一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，所述步骤S202包括以下步骤：

S2021.获得移动设备上安装的每个App的使用次数，计算每个App的使用频率，当前App的使用频率为当前App的使用次数除以所有App的使用次数之和，若当前App的使用频率小于预先设定的阈值，则将当前App判定为低频使用App，进入步骤S2023，否则，进入步骤S2022；

S2022.基于步骤S201获得的历史用户行为信息及历史移动设备硬件状态数据，利用马尔科夫链模型对用户行为信息做统计建模，获得历史事件流马尔科夫矩阵，事件流马尔科夫矩阵表征用户在使用整个App过程中所有行为数据发生先后的概率分布，进入步骤S203；

S2023.将所有App分为不同的类别，并将所有低频使用App归入对应的类别中；

S2024.依据用户使用每一类App的历史用户行为信息及历史移动设备硬件状态数据建立每一类App所对应的线性回归模型，线性回归模型的输出为App点击事件的递归速度的预测档位，App点击事件的递归速度为App从被激活或被开启到产生结果数据之间的时间间隔，App点击事件的递归速度被分为K个档位；

依据用户使用每一类App的历史用户行为信息及历史移动设备硬件状态数据建立每一类App所对应的决策树模型，决策树模型具有K个结果节点，K个结果节点对应App点击事件的递归速度的K个档位，进入步骤S203。

4.如权利要求3所述的一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，所述S203包括以下步骤：

S2031.在线上实时采集用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，若当前用户在当前移动设备上访问的当前App为低频使用App，则进入步骤S2033，否则，进入步骤S2032；

S2032.基于采集得到的某一时间段内的用户访问App时的实时用户行为信息及用户访问App时的实时移动设备硬件状态数据，采用与步骤S2022相同的方法获得实时事件流马尔科夫矩阵，将实时事件流马尔科夫矩阵与所述历史事件流马尔科夫矩阵相比较，判断概率分布是否发生了偏离，若发生偏离，则认为当前用户的当前移动设备使用存在异常，退出本方法；

S2033.依据当前低频使用App的所属类别，将实时采集到的实时用户行为信息及实时移动设备硬件状态数据分别输入步骤S2024获得的线性回归模型及决策树模型，获得线性回归模型输出的预测档位K1及决策树模型输出的预测档位K2，若实时采集得到的当前用户操作当前移动设备上的当前App的App点击事件的递归速度与预测档位K1或预测档位K2不一致，则认为当前用户的当前移动设备使用存在异常，退出本方法。

5.如权利要求3所述的一种基于用户行为与硬件信息的设备指纹实现方法，其特征在于，所述步骤S2024中的所述历史用户行为信息及所述历史移动设备硬件状态数据及所述步骤S2032中的所述实时用户行为信息及所述实时移动设备硬件状态数据包括每一类App中各App的使用次数、使用频率、平均每次在线时长和点击事件的递归速度。