CN111031017A - 一种异常业务账号识别方法、装置、服务器及存储介质 - Google Patents

Abstract

本发明公开了一种异常业务账号识别方法、装置、服务器及存储介质，其中，异常业务账号方法包括：获取待识别业务账号对应的登录设备标识；确定在预设历史时间段之前，所述登录设备标识所关联的关联业务账号；在待识别业务账号与关联业务账号不匹配时，确定待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；确定每个疑似异常业务账号在预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；根据属性行为特征集中的属性行为特征，确定至少一个频繁项集；该频繁项集为多个不同疑似异常业务账号的集合；根据至少一个频繁项集确定异常业务账号。本发明降低了小号识别的漏查率，识别覆盖率和精准性都大大提高。

Description

一种异常业务账号识别方法、装置、服务器及存储介质

技术领域

本发明涉及计算机技术领域，特别涉及一种异常业务账号识别方法、装置、服务器及存储介质。

背景技术

随着互联网技术的快速发展，通过电子设备来实施一些业务如玩游戏等已成为人们日常休闲娱乐、社交不可或缺的一部分，而出于某些特殊的需求如为了隐蔽真实身份，针对同一项业务，用户除了一个主要使用的业务账号外，还常常会再申请一些辅助业务账号，这些辅助业务账号可以称之为小号。

相关技术中，一般基于用户的身份信息以及人脸特征信息来进行小号的识别，但是这种识别小号方法的漏查率很高，很容易被绕过，而且依赖于用户对身份信息以及人脸特征信息的自觉绑定，对于没有绑定信息的账号无法识别，识别覆盖率小且不够精准。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种异常业务账号识别方法、装置、计算机设备及存储介质。所述技术方案如下：

一方面，提供了一种异常业务账号识别方法，所述方法包括：

获取待识别业务账号对应的登录设备标识；所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号；

确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号；

在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；

确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；

根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合；

根据所述至少一个频繁项集确定异常业务账号。

另一方面，提供了一种异常业务账号识别装置，所述装置包括：

第一获取模块，用于获取待识别业务账号对应的登录设备标识；所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号；

关联账号确定模块，用于确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号；

疑似异常账号确定模块，用于在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；

属性行为特征确定模块，用于确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；

频繁项集确定模块，用于根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合；

异常账号确定模块，用于根据所述至少一个频繁项集确定异常业务账号。

可选的，所述装置还包括：

第一判断模块，用于判断所述登录设备标识是否为新增登录设备标识，在所述登录设备标识不是新增登录设备标识时，执行所述确定所述登录设备标识所关联的关联业务账号的步骤。

可选的，所述装置还包括：

第二判断模块，用于在所述登录设备标识是新增登录设备标识时，判断所述待识别业务账号是否为新增业务账号，在所述待识别业务账号不是新增业务账号时，确定所述待识别业务账号为疑似异常业务账号。

可选的，所述属性行为特征确定模块包括：

第二获取模块，用于获取每个所述疑似异常业务账号在所述预设历史时间段内的登录操作信息和业务行为信息；

第一确定模块，用于根据所述登录操作信息确定属性特征；所述属性特征包括登录IP地址和登录设备标识；

第二确定模块，用于根据所述业务行为信息确定业务行为特征；

第三确定模块，用于将所述属性特征和业务行为特征作为所述疑似异常业务账号的属性行为特征。

可选的，所述频繁项集确定模块包括：

第四确定模块，用于针对每个属性行为特征，确定包含所述属性行为特征的疑似异常业务账号，得到对应每个属性行为特征的疑似异常业务账号子集；

第五确定模块，用于根据所述疑似异常业务账号子集，确定每个疑似异常业务账号的支持度；所述支持度为所述疑似异常业务账号在所有疑似异常业务账号子集中的出现次数或出现概率；

排序模块，用于按照所述支持度的降序排列规则，对每个疑似异常业务账号子集中的疑似异常业务账号进行排序；

频繁模式树构建模块，用于根据每个属性行为特征对应的排序后的疑似异常业务账号子集构建频繁模式树；所述频繁模式树包括根节点和叶子节点，所述根节点为无效值，所述叶子节点对应一个疑似异常业务账号以及所述疑似异常业务账号的支持度；

第六确定模块，用于确定所述频繁模式树中以目标叶子节点为后缀节点的至少一个前缀路径；所述目标叶子节点为任意一个叶子节点；

第七确定模块，用于根据所述至少一个前缀路径中每个前缀路径上叶子节点所对应的疑似异常业务账号和支持度，确定至少一个频繁项集。

可选的，所述频繁项集确定模块还可以包括：

第八确定模块，用于确定支持度小于预设支持度阈值的目标疑似异常业务账号；

删除模块，用于将所述目标疑似异常业务账号从每个属性行为特征对应的疑似异常业务账号子集中删除。

可选的，所述异常账号确定模块包括：

第九确定模块，用于根据所述至少一个频繁项集，确定每个频繁项集对应的置信度；

第三获取模块，用于获取所述置信度大于预设置信度阈值的频繁项集，得到目标频繁项集；

第十确定模块，用于将所述目标频繁项集中的疑似异常业务账号确定为异常业务账号。

另一方面，提供了一种服务器，包括处理器和存储器，所述存储器中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由所述处理器加载并执行以实现上述异常业务账号识别方法。

另一方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如上述的异常业务账号识别方法。

本发明实施例通过获取各待识别业务账号对应的登录设备标识，确定每个登录设备标识所关联的关联业务账号，在待识别业务账号与关联业务账号不匹配时，确定待识别业务账号为疑似异常业务账号，并根据各疑似异常业务账号的属性行为特征集确定至少一个频繁项集，进而根据频繁项集确定异常业务账号，从而降低了小号识别的漏查率，使得用户无法破解绕过，并且不需要用户单独的授权和绑定，识别覆盖率和精准性都大大提高。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种异常业务账号识别方法的系统架构示意图；

图2是本发明实施例提供的一种异常业务账号识别方法的流程示意图；

图3是本发明实施例构建的频繁模式树的一种可选示意图；

图4是本发明实施例提供的另一种异常业务账号识别方法的流程示意图；

图5是本发明实施例提供的一种异常业务账号识别装置的结构示意图；

图6是本发明实施例提供的一种服务器的硬件结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本说明书实施例中，异常业务账号可以为小号，其中，小号是指用户除了一个主要使用的业务账号外，再申请的辅助业务账号，例如，该异常业务账号可以是游戏小号，即玩家在游戏应用中除了常用的主游戏账号之外的游戏账号。通过对游戏小号的识别，可以根据游戏需要，提供给玩家游戏小号找回等功能，也可以帮助玩家找回游戏中的虚拟资产等；此外，通过发现游戏小号还可以对游戏内虚拟货币等虚拟资产的异常进行监控以排查安全问题等。在另一个应用场景中，发现游戏小号还有利于加强对未成年人的保护，方便家长及时了解被监护人的游戏相关信息。

由此可见，识别游戏小号具有非常重要的意义，然而，相关技术中一般基于用户预先绑定的身份信息以及人脸特征信息进行小号的识别，存在小号识别的覆盖率小的问题，且用户可以很容易的找到替代信息进行验证，从而绕过现有的识别技术，导致漏查率很高且不够精准。

基于此，本发明实施提供了一种异常业务账号识别方法，该方法通过获取预设历史时间段内登录指定业务客户端的业务账号(即待识别业务账号)对应的登录设备标识，确定在所述预设历史时间段之前，该登录设备标识所关联的关联业务账号，并在待识别业务账号与关联业务账号不匹配时，确定待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集，进一步根据各疑似异常业务账号对应的属性行为特征集确定至少一个频繁项集，根据该至少一个频繁项集确定异常业务账号，从而降低了小号识别的漏查率，使得用户无法破解绕过，并且不需要用户单独的授权和绑定，识别覆盖率和精准性都大大提高。

请参阅图1，其所示为本发明实施例提供的一种异常业务账号识别方法的系统架构示意图，该系统可以包括至少一个终端110，数据存储服务器120、小号识别服务器130和小号查询服务器140。

其中，至少一个终端110中可以运行有实现具体业务功能的业务客户端111，如图1所示的该业务客户端可以但不限于是游戏应用程序。终端可以是智能手机、台式电脑、平板电脑、笔记本电脑等具有各种操作系统的设备。

数据存储服务器120可以与终端110连接通信，用于为终端110提供业务数据存储服务，例如可以采集并存储游戏应用程序的相关数据信息，可以包括登录操作信息(例如，登录设备标识、登录时间、登录的游戏账号、登录IP地址等)和游戏行为信息(游戏地图数据、游戏玩法数据等)。

小号识别服务器130为负责进行小号识别的设备，其可以根据数据存储服务器120中存储的业务数据识别出异常业务账号即小号，并且小号识别服务器130还可以对识别结果进行存储。小号查询服务器140可以在接收到小号查询请求时，通过查询小号识别服务器130的识别结果返回查询到的小号。

需要说明的是，上述涉及的服务器可以是一个独立运行的服务器，也可以是由多个服务器组成的服务器集群。

请参阅图2，其所示为本发明实施例提供的一种异常业务账号识别方法的流程示意图，该方法可以应用于图1中的小号识别服务器。需要说明的是，本说明书提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的系统或产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。具体的如图2所示，所述方法可以包括：

S201，获取待识别业务账号的登录设备标识。

其中，待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号。预设历史时间段是指在当前系统时间之前的预设时间段，其可以根据实际需要进行设定，例如，预设历史时间段可以是最近一个月、最近一周等等；例如，当前系统时间为11月2号，则预设历史时间段可以为10月2号至11月2号。指定业务客户端可以是任意需要进行小号识别的客户端，可以但不限于包括游戏客户端，则业务账号可以但不限于是游戏账号。

本说明书实施例中，小号识别服务器可以根据设定周期来执行小号识别，该设定周期可以根据实际需求进行设定，例如可以是三天，一周、也可以是一个月等。一般设定周期越短，小号识别服务器存储的识别结果更新越及时，那么返回给小号查询服务器的查询结果就越准确。

登录设备标识是指定业务客户端所在终端设备的唯一标识，小号识别服务器可以基于该登录设备标识唯一确定一个终端设备。小号识别服务器可以从数据存储服务器获取各个待识别业务账号的登录设备标识。

实际应用中，数据存储服务器可以通过终端设备中的指定业务客户端(如游戏客户端)采集并存储登录操作信息，该登录操作信息可以但不限于包括登录设备标识、登录时间、登录的业务账号以及登录IP((Internet Protocol Address，互联网协议地址)和)地址等。以游戏客户端为例，可以通过游戏客户端的权限声明获取终端设备的IMEI(International Mobile Equipment Identity，国际移动设备识别码)号，将该IMEI号作为登录设备标识。在另一些实施方式中，游戏客户端还可以根据自身需求，在合理的应用权限内，通过获取一些相对固定的设备参数，基于哈希算法自动生成自定义的设备ID，将该自定义的设备ID作为登录设备标识。在另一些实施方式中，还可以通过终端设备制造商提供的公共接口获取终端设备ID，具体的实施中，可以根据实际需要提供不同安全等级的终端设备ID，比如，可以是基于游戏客户端的ID，不同游戏客户端的ID获取的终端设备ID是不同的，从而最大限度的保证用户的隐私。

可以理解的是，以上只是数据存储服务器获取登录设备标识的几个示例，实际应用中，还可以采用其他可以获取终端设备标识的方式，本发明对此不作具体限定。

本说明书实施例中，数据存储服务器还可以获取各个待识别业务账号登录指定业务客户端之后在该指定业务客户端的业务行为信息，以游戏客户端为例，该业务行为信息即为游戏行为信息，可以但不限于包括游戏地图数据、核心游戏玩法数据等，其中，游戏地图数据为业务账号在玩游戏过程中使用的游戏地图如雪地地图、沙漠地图等，核心游戏玩法数据为业务账号在玩游戏过程中采用的主要游戏玩法如不同人组队、打野、对战等等。

实际应用中，各待识别业务账号的登录操作信息和业务行为信息可以按照登录时间的先后排序以消息队列的形式存储在数据存储服务器中，该消息队列可以为分布式消息系统如Kafka。小号识别服务器定期从数据存储服务器获取预设历史时间段内指定业务客户端的业务数据，包括在该预设历史时间段内登录指定业务客户端的业务账号的登录操作信息和业务行为信息。

S203，确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号。

其中，关联业务账号是指在所述登录设备标识所对应的终端设备上有登录指定业务客户端记录的账号。

实际应用中，小号识别服务器可以针对指定业务客户端，根据每次小号识别时获取的该指定业务客户端的业务数据维护一个关联业务账号列表，该业务账号列表中记录登录设备标识，以及每个登录设备标识对应的关联业务账号和该关联业务账号的登录时间。基于此，在步骤S203执行时，小号识别服务器可以根据预设历史时间段和当前系统时间，确定一个历史时间点，然后基于该历史时间点以及关联业务账号列表中登录设备标识所对应的关联业务账号的登录时间，从指定业务客户端的关联业务账号列表中查找出预设历史时间段之前，所述登录设备标识所关联的关联业务账号。

S205，在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集。

本说明书实施例中，判断预设历史时间段之前，待识别业务账号对应的登录设备标识的关联业务账号中是否包含该待识别业务账号，若包含则表明预设历史时间段之前的关联业务账号中存在与待识别业务账号相匹配的业务账号，待识别业务账号与关联业务账号相匹配；若不包含则表明预设历史时间段之前的关联业务账号中不存在与待识别账号相匹配的业务账号，待识别业务账号与关联业务账号不匹配。

当待识别业务账号与预设历史时间段之前所述登录设备标识的关联业务账号不匹配时，表明该待识别业务账号在本次小号识别中是首次在登录设备标识所对应的终端设备上登录指定业务客户端，可以将该待识别业务账号确定为疑似异常业务账号。针对预设历史时间段内登录指定业务客户端的每个业务账号均执行上述步骤S201至步骤S205，从而可以得到疑似异常业务账号集。

S207，确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集。

其中，属性行为特征可以根据每个疑似异常业务账号对应的登录操作信息和业务行为信息来确定，属性行为特征是登录操作信息和业务行为信息在多个不同维度的体现。

在步骤S207的具体实施中，可以获取疑似异常业务账号集中每个疑似异常业务账号在预设历史时间段内的登录操作信息和业务行为信息；根据登录操作信息确定属性特征，该属性特征可以包括登录IP地址和登录设备标识；根据业务行为信息确定业务行为特征，该业务行为特征可以是表征业务账号在业务实施过程中的喜好、习惯的信息，以游戏客户端为例，可以分析游戏行为信息从中提炼出核心游戏玩法、惯用游戏地图，并将核心游戏玩法、惯用游戏地图作为游戏业务特征；将所述属性特征和业务行为特征作为疑似异常业务账号的属性行为特征。

以游戏客户端为例，例如每个疑似游戏异常账号对应的属性行为特征集可以表示为{登录IP地址，登录设备标识，核心游戏玩法，惯用游戏地图}，可以理解的是，核心游戏玩法可以从多个维度来体现，例如可以但不限于包括是否组队、组队偏好(3人、5人等)，打击方式(打野、刚枪等)。

S209，根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合。

具体的，根据属性行为特征集中的属性行为特征，确定至少一个频繁项集可以包括以下步骤：

(1)针对每个属性行为特征，确定包含所述属性行为特征的疑似异常业务账号，得到对应每个属性行为特征的疑似异常业务账号子集。

(2)根据所述疑似异常业务账号子集，确定每个疑似异常业务账号的支持度。

其中，所述支持度为所述疑似异常业务账号在所有疑似异常业务账号子集中的出现次数或出现概率。

(3)按照所述支持度的降序排列规则，对每个疑似异常业务账号子集中的疑似异常业务账号进行排序。

实际应用中，由于支持度小的疑似异常业务账号其活跃性不高，为异常业务账号的可能性较小，所以为了提高识别效率，作为一个可选的实施方式，在按照支持度进行降序排列之前，可以确定支持度小于预设支持度阈值的目标疑似异常业务账号，将该目标疑似异常业务账号从每个属性行为特征对应的疑似异常业务账号子集中删除，后续处理时基于删除后的疑似异常业务账号子集。其中，预设支持度阈值可以根据历史小号识别经验进行设定，例如，当支持度为出现次数时，预设支持度阈值可以设定为2、3等等，当支持度为出现概率时，预设支持度阈值可以设定为0.1、0.3等等，在此不做具体限定。

(4)根据每个属性行为特征对应的排序后的疑似异常业务账号子集构建频繁模式树；所述频繁模式树包括根节点和叶子节点，所述根节点为无效值，所述叶子节点对应一个疑似异常业务账号以及所述疑似异常业务账号的支持度。

(5)确定所述频繁模式树中以目标叶子节点为后缀节点的至少一个前缀路径；所述目标叶子节点为任意一个叶子节点。

(6)根据所述至少一个前缀路径中每个前缀路径上叶子节点所对应的疑似异常业务账号和支持度，确定至少一个频繁项集。

举例而言，假设疑似异常游戏账号及每个疑似异常游戏账号对应的属性业务特征集为：{O1|a,d,e,g,h,i}；{O2|a,b,c,d,f,h,i}；{O3|c,e,f,g,h,i}；{O4|b,d,e}；{O5|a,h}。其中，O表示疑似异常业务账号，a,b,c,d,e,f,g,h,i表示属性行为特征。

针对属性行为特征a，其对应的疑似异常业务账号子集为{O1,O2,O5}；针对属性行为特征b，其对应的疑似异常业务账号子集为{O2,O4}；针对属性行为特征c，其对应的疑似异常业务账号子集为{O2,O3}；针对属性行为特征d，其对应的疑似异常业务账号子集为{O1,O2,O4}；针对属性行为特征e，其对应的疑似异常业务账号子集为{O1,O3,O4}；针对属性行为特征f，其对应的疑似异常业务账号子集为{O2,O3}；针对属性行为特征g，其对应的疑似异常业务账号子集为{O1,O3}；针对属性行为特征h，其对应的疑似异常业务账号子集为{O1,O2,O3,O5}；针对属性行为特征i，其对应的疑似异常业务账号子集为{O1,O2,O3}，从而形成如下表1：

表1

属性行为特征	疑似异常业务账号子集
		a	O1,O2,O5
b	O2,O4
		c	O2,O3
d	O1,O2,O4
		e	O1,O3,O4
f	O2,O3
		g	O1,O3
h	O1,O2,O3,O5
		i	O1,O2,O3

扫描上述表1，对每个疑似异常业务账号的出现次数进行统计，得到如下的表2：

表2

疑似异常业务账号	O1	O2	O3	O4	O5
						支持度	6	7	6	3	2

假设预设支持度阈值为4，则可以将疑似异常业务账号O4和O5删除，对剩下的疑似异常业务账号按照支持度降序排列得到如下表3：

表3

疑似异常业务账号	O2	O1	O3
				支持度	7	6	6

按照表3中的降序排列规则对表1中每个属性行为特征对应的疑似异常业务账号子集中的疑似异常业务账号进行重新排列，得到如下表4：

表4

属性行为特征	疑似异常业务账号子集	排序后的疑似异常业务账号子集
			a	O1,O2,O5	O2,O1
b	O2,O4	O2
			c	O2,O3	O2,O3
d	O1,O2,O4	O2,O1
			e	O1,O3,O4	O1,O3
f	O2,O3	O2,O3
			g	O1,O3	O1,O3
h	O1,O2,O3,O5	O2,O1,O3
			i	O1,O2,O3	O2,O1,O3

遍历表4，根据每个属性行为特征对应的排序后的疑似异常业务账号子集构建频繁模式树(Fp-Tree)，每个属性行为特征对应的排序后的疑似异常业务账号子集可以作为频繁模式树的一个树分支，每一个叶子节点对应一个疑似异常业务账号及其支持度，表4中所有属性行为特征构成的频繁模式树如图3所示，其中，根节点为无效值，根节点的内容为Null。

然后对频繁模式树进行挖掘，选取频繁模式树中的一个叶子节点作为后缀节点，一般可以从频繁模式树最底部的叶子节点开始，例如图3中可以先选取“O3”作为后缀节点，根据“O3”对应的后缀节点可以查找到该后缀节点的所有前缀路径，得到前缀路径集合{(O2、O1：2)、(O2：2)、(O1：2)}，该前缀路径集合可以称之为条件模式基，在形成条件模式基时，将后缀节点的支持度作为每个前缀路径上叶子节点的支持度。当选取O1作为后缀节点时，得到相应的条件模式基为{(O2:4)}。

根据每个后缀节点对应的条件模式基生成对应该后缀节点的条件Fp-tree，具体的，可以对每个条件模式基中的前缀路径进行递归合并。然后将后缀节点的条件Fp-tree与后缀节点进行关联，得到一个频繁项集。如O3的前缀路径合并后可以得到两个条件Fp-tree，分别为(O2:4,O1:2)和(O1:2)，在(O2:4,O1:2)中包含两个叶子节点，以排在后面的O1作为后缀节点继续进行递归，还可以得到条件Fp-tree(O2:4)。将所有的条件Fp-tree与后缀节点O3关联，得到O3对应的频繁项集为(O2O3):4,(O1O3):4,(O2O1O3):2。此处还可以结合预设支持度阈值对频繁项集进行过滤，以前述预设支持度阈值4为例，将支持度小于4的频繁项集过滤掉，从而得到O3对应的最终频繁项集为(O2O3):4,(O1O3):4。

采用上述方式最终可以得到如下表5所示的支持度大于4的频繁项集：

表5

由上述频繁项集的确定过程可见，在实施时只需对原始数据扫描两遍，通过Fp-tree数据结构对原始数据进行压缩，使得小号识别的效率更高。

S211，根据所述至少一个频繁项集确定异常业务账号。

实际应用中，在根据至少一个频繁项集确定异常业务账号时可以包括以下步骤：

(1)根据所述至少一个频繁项集，确定每个频繁项集对应的置信度。

其中，置信度是指一个数据出现后，另一个数据出现的概率，或者说数据的条件概率，其计算公式如下：

其中，

根据置信度(Confidence)可以从频繁项集中找出强关联规则。

关联规则是反映一个事物与其他事物之间的相互依存性和关联性，是数据挖掘的一个重要技术，用于从大量数据中挖掘出有价值的数据项之间的相关关系。两个不相交的非空数据集合X、Y，如果X->Y，就说X->Y是一条关联规则。

(2)获取所述置信度大于预设置信度阈值的频繁项集，得到目标频繁项集。

其中，预设置信度阈值可以根据小号识别实验或者经验进行设定，例如可以将预设置信度阈值设定为60％。

(3)将所述目标频繁项集中的疑似异常业务账号确定为异常业务账号。

下面结合前述举例中的频繁项集，进一步举例说明根据该频繁项集进行的异常业务账号确定。假设预设置信度阈值为60％，表5中各频繁项集的置信度计算如下：

则，可以得到目标频繁项集为(O1,O3)，从而最终确定的异常业务账号为O1和O3。

实际应用中，当识别得到异常业务账号之后，还可以存储异常业务账号，具体存储时可以按照登录设备标识、指定业务客户端以及异常业务账号的对应关系进行存储以方便对该异常业务账号的查找。

由本发明实施例的上述技术方案可见，本发明实施例基于登录设备标识来确定疑似异常业务账号，并根据每个疑似异常业务账号的属性行为特征集确定至少一个频繁项集，进而根据该至少一个频繁项集确定异常业务账号，不需要用户的单独授权或者绑定，而且在该方法的实施中用户无法破解绕过，从而降低了小号识别的漏查率，提高了识别覆盖率。并且基于属性行为特征得到的频繁项集的挖掘可以很好的体现出业务账号之间关联关系，从而使得小号识别的准确性大大提高，识别的更加精准。

为了进一步提高小号识别的准确性，如图4所示，本发明实施例还提供了另一种异常业务账号识别方法，该方法可以包括：

S401，获取待识别业务账号对应的登录设备标识。

其中，所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号。

S403，判断所述登录设备标识是否为新增登录设备标识。

具体的，小号识别服务器可以在维护的关联业务账号列表中查找是否存在当前的登录设备标识，若不存在，则表明当前的登录设备标识对于小号识别服务器来说为新增登录设备标识；若存在，则表明当前的登录设备标识对于小号识别服务器来说不是新增登录设备标识。

若当前的登录设备标识不是新增登录设备标识，则执行步骤S405至步骤S415；若当前的登录设备标识是新增登录设备标识，则执行步骤S417。

S405，确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号。

S407，判断所述待识别业务账号与所述关联业务账号是否相匹配。

具体的，当待识别业务账号与所述关联业务账号不匹配时，可以执行步骤S409至步骤S415。

S409，确定所述待识别业务账号为疑似异常业务账号。

针对预设历史时间段内登录指定业务客户端的每个业务账号均执行上述步骤S401至步骤S409，从而可以得到疑似异常业务账号集。

S411，确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集。

S413，根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合。

S415，根据所述至少一个频繁项集确定异常业务账号。

S417，判断所述待识别业务账号是否为新增业务账号。

具体的，小号识别服务器可以在维护的关联业务账号列表中查找是否存在当前的待识别业务账号，若不存在，则表明当前的待识别业务账号对于小号识别服务器来说是新增业务账号；若存在，则表明当前的待识别业务账号对于小号识别服务器来说不是新增业务账号。

若当前的待识别业务账号不是新增业务账号，则可以执行步骤S409。

实际应用中，当终端设备在预设历史时间间隔内存在刷机操作时，终端设备也可能会产生新的设备ID，从而代替原有设备ID，为了避免刷机操作的影响，在一些实施方式中，在执行步骤S417时，若判断出当前的待识别业务账号不是新增业务账号时，还可以进一步判断所述登录设备标识对应的终端设备在所述预设历史时间段内是否有刷机记录，若没有刷机记录，则可以执行步骤S409；若有刷机记录，则认为当前的待识别业务账号不是疑似异常业务账号。

需要说明的是，图4所示方法实施例中存在与图2所示方法相同的步骤，其中相同步骤的详细内容可以参见图2所示方法实施例中的相关内容，在此不再赘述。

与上述几种实施例提供的异常业务账号识别方法相对应，本发明实施例还提供一种异常业务账号识别装置，由于本发明实施例提供的异常业务账号识别装置与上述几种实施例提供的异常业务账号识别方法相对应，因此前述异常业务账号识别方法的实施方式也适用于本实施例提供的异常业务账号识别装置，在本实施例中不再详细描述。

请参阅图5，其所示为本发明实施例提供的一种异常业务账号识别装置的结构示意图，该装置具有实现上述方法实施例中异常业务账号识别方法的功能，所述功能可以由硬件实现，也可以由硬件执行相应的软件实现。如图5所示，该装置可以包括：

第一获取模块510，用于获取待识别业务账号对应的登录设备标识；所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号；

关联账号确定模块520，用于确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号；

疑似异常账号确定模块530，用于在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；

属性行为特征确定模块540，用于确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；

频繁项集确定模块550，用于根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合；

异常账号确定模块560，用于根据所述至少一个频繁项集确定异常业务账号。

在一个可选的实施方式中，所述装置还可以包括：

第一判断模块，用于判断所述登录设备标识是否为新增登录设备标识，在所述登录设备标识不是新增登录设备标识时，执行所述确定所述登录设备标识所关联的关联业务账号的步骤。

在另一个可选的实施方式中，所述装置还可以包括：

第二判断模块，用于在所述登录设备标识是新增登录设备标识时，判断所述待识别业务账号是否为新增业务账号，在所述待识别业务账号不是新增业务账号时，确定所述待识别业务账号为疑似异常业务账号。

在一个可选的实施方式中，属性行为特征确定模块540可以包括：

第二获取模块，用于获取每个所述疑似异常业务账号在所述预设历史时间段内的登录操作信息和业务行为信息；

第一确定模块，用于根据所述登录操作信息确定属性特征；所述属性特征包括登录IP地址和登录设备标识；

第二确定模块，用于根据所述业务行为信息确定业务行为特征；

第三确定模块，用于将所述属性特征和业务行为特征作为所述疑似异常业务账号的属性行为特征。

在一个可选的实施方式中，频繁项集确定模块550可以包括：

第四确定模块，用于针对每个属性行为特征，确定包含所述属性行为特征的疑似异常业务账号，得到对应每个属性行为特征的疑似异常业务账号子集；

第五确定模块，用于根据所述疑似异常业务账号子集，确定每个疑似异常业务账号的支持度；所述支持度为所述疑似异常业务账号在所有疑似异常业务账号子集中的出现次数或出现概率；

排序模块，用于按照所述支持度的降序排列规则，对每个疑似异常业务账号子集中的疑似异常业务账号进行排序；

频繁模式树构建模块，用于根据每个属性行为特征对应的排序后的疑似异常业务账号子集构建频繁模式树；所述频繁模式树包括根节点和叶子节点，所述根节点为无效值，所述叶子节点对应一个疑似异常业务账号以及所述疑似异常业务账号的支持度；

第六确定模块，用于确定所述频繁模式树中以目标叶子节点为后缀节点的至少一个前缀路径；所述目标叶子节点为任意一个叶子节点；

第七确定模块，用于根据所述至少一个前缀路径中每个前缀路径上叶子节点所对应的疑似异常业务账号和支持度，确定至少一个频繁项集。

在一个可选的实施方式中，频繁项集确定模块550还可以包括：

第八确定模块，用于确定支持度小于预设支持度阈值的目标疑似异常业务账号；

删除模块，用于将所述目标疑似异常业务账号从每个属性行为特征对应的疑似异常业务账号子集中删除。

在一个可选的实施方式中，异常账号确定模块560可以包括：

第九确定模块，用于根据所述至少一个频繁项集，确定每个频繁项集对应的置信度；

第三获取模块，用于获取所述置信度大于预设置信度阈值的频繁项集，得到目标频繁项集；

第十确定模块，用于将所述目标频繁项集中的疑似异常业务账号确定为异常业务账号。

需要说明的是，上述实施例提供的装置，在实现其功能时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的装置与方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本发明实施例的异常业务账号识别装置基于登录设备标识来确定疑似异常业务账号，并根据每个疑似异常业务账号的属性行为特征集确定至少一个频繁项集，进而根据该至少一个频繁项集确定异常业务账号，不需要用户的单独授权或者绑定，而且在该方法的实施中用户无法破解绕过，从而降低了小号识别的漏查率，提高了识别覆盖率。并且基于属性行为特征得到的频繁项集的挖掘可以很好的体现出业务账号之间关联关系，从而使得小号识别的准确性大大提高，识别的更加精准。

本发明实施例提供了一种服务器，该服务器包括处理器和存储器，该存储器中存储有至少一条指令或至少一段程序，该至少一条指令或该至少一段程序由该处理器加载并执行以实现如上述方法实施例所提供的异常业务账号识别方法。

存储器可用于存储软件程序以及模块，处理器通过运行存储在存储器的软件程序以及模块，从而执行各种功能应用以及异常业务账号识别。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、功能所需的应用程序等；存储数据区可存储根据所述设备的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器还可以包括存储器控制器，以提供处理器对存储器的访问。

本发明实施例所提供的方法实施例可以在计算机终端、服务器或者类似的运算装置中执行。以运行在服务器上为例，图6是本发明实施例提供的运行一种异常业务账号识别方法的服务器的硬件结构框图，如图6所示，该服务器600可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(Central Processing Units，CPU)610(处理器610可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器630，一个或一个以上存储应用程序623或数据622的存储介质620(例如一个或一个以上海量存储设备)。其中，存储器630和存储介质620可以是短暂存储或持久存储。存储在存储介质620的程序可以包括一个或一个以上模块，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器610可以设置为与存储介质620通信，在服务器600上执行存储介质620中的一系列指令操作。服务器600还可以包括一个或一个以上电源660，一个或一个以上有线或无线网络接口650，一个或一个以上输入输出接口640，和/或，一个或一个以上操作系统621，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

输入输出接口640可以用于经由一个网络接收或者发送数据。上述的网络具体实例可包括服务器600的通信供应商提供的无线网络。在一个实例中，输入输出接口640包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，输入输出接口640可以为射频(RadioFrequency，RF)模块，其用于通过无线方式与互联网进行通讯。

本领域普通技术人员可以理解，图6所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器600还可包括比图6中所示更多或者更少的组件，或者具有与图6所示不同的配置。

本发明的实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质可设置于服务器之中以保存用于实现一种异常业务账号识别方法相关的至少一条指令或至少一段程序，该至少一条指令或该至少一段程序由处理器加载并执行以实现上述方法实施例提供的异常业务账号识别方法。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种异常业务账号识别方法，其特征在于，所述方法包括：

获取待识别业务账号对应的登录设备标识；所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号；

确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号；

在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；

确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；

根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合；

根据所述至少一个频繁项集确定异常业务账号。

2.根据权利要求1所述的异常业务账号识别方法，其特征在于，在确定所述登录设备标识所关联的关联业务账号之前，所述方法还包括：

判断所述登录设备标识是否为新增登录设备标识；

当所述登录设备标识不是新增登录设备标识时，执行所述确定所述登录设备标识所关联的关联业务账号的步骤。

3.根据权利要求2所述的异常业务账号识别方法，其特征在于，所述方法还包括：

当所述登录设备标识是新增登录设备标识时，判断所述待识别业务账号是否为新增业务账号；

当所述待识别业务账号不是新增业务账号时，确定所述待识别业务账号为疑似异常业务账号。

4.根据权利要求1所述的异常业务账号识别方法，其特征在于，所述确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征包括：

获取每个所述疑似异常业务账号在所述预设历史时间段内的登录操作信息和业务行为信息；

根据所述登录操作信息确定属性特征；所述属性特征包括登录IP地址和登录设备标识；

根据所述业务行为信息确定业务行为特征；

将所述属性特征和业务行为特征作为所述疑似异常业务账号的属性行为特征。

5.根据权利要求1所述的异常业务账号识别方法，其特征在于，所述根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集包括：

针对每个属性行为特征，确定包含所述属性行为特征的疑似异常业务账号，得到对应每个属性行为特征的疑似异常业务账号子集；

根据所述疑似异常业务账号子集，确定每个疑似异常业务账号的支持度；所述支持度为所述疑似异常业务账号在所有疑似异常业务账号子集中的出现次数或出现概率；

按照所述支持度的降序排列规则，对每个疑似异常业务账号子集中的疑似异常业务账号进行排序；

根据每个属性行为特征对应的排序后的疑似异常业务账号子集构建频繁模式树；所述频繁模式树包括根节点和叶子节点，所述根节点为无效值，所述叶子节点对应一个疑似异常业务账号以及所述疑似异常业务账号的支持度；

确定所述频繁模式树中以目标叶子节点为后缀节点的至少一个前缀路径；所述目标叶子节点为任意一个叶子节点；

根据所述至少一个前缀路径中每个前缀路径上叶子节点所对应的疑似异常业务账号和支持度，确定至少一个频繁项集。

6.根据权利要求5所述的异常业务账号识别方法，其特征在于，在按照所述支持度的降序排列规则，对每个疑似异常业务账号子集中的疑似异常业务账号进行排序之前，所述方法还包括：

确定支持度小于预设支持度阈值的目标疑似异常业务账号；

将所述目标疑似异常业务账号从每个属性行为特征对应的疑似异常业务账号子集中删除。

7.根据权利要求5所述的异常业务账号识别方法，其特征在于，所述根据所述至少一个频繁项集确定异常业务账号包括：

根据所述至少一个频繁项集，确定每个频繁项集对应的置信度；

获取所述置信度大于预设置信度阈值的频繁项集，得到目标频繁项集；

将所述目标频繁项集中的疑似异常业务账号确定为异常业务账号。

8.一种异常业务账号识别装置，其特征在于，所述装置包括：

第一获取模块，用于获取待识别业务账号对应的登录设备标识；所述待识别业务账号为预设历史时间段内登录指定业务客户端的业务账号中的任一业务账号；

关联账号确定模块，用于确定在所述预设历史时间段之前，所述登录设备标识所关联的关联业务账号；

疑似异常账号确定模块，用于在所述待识别业务账号与所述关联业务账号不匹配时，确定所述待识别业务账号为疑似异常业务账号，得到疑似异常业务账号集；

属性行为特征确定模块，用于确定每个所述疑似异常业务账号在所述预设历史时间段内的属性行为特征，得到对应每个疑似异常业务账号的属性行为特征集；

频繁项集确定模块，用于根据所述属性行为特征集中的属性行为特征，确定至少一个频繁项集；所述频繁项集为多个不同疑似异常业务账号的集合；

异常账号确定模块，用于根据所述至少一个频繁项集确定异常业务账号。

9.一种服务器，其特征在于，包括处理器和存储器，所述存储器中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由所述处理器加载并执行以实现如权利要求1～7中任一项所述的异常业务账号识别方法。

10.一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如权利要求1～7任一项所述的异常业务账号识别方法。

Images