CN110753032B - 一种风险维度组合挖掘方法、装置及设备 - Google Patents

Abstract

公开了一种风险维度组合挖掘方法、装置及设备。通过本说明书实施例所提供的方案，将风险事件进行拆分和枚举，拆成一个个互斥的风险原子项，形成队列集合，再通过对队列集合中的元素进行不断的排序和删除迭代，找出项频次符合要求的风险维度组合。

Description

一种风险维度组合挖掘方法、装置及设备

技术领域

本说明书实施例涉及信息技术领域，尤其涉及一种风险维度组合挖掘方法、装置及设备。

背景技术

在风险防控领域，攻击中手法往往不是单一的，可能通过多种方式组合而成。基于单一的风险维度区分度太低，难以即时有效的发现并防控攻击。因此在风险识别时，需要将风险进行拆解，再通过快速找到出项频率最高的风险维度组合，来识别攻击特征和手法。

基于此，需要一种风险维度组合的挖掘方案。

发明内容

本申请实施例的目的是提供一种风险维度组合的挖掘方法。

为解决上述技术问题，本申请实施例是这样实现的：

一种风险维度组合挖掘方法，包括：

获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合；

采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求：

统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列；

从所述队列集合中确定出低频子集和非低频子集，其中，所述低频子集中的元素为以频次最低的风险原子项作为头元素的有序队列，非低频子集为低频子集的补集；

删除低频子集中的有序队列的头元素，生成另一有序队列集合；

将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合；

迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

对应的，本说明书实施例还提供一种风险维度组合挖掘装置，包括：

获取模块，获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合；

迭代模块，采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求：

统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列；

从所述队列集合中确定出低频子集和非低频子集，其中，所述低频子集中的元素为以频次最低的风险原子项作为头元素的有序队列，非低频子集为低频子集的补集；

删除低频子集中的有序队列的头元素，生成另一有序队列集合；

将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合；

确定模块，迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

通过本说明书实施例所提供的方案，将风险事件进行拆分和枚举，拆成一个个互斥的风险原子项，形成队列集合，再通过对队列集合中的元素进行不断的排序和删除迭代，找出项频次符合要求的风险维度组合，且计算资源利用率高，运行快速。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书实施例。

此外，本说明书实施例中的任一实施例并不需要达到上述的全部效果。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本说明书实施例提供的一种风险维度组合挖掘方法的流程示意图；

图2为本说明书实施例所提供的一种队列集合的示意图；

图3为本说明书实施例所提供的一种有序队列集合的示意图；

图4是本说明书实施例提供的一种风险维度组合挖掘装置的结构示意图；

图5是用于配置本说明书实施例方法的一种设备的结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本说明书实施例中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于保护的范围。

以下结合附图，详细说明本说明书各实施例提供的技术方案。如图1所示，图1是本说明书实施例提供的一种风险维度组合挖掘方法的流程示意图，该流程具体包括如下步骤：

S101，获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合。

说先需要说明的是，风险事件记录是已经被确定为存在风险的事件。例如，持续的拒绝服务(Denial of Service，DOS)攻击、账号登录持续密码错误、对服务端某一接口的持续监听等等，在本说明书实施例中，风险原子项是可以预先设置的，风险事件记录可以基于其所包含的特征进行原子化拆解。例如，基于一条风险记录所的时间、地点、端口号、信息发起方的互联网协议(Internet Protocol，IP)地址等等分别拆解为对应的a、b、c以及d原子项，从而得到一条与风险事件记录所对应的风险原子项队列。

此外需要说明的是，各风险原子项是互斥的，即，不存在两个相同的风险原子项，或者说，同一风险原子项队列中不会包含相同的风险原子项。

在实际应用中，风险事件记录是海量的，例如，在大型的第三方支付机构或者金融机构中，每秒所产生的风险事件记录就以万计。基于此，可以将大量的风险数据记录均进行如前所述的转换，得到生成包含多条风险原子项队列的队列集合。如图2所示，图2为本说明书实施例所提供的一种队列集合的示意图。

进而，采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求。迭代中以前述得到的队列集合作为初始队列集合，迭代的过程是以初始队列集合为输入，并不断更新所述队列集合，最终输出一个满足预设要求的队列集合的过程。

在具体的迭代过程中，预设的迭代要求可以是迭代次数达到预设次数(预设次数可以基于实际经验事先确定)，预先设置预设次数可以控制迭代时间，节约计算资源；或者，更新后的队列集合中的有序队列的数量不超过预设数量，例如，更新后的队列集合中的有序队列不超过1条或者3条，预设有序队列的数量则可以使得迭代结果更为精确，满足更高精度的风控需要。迭代包括如下流程：

S103，统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列。

具体而言，将队列集合中的每一个队列都进行原子化，统计每一个原子项出现的频次。然后对于每一个队列，根据其所包含的风险原子项的频次，从低到高的进行增量排序，将每一个队列都转换为形成有序队列。如图3所示，图3为本说明书实施例所提供的一种有序队列集合的示意图。假设在有序队列集合中统计得到风险原子项a、b、c、d、e的频次分别为10、9、11、7、6，则对于集合中的任一队列而言，若其包含的元素为a、b和d，则将其重新整理排序，得到以d原子项为头元素的有序队列d—b—a。

容易理解，通过前述方式，每一队列都可以基于其所包含的原子项进行重排列，而得到一个有序队列，并且，有许多队列的头元素是相同的。

S105，从所述队列集合中确定出低频子集和非低频子集。

如前所述，在队列集合中的重新排序后，将会得到诸如若干组头元素相同的队列组，这其中，以频次最低的风险原子项作为头元素的有序队列构成了低频子集，非低频子集为低频子集的补集(即相对于队列集合的绝对补集)。

以图3中所示出的为例，此时，在队列集合中将得到6个以原子项e为头元素的有序队列，以及若干其它有序队列。此时即可以得到以e原子项e为头元素的有序队列所组成的低频子集，以及以其它有序队列构成的非低频子集。

需要注意的是，此时，由于以e为头元素的有序队列中可能包含原子项d，因此以d开头的有序队列的数量通常而言，将会低于6个。其它原子项同理，在本说明书实施例中，以某个头元素开头的有序队列的数量无法从头元素的频次上得到体现。

例如，在图3所示的例子中，存在6个以原子项e为头元素的有序队列，此时，假设每个以e开头的有序队列中每个都包含有原子项d，则可以知道以原子项d开头的有序队列的数量只有1个。

S107，删除低频子集中的有序队列的头元素，生成另一有序队列集合。

如前所述，在低频子集中，仅包含有最低频次的原子项的有序队列。因此，在这个删除的过程中，并不会删除对于有序队列中的其它任一元素的数量。

S109，将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合。

通过前述方式，得到的更新后的队列集合中相比于本次迭代前的队列集合，仅仅删除了最低频次的风险原子项，而完全保留了其它的全部原子项。因此，通过不停的迭代，可以一直按照风险原子项在集合中的频次由低到高的依序进行删除。

需要说明的是，虽然在在初始的队列集合中可以统计获取各风险原子项的频次，如果直接从初始的队列集合中进行指定性的删除(例如，删除频次低于100的风险原子项或者删除频次排序低于100的风险原子项)，则难以得到符合要求的风险维度组合。例如，在初始队列集合中删除频次低于100的风险原子项之后有可能得不到风险原子项队列，或者，得到100条以上的风险原子项队列。在这种情形下，需要人工进一步的尝试才可以得到较为满意的结果，而在数据量较多的情形下(例如，在队列集合中的风险原子项队列以百万计的情形下)，这种人工尝试可能是相当耗费时间与精力，甚至是不可能的。

S111，迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

通过前述方式不断的删除在各种组合队列中的低频风险原子项，从而保留了高频的风险原子项的组合，因此，可以基于最终所保留的有序队列来确定最终的目标风险维度组合。

在一种实施例中，可以针对迭代结束后队列集合中所存在的任一有序队列，确定其包含的全量风险原子项组合，所述全量风险原子项组合确定为目标风险维度组合。例如，若此时队列集合中存在3条队列，分别为abd，ef，cbd，则此时得到的目标风险维度组合即为：“a+b+d”，“e+f”以及“c+b+d”。基于队列中的全量风险原子项可以快速得到目标风险维度组合，提高计算效率。

在一种实施例中，还可以预先设置好目标风险维度组合中所包含的维度数量，例如，维度为2，即目标风险维度组合中只存在2个风险原子项。在这种方式下，则可以进一步根据该维度数的对迭代结束后的有序队列进行筛选。

具体而言，首先确定各队列中所包含的风险原子项组合，其中，所述风险原子项组合中的风险原子项数量等于预设的维度数量。例如，针对队列abd，则可以知道其所包含的维度为2的风险原子项组合包括“a+b”,“a+d”以及“b+d”；进而，统计队列集合中各维度满足要求的风险原子项组合的频次，将将频次或者频次排序满足要求的风险原子项组合确定为目标风险维度组合。例如，将频次大于10，或者频次排序位于前10的维度为2的风险原子项组合确定为目标风险维度组合。通过预设目标风险维度数量，可以使得得到的目标风险维度组合更贴近实际需要，适应性更广。

通过本说明书实施例所提供的方案，将风险事件进行拆分和枚举，拆成一个个互斥的风险原子项，形成队列集合，再通过对队列集合中的元素进行不断的排序和删除迭代，找出项频次符合要求的风险维度组合，且计算资源利用率高，计算速度快。

在一种实施例中，迭代之前还可以对风险原子项队列进行预处理，即，统计风险原子项队列中风险原子项的频次，将频次低于预设值的风险原子从各风险原子项队列中删除，生成预处理后的队列集合。通过预处理，可以直接滤除频次较低的风险原子项，提高迭代效率。

对应的，本说明书实施例还提供一种风险维度组合挖掘装置，如图4所示，图4是本说明书实施例提供的一种风险维度组合挖掘装置的结构示意图，包括：

获取模块401，获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合；

迭代模块403，采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求：

统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列；

从所述队列集合中确定出低频子集和非低频子集，其中，所述低频子集中的元素为以频次最低的风险原子项作为头元素的有序队列，非低频子集为低频子集的补集；

删除低频子集中的有序队列的头元素，生成另一有序队列集合；

将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合；

确定模块405，迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

进一步地，在所述装置中，所述预设的迭代要求，包括：迭代次数达到预设次数，或者，更新后的队列集合中的有序队列的数量不超过预设数量。

进一步地，所述装置还包括预处理模块407：统计风险原子项队列中风险原子项的频次，将频次低于预设值的风险原子从各风险原子项队列中删除，生成预处理后的队列集合。

进一步地，所述确定模块405，针对任一有序队列，确定其包含的全量风险原子项组合，所述全量风险原子项组合确定为目标风险维度组合。

进一步地，在所述装置中，若迭代结束后，队列集合中存在多条有序队列，所述确定模块405，针对任一有序队列，确定其包含的风险原子项组合，其中，所述风险原子项组合中的风险原子项数量等于预设的维度数量；确定各风险原子项组合的频次，将频次或者频次排序满足要求的风险原子项组合确定为目标风险维度组合。

本说明书实施例还提供一种计算机设备，其至少包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，处理器执行所述程序时实现图1所示的风险维度组合挖掘方法。

图5示出了本说明书实施例所提供的一种更为具体的计算设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。

处理器1010可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本说明书实施例所提供的技术方案。

存储器1020可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作系统和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。

输入/输出接口1030用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。

通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。

总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。

需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。

本说明书实施例还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现图1所示的风险维度组合挖掘方法。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本说明书实施例可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本说明书实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本说明书实施例各个实施例或者实施例的某些部分所述的方法。

上述实施例阐明的系统、方法、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于方法实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的方法实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，在实施本说明书实施例方案时可以把各模块的功能在同一个或多个软件和/或硬件中实现。也可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本说明书实施例的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本说明书实施例原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本说明书实施例的保护范围。

Claims (11)

1.一种风险维度组合挖掘方法，包括：

获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合；

采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求：

统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列；

从所述队列集合中确定出低频子集和非低频子集，其中，所述低频子集中的元素为以频次最低的风险原子项作为头元素的有序队列，非低频子集为低频子集的补集；

删除低频子集中的有序队列的头元素，生成另一有序队列集合；

将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合；

迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

2.如权利要求1所述的方法，所述预设的迭代要求，包括：

迭代次数达到预设次数，或者，更新后的队列集合中的有序队列的数量不超过预设数量。

3.如权利要求1所述的方法，在采用以下步骤对队列集合进行迭代处理之前，所述方法还包括：

统计风险原子项队列中风险原子项的频次，将频次低于预设值的风险原子从各风险原子项队列中删除，生成预处理后的队列集合。

4.如权利要求1所述方法，根据有序队列所包含的风险原子项确定为目标风险维度组合，包括：

针对任一有序队列，确定其包含的全量风险原子项组合，所述全量风险原子项组合确定为目标风险维度组合。

5.如权利要求1所述方法，若迭代结束后，队列集合中存在多条有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合，包括：

针对任一有序队列，确定其包含的风险原子项组合，其中，所述风险原子项组合中的风险原子项数量等于预设的维度数量；

确定各风险原子项组合的频次，将频次或者频次排序满足要求的风险原子项组合确定为目标风险维度组合。

6.一种风险维度组合挖掘装置，包括：

获取模块，获取风险事件记录，将风险事件记录转换为风险原子项队列，生成包含多条风险原子项队列的队列集合；

迭代模块，采用以下步骤对队列集合进行迭代处理，直到达到预设的迭代要求：

统计队列集合中各风险原子项的频次，针对任一风险原子项队列，将其包含的风险原子项按照频次大小进行增量排序，生成对应的有序队列；

从所述队列集合中确定出低频子集和非低频子集，其中，所述低频子集中的元素为以频次最低的风险原子项作为头元素的有序队列，非低频子集为低频子集的补集；

删除低频子集中的有序队列的头元素，生成另一有序队列集合；

将所述另一有序队列集合与所述非低频子集合并，得到更新后的队列集合；

确定模块，迭代结束后，确定队列集合中所包含的有序队列，根据有序队列所包含的风险原子项确定为目标风险维度组合。

7.如权利要求6所述的装置，所述预设的迭代要求，包括：迭代次数达到预设次数，或者，更新后的队列集合中的有序队列的数量不超过预设数量。

8.如权利要求6所述的装置，所述装置还包括预处理模块：统计风险原子项队列中风险原子项的频次，将频次低于预设值的风险原子从各风险原子项队列中删除，生成预处理后的队列集合。

9.如权利要求6所述的装置，所述确定模块，针对任一有序队列，确定其包含的全量风险原子项组合，所述全量风险原子项组合确定为目标风险维度组合。

10.如权利要求6所述的装置，若迭代结束后，队列集合中存在多条有序队列，所述确定模块，针对任一有序队列，确定其包含的风险原子项组合，其中，所述风险原子项组合中的风险原子项数量等于预设的维度数量；确定各风险原子项组合的频次，将频次或者频次排序满足要求的风险原子项组合确定为目标风险维度组合。

11.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，所述处理器执行所述程序时实现如权利要求1至5任一项所述的方法。

Images