CN111083165A - 基于联合防撞库平台的登录拦截方法和系统 - Google Patents

Abstract

本公开提供了一种用于基于联合防撞库平台进行登录拦截的方法，包括：将应用或网站接入联合防撞库平台，并获取该应用或网站的撞库防范级别；由联合防撞库平台在用户登录所述应用或网站时接收当前登录数据，其中当前登录数据包括相关账号和当前登录行为数据；由联合防撞库平台提取该相关账号的历史登录行为数据；基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险；以及记录该确定并将该确定反馈给该应用或网站。

Description

基于联合防撞库平台的登录拦截方法和系统

技术领域

本公开主要涉及网络安全，尤其涉及撞库防御。

背景技术

随着互联网应用的发展，网络犯罪层出不穷，网络安全日益突显其重要性。

撞库攻击是最常见的网络攻击之一，撞库就是网络攻击者利用已经泄露的账号密码，去其他网站或应用程序中尝试登录的行为。在互联网快速发展的状况下，一个互联网用户往往持有多个网站或者系统的账号密码，且基本上账号一致、密码一致；一旦其中一个账号密码被窃取，可能带来连锁反应，造成其他网站应用账户损失。

最初，基于撞库的数据交易并不多。但由于很多人都在多个平台使用相同的账号密码，让攻击者看到可乘之机。调查显示，撞库的成功率在1％-3％之间。此外，可以反复使用相同的数据库来破解几十个不同的网站，从而获得更高的利润。

由此，撞库几乎形成了产业链，有人售卖撞库得到的数据，而有人购买这些数据用于进一步的撞库与攻击。近几年，信息泄露事件此起彼伏，更是源源不断地给攻击者提供了新筹码，也使得其他尚未曝出信息泄露的平台陷入险境。

本领域现有的撞库防御手段是进行独立防撞库检测，这对于应对已经形成产业链的撞库攻击是远远不够的。因此，本领域需要一种联合防撞库机制，来有效防止网络犯罪者通过收集互联网已泄露的用户和密码信息批量登录其他网站。

发明内容

为解决上述技术问题，本公开提供了一种基于联合防撞库平台的登录拦截方案。

在本公开一实施例中，提供了一种用于基于联合防撞库平台进行登录拦截的方法，包括：将应用或网站接入该联合防撞库平台，并获取该应用或网站的撞库防范级别；由该联合防撞库平台在用户登录该应用或网站时接收当前登录数据，其中该当前登录数据包括相关账号和当前登录行为数据；由该联合防撞库平台提取相关账号的历史登录行为数据；基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险；以及记录该确定并将该确定反馈给该应用或网站。

在本公开的另一实施例中，相关账号的历史登录涉及对联合防撞库平台所接入的一个或多个应用或网站的登录。

在本公开的另一实施例中，相关账号的登录数据包括相关账号的风险等级，并且该方法进一步包括在确定当前登录操作针对该应用或网站有风险时更新风险等级。

在本公开的又一实施例中，基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险包括：如果当前登录行为数据本身异常，则基于撞库防范级别来确定当前登录操作是否有风险。

在本公开的另一实施例中，基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险包括：如果当前登录行为数据本身正常，则比较当前登录行为数据和历史登录行为数据；以及如果当前登录行为数据偏离历史登录行为数据，则基于撞库防范级别来确定当前登录操作是否有风险。

在本公开的又一实施例中，基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对应用或网站是否有风险包括：如果当前登录行为数据本身正常，则比较当前登录行为数据和历史登录行为数据；以及如果当前登录行为数据没有偏离历史登录行为数据，则确定当前登录操作没有风险。

在本公开的另一实施例中，当前登录行为数据和历史登录行为数据中的非敏感数据通过联合防撞库平台共享，而其中的敏感数据在联合防撞库平台上被隔离。

在本公开的另一实施例中，历史登录行为数据的溯及期的长短由联合防撞库平台按各个网站或应用的不同需求而不同地选择、或者按网站或应用的撞库防范级别而不同地确定。

在本公开一实施例中，提供了一种用于基于联合防撞库平台进行登录拦截的系统，包括：接口模块，将应用或网站接入联合防撞库平台，并获取该应用或网站的撞库防范级别；数据接收和提取模块，在用户登录该应用或网站时接收当前登录数据，其中当前登录数据包括相关账号和当前登录行为数据，并提取相关账号的历史登录行为数据；风险确定模块，基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险；以及反馈模块，记录该确定并将该确定反馈给应用或网站。

在本公开的另一实施例中，相关账号的历史登录涉及对联合防撞库平台所接入的一个或多个应用或网站的登录。

在本公开的另一实施例中，相关账号的登录数据包括相关账号的风险等级，并且风险确定模块进一步在确定当前登录操作针对该应用或网站有风险时更新风险等级。

在本公开的又一实施例中，风险确定模块基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险包括：如果当前登录行为数据本身异常，则风险确定模块基于撞库防范级别来确定当前登录操作是否有风险。

在本公开的另一实施例中，风险确定模块基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险包括：如果当前登录行为数据本身正常，则风险确定模块比较当前登录行为数据和历史登录行为数据；以及如果当前登录行为数据偏离历史登录行为数据，则风险确定模块基于撞库防范级别来确定当前登录操作是否有风险。

在本公开的又一实施例中，风险确定模块基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对应用或网站是否有风险包括：如果当前登录行为数据本身正常，则风险确定模块比较当前登录行为数据和历史登录行为数据；以及如果当前登录行为数据没有偏离历史登录行为数据，则风险确定模块确定当前登录操作没有风险。

在本公开的另一实施例中，当前登录行为数据和历史登录行为数据中的非敏感数据通过联合防撞库平台共享，而其中的敏感数据在联合防撞库平台上被隔离。

在本公开的另一实施例中，历史登录行为数据的溯及期的长短由联合防撞库平台按各个网站或应用的不同需求而不同地选择、或者按网站或应用的撞库防范级别而不同地确定。

在本公开一实施例中，提供了一种存储有指令的计算机可读存储介质，当这些指令被执行时使得机器执行如前所述的方法。

提供本概述以便以简化的形式介绍以下在详细描述中进一步描述的一些概念。本概述并不旨在标识所要求保护主题的关键特征或必要特征，也不旨在用于限制所要求保护主题的范围。

附图说明

本公开的以上发明内容以及下面的具体实施方式在结合附图阅读时会得到更好的理解。需要说明的是，附图仅作为所请求保护的发明的示例。在附图中，相同的附图标记代表相同或类似的元素。

图1是示出根据本公开一实施例的基于联合防撞库平台的登录拦截方法的流程图；

图2是示出根据本公开一实施例的在联合防撞库平台上进行登录拦截的示意图；

图3是示出根据本公开一实施例的在联合防撞库平台上采用用户行为识别模型进行反馈和联合防控的示意图；

图4是示出根据本公开一实施例的在联合防撞库平台上进行反馈和联合防控的数据流的示意图；

图5是示出根据本公开另一实施例的在联合防撞库平台上将登录方式和机器人防控入参以进行反馈和联合防控的示意图；

图6是示出根据本公开一实施例的基于联合防撞库平台的登录拦截系统的框图。

具体实施方式

为使得本公开的上述目的、特征和优点能更加明显易懂，以下结合附图对本公开的具体实施方式作详细说明。

在下面的描述中阐述了很多具体细节以便于充分理解本公开，但是本公开还可以采用其它不同于在此描述的其它方式来实施，因此本公开不受下文公开的具体实施例的限制。

信息泄露事件在网络时代屡见不鲜，其中的拖库、撞库攻击是对互联网网站或应用防范信息泄露的综合安全能力的严峻考验。

拖库就是指黑客通过各种社工手段、技术手段非法获取数据库中的敏感信息。一般而言，这些敏感信息包括：用户的账号信息(诸如用户名、密码)，身份信息(诸如真实姓名、证件号码)，通讯信息(诸如电子邮箱、电话、住址)等等。甚至，用户所在的城市、居住状态、交易历史、帐户余额等也可通过拖库获得。

撞库是黑客通过收集互联网已泄露的拖库信息，特别是注册用户和密码信息，生成对应的字典表，尝试批量自动登录其他网站验证后，得到一系列可以登录的真实账户。

实现拖库的手段和方法相对丰富多样，可以分为技术流拖库和社工流拖库。常见的技术流以入侵、攻击为主实现拖库，如远程下载数据库，利用Web Code漏洞、WebServices漏洞、服务器漏洞，挂马、病毒、木马后门等；社工流则以欺诈、网站仿冒、钓鱼、重金收购、免费软件窃取等为主要手段实现拖库。

存在撞库的根本原因是很多互联网用户在不同网站使用的是相同的账号密码，因此攻击者可以通过获取用户在A网站的账户从而尝试登录B网站。高水准的撞库攻击不易发现，实现起来需很高的技术能力，因此成本较高，当前多数的撞库还是以单脚本登录验证、分布式脚本登录验证、自动代理登录验证，甚至人肉验证等方式来实现。

当前的防撞库攻击往往是独立防撞库系统，其中信息仅仅是本系统或者本应用体系内的，而撞库攻击往往会尝试进行各大网站的登录，且会有各种手段避开网站预设的独立防撞库水位线，使用多个ip地址等，在面对登录验证等场景的时候，会放弃攻击、进行下次尝试，而账号信息泄漏的隐患并没有解除。

因此，本领域需要一种跨多个网站或应用体系进行联合防撞库的方法和系统，能够通过不同网站或应用体系之间的防撞库检测数据共享，针对各个网站或应用体系的不同防撞库级别进行针对性的撞库防御，并且能够应对未触发单个网站或应用自身的防撞库报警的情况。

下文将基于附图具体描述根据本公开各个实施例的基于联合防撞库平台的登录拦截方法和系统。

图1是示出根据本公开一实施例的基于联合防撞库平台的登录拦截方法100的流程图。

在102，将应用或网站接入联合防撞库平台，并获取该应用或网站的撞库防范级别。

不同的应用或网站的撞库防范级别是不同的。举例而言，金融平台、零售电商、票务平台、以及社区服务网站可具有由高及低的不同的撞库防范级别，比如，金融平台的防撞库级别最高，可被赋值为10；零售电商的防撞库级别较高，可被赋值为8；票务平台的防撞库级别一般，可被赋值为5；以及社区服务网站的防撞库级别较低，可被赋值为2。当然，不同的应用或网站可以有其个性化的撞库防范级别的设置，并且如何赋值可按需进行，在此不再赘述。

接入联合防撞库平台的目的是为了在不同网站或应用体系之间共享防撞库检测数据。在本公开一实施例中，网站或应用体系与联合防撞库平台的数据既是可共享的、又是可隔离的。也就是说，各个网站或应用体系所上传的登录数据被联合防撞库平台共享，其中与操作相关的非敏感数据，比如账号、登录应用或网站、IP地址、登录方式、登录过程、登录时间等，连同例如密码、短信验证码、安全问题等敏感数据，可被记录或检测以分析该登录操作和账号的风险，并由此将相关风险和非敏感的支持数据通知给该网站或应用体系。

另一方面，不同网站或应用体系之间的敏感数据又是隔离的，即一个网站或应用体系上传的敏感数据不会被共享给不同的另一网站或应用体系。

在104，由联合防撞库平台在用户登录该应用或网站时接收当前登录数据，其中该当前登录数据包括相关账号和当前登录行为数据。

由于在102该应用或网站接入了联合防撞库平台，因此当用户登录该应用或网站时，其当前登录数据就可被联合防撞库平台接收。该当前登录数据包括账号和当前登录行为数据。当前登录行为数据包括与操作相关的非敏感数据，比如账号、登录应用或网站、IP地址、登录方式、登录过程、登录时间等，连同例如密码、短信验证码、安全问题等敏感数据。

在本公开一实施例中，登录方式包括账号密码登录、手机验证登录、外部关联登录、活体识别登录等等。登录过程包括登录级别(诸如，一般用户、VIP、超级VIP等等)、登录时长和登录次数(即输入频率)。

其中账号密码登录为分别输入账号和密码登录，手机验证登录为分别输入手机号码和短信验证码登录，外部关联登录为使用一些公信力较强的其他关联账号来登录，活体识别登录为脸部识别登录或指纹登录等等。

联合防撞库平台接收到当前登录行为数据后，将对当前登录行为数据进行后续分析，例如用户行为识别分析或机器人防控分析。在下文中将结合图3详细描述联合防撞库平台进行的分析。

在106，由该联合防撞库平台提取该相关账号的历史登录行为数据。

仅仅具备当前登录行为数据，联合防撞库平台无法识别大多数的异常情形，例如同一个IP地址、同一个账号、频繁登录多个网站或应用。由此，联合防撞库平台需要提取当前登录行为相关账号的历史登录行为数据，以期针对当前登录行为进行操作风险的确定。

在本公开一实施例中，联合防撞库平台还需要提取当前登录行为相关账号的风险等级，以便于在确定当前登录行为有操作风险时进行账号风险的更新。相关账号的风险等级可由该应用或网站根据其业务的特点来分层级设置，例如，高、中、低等，在此不做赘述。

历史登录行为数据的溯及期的长短可由联合防撞库平台确定，或者按各个网站或应用的不同需求而不同地选择，或者可按各个网站或应用的不同撞库防范级别而不同地采用。

在108，基于当前登录行为数据、历史登录行为数据和撞库防范级别确定当前登录操作针对该应用或网站是否有风险。

如果当前登录行为数据本身异常，例如，密码多次出错、或短信验证码出错，则当然确定当前登录操作有风险，并可增加相关账号的风险等级。该异常登录通常在该应用或网站的独立防撞库检测中即可得到确定。然而，在该应用或网站没有独立防撞库检测机制的情况下，联合防撞库平台也能够支持对基础异常登录的判断。

在本公开一实施例中，联合防撞库平台在确定当前登录操作针对该应用或网站有风险时更新该相关账号的风险等级。

在本公开另一实施例中，联合防撞库平台几乎同时地接收到一账号在不同IP地址在多个网站或应用的登录行为数据，则确定当前登录操作有风险，并提高相关账号的风险等级。

如果当前登录行为数据本身正常，但通过比较当前登录行为数据与历史登录行为数据，可获得比较结果为正常登录或存疑登录。在本公开一实施例中，当前登录的密码或短信验证码准确，但其当前登录的时长、输入(字符)频率等行为数据明显与历史登录行为数据不符(比如，频率超快)，可确定当前登录操作为存疑登录。在本公开另一实施例中，当前登录行为数据本身正常，但在历史登录行为数据中，其相关账号近3天的登录操作频繁，并且为在不同IP地址登录多个网站或应用，其频繁度明显偏离较为长期的历史登录行为数据，可确定当前登录操作为存疑登录。在本公开又一实施例中，当前登录行为数据本身正常，但在历史登录行为数据中，其相关IP地址当天的登录操作频繁，并且为在同一IP地址用不同账号登录多个网站或应用，其频繁度明显偏离较为长期的历史登录行为数据，可确定当前登录操作为存疑登录。

当确定当前登录操作为存疑登录时，进一步依据相应网站或应用的撞库防范级别，来确定当前登录操作是否有风险。在本公开一实施例中，当相应网站或应用(例如，金融平台)的撞库防范级别为高时，一旦确定当前登录操作为存疑登录，就确定当前登录操作有风险，并可增加相关账号的风险等级。在本公开另一实施例中，当相应网站或应用(例如，消费电商平台)的撞库防范级别为较高时，基于确定当前登录操作为存疑登录，可触发进一步的验证操作，例如，账号密码登录操作添加进一步的短信验证操作或者进一步输入身份确认ID等等，或者对频率超快的操作添加滑动解锁验证。如果该进一步的验证操作出现问题，则确定当前登录操作有风险，并可增加相关账号的风险等级。在本公开又一实施例中，当相应网站或应用(例如，社区事务平台)的撞库防范级别为低时，可确定当前登录操作为正常登录。

本领域技术人员可以理解，当比较结果为存疑登录、而应用或网站具备不同的撞库防范级别时，处置方法可按需调适，并且可随着网络技术的进步而采纳新的处置手段，在此不再赘述。

在110，记录该确定并将该确定反馈给该应用或网站。

在108对当前登录操作的风险的确定可由联合防撞库平台记录，并由联合防撞库平台将其反馈给该应用或网站。

在本公开一实施例中，联合防撞库平台在确定当前登录操作针对该应用或网站有风险并更新该相关账号的风险等级后，记录该更新并将其反馈给该应用或网站。

在记录之后，该当前登录数据即为相关账号的历史登录数据的一部分。登录数据的记录可集中式或分布式地储存，诸如储存在联合防撞库平台的集中式数据库、分布式数据库、云存储等；或者，该登录数据的记录可存储在相应的应用或网站的服务器上，由联合防撞库平台在需要时提取所储存的数据。

图2是示出根据本公开一实施例的在联合防撞库平台上进行登录拦截的示意图。

如图2所示，网站或应用接入联合防撞库平台，用户登录该网站或应用，由此，相关的登录账号和用户登录行为数据通过该网站或应用被传送给联合防撞库平台。其中用户登录操作所涉及的ip地址及登录账号可采用不可逆算法加密。并且，该网站或应用的撞库防范级别也被传送给联合防撞库平台。有独立防撞库检测能力的网站或应用还可将其相关检测结果传送给联合防撞库平台。

接着，联合防撞库平台对登录操作进行相关的计数计算，即将所涉及的ip地址的对应登录次数+1，将所涉及账号的对应登录次数+1。该操作旨在对登录行为数据进行整理，且可按需选择。

联合防撞库平台可基于用户所登录的网站或应用的撞库防范级别进行联合防控操作，从而根据当前登录行为数据和历史登录行为数据判断本次登录操作的撞库登录风险。

在本公开一实施例中，该联合防控操作可基于当前登录行为数据偏离历史登录行为数据来判断当前登录操作有撞库登录风险。当前登录行为数据偏离历史登录行为数据可通过神经网络模型(例如用户行为识别模型)来计算和判断。

在本公开另一实施例中，该联合防控操作可基于当前登录行为数据和近期(例如，近3天、近1周)历史登录行为数据偏离长期历史登录行为数据(例如，近半年、近1年)来判断当前登录操作有撞库登录风险。同样，当前登录行为数据和近期历史登录行为数据偏离长期历史登录行为数据可通过神经网络模型来计算和判断。

在本公开又一实施例中，该联合防控操作可基于独立防撞库的检测进行。举例而言，在联合防撞库平台的历史登录行为数据中，当前登录操作所涉及的账号在另一应用或平台的先前登录被该另一应用或平台的独立防撞库检测为涉及撞库风险，并且该另一应用或平台的撞库防范级别与本次登录操作的相关应用或平台的撞库防范级别相当，则联合防撞库平台可判定当前登录操作亦有撞库登录风险。

进一步地，联合防撞库平台可基于用户所登录的网站或应用的撞库防范级别进行反馈操作，从而根据当前登录行为数据和历史登录行为数据更新本次登录操作相关账号的风险等级。

在反馈操作中，当前登录操作的用户登录行为数据可被联合防撞库平台处理并输入基于历史登录行为数据构建的模型(例如，用户画像模型)，从而给出相关账号所对应的风险等级。

在本公开一实施例中，联合防控操作和反馈操作均可在纳入平台检测数据的情况下进行。例如，近期平台检测到相关账号用户对安全问题进行了修改，且其修改后的安全问题与类似历史安全问题的答案有矛盾之处。此时，联合防撞库平台可基于该平台检测数据，对当前登录操作和相关账号的风险进行进一步的判定。

联合防控操作和反馈操作的相关实施例将参照图5进行具体描述。

联合防撞库平台在确定了操作和账号的风险之后，即将其反馈给相应网站或应用，并且可依据该应用或平台的撞库防范级别提出进一步的验证操作建议。

图3是示出根据本公开一实施例的在联合防撞库平台上采用用户行为识别模型进行反馈和联合防控的示意图。

网站或应用接入联合防撞库平台需要满足规范并有相应入口，在此不做详细描述。

网站或应用接入联合防撞库平台后，即可向联合防撞库平台传送自己的撞库防范级别和用户的登录行为数据。这些数据可在登录发生时实时传送，亦可按一定时间间隔传送，联合防撞库平台接收到的当前数据通常包括当前撞库防范级别和当前登录行为数据。本领域技术人员可以理解，当前登录行为数据可以是单次登录的行为数据，也可以是一时间窗内的登录行为数据集合。

网站或应用在用户登录时向联合防撞库平台传送的用户行为数据按敏感性可包括与操作相关的非敏感数据和敏感数据，按种类可包括登录方式、登录过程、操作频率、退出方式等等。如前所述，对于与操作相关的敏感数据，联合防撞库平台为确保其安全性，在各个网站或应用之间实施隔离。

登录方式包括账号密码登录、手机验证登录、外部关联登录、活体识别登录等等。登录过程包括登录级别(诸如，一般用户、VIP、超级VIP等等)、登录结果(诸如，登录成功、登录失败、放弃登录等等)、登录时长和登录次数(比如，在登录成功之前的尝试次数、放弃登录之前的尝试次数等等)。

不管用户采用何种登录方式，联合防撞库平台可根据用户的当前登录行为数据提取出相关账号，并进一步提取该相关账号的历史登录行为数据。基于相关账号的当前登录行为数据和历史登录行为数据，平台可检测出与关键操作和自检结果相关的数据。关键操作和自检结果依不同应用或网站而不同。举例而言，关键操作可以是密码修改、安全问题修改、活体识别修改等；自检结果包括密码匹配度、历史匹配度等等。

联合防撞库平台将当前登录行为数据和历史登录行为数据输入用户行为识别模型，以期判定当前登录行为数据是否符合基于历史登录行为数据确定的用户行为模式。用户行为识别模型可以是基于特征提取的分类模型，例如基于随机森林的用户行为识别模型、基于卷积神经网络的用户行为识别模型、基于LM神经网络的用户行为识别模型等等。

历史登录行为数据的溯及期如前所述可由联合防撞库平台确定，或者按各个网站或应用的不同需求而不同地选择，或者可按各个网站或应用的不同撞库防范级别而不同地采用。举例而言，撞库防范级别较高时，其溯及期可相对较长；反之，则可相对较短。当然，当网站或应用所属的行业发展或更迭较快时，其溯及期会相对较短。本领域技术人员可以理解，溯及期不一定是从当前时间向前追溯，亦可选取期间的任一时间段。

用户在溯及期内在各个应用或网站上的登录行为数据被作为历史登录行为数据输入用户行为识别模型，从这些历史登录行为数据可提取出各个特征(即，入参)，从而基于所提取特征对用户或即该用户账号进行归类。在当前登录行为数据明显偏离先前归类时，该当前登录行为存疑。此时，联合防撞库平台可按应用或网站的撞库防范级别采取不同的进一步措施。当该应用或网站的撞库防范级别较高时，并且当怀疑当前登录操作涉及机器人攻击时，该联合防撞库平台可提供建议操作，比如滑动拼图验证。当建议操作仍然存疑时，可确定该当前登录行为有风险。

当确定当前登录有风险时，联合防撞库平台可提高风险等级，或者在风险极大(例如，相同时间在不同IP地址登录不同应用或网站，且疑为机器人攻击)时冻结账号的登录。

反之，联合防撞库平台亦可在确认近期一账号的登录已无风险时降低风险等级，甚至清除账户风险。

图4是示出根据本公开一实施例的在联合防撞库平台上进行反馈和联合防控的数据流的示意图。

联合防撞库平台所接入的应用或网站向联合防撞库平台传送用户登录数据，这些用户登录数据包括相关账号、当前登录行为数据和历史登录行为数据。从用户登录数据进行实时提取的即为当前登录行为数据，而从用户登录数据进行选择性提取的是历史登录行为数据，例如，可从相关账号的用户登录数据中提取一时间窗(例如，3个月)内的数据。

接着对提取到的当前登录行为数据和历史登录行为数据进行预处理，即，进行数据清洗、缺失值处理和数据变换。数据清洗可删除噪声，留下有效数据。缺失数据需要进行推导、填充等，以减少模型或算法与实际应用之间的差距。数据变换是为了进行数据格式变换，以便于后续输入模型。本领域技术人员可以理解，数据预处理可按需采用不同技术，在此不再赘述。

经过预处理的数据被输入用户行为识别模型，以对该用户行为识别模型进行训练和评价，由此进一步对模型进行优化和重构。经优化和采购的用户行为识别模型可被用来确定当前登录的操作风险，并更新相关账号的风险等级。然后将所确定的当前登录的操作风险和所更新的相关账号的风险等级反馈给相应的应用或网站。

图5是示出根据本公开另一实施例的在联合防撞库平台上将登录方式和机器人防控入参以进行反馈和联合防控的示意图。

当前的撞库通常采用单脚本登录、分布式脚本登录、自动代理登录、甚至人肉登录等方式。相对应地，众多应用或网站可面对机器人撞库和人肉撞库。

对于不同的登录方式，账号密码登录相对较易遭受到撞库风险，而手机验证登录、外部关联登录和活体识别登录的防撞库能力相对较高。手机验证登录和外部关联登录可指采用第二信道来弥补静态密码的不足的登录验证，即采用手机动态验证码、USBKey和一次一密码的动态令牌等等。活体识别登录因为纳入了生物特征(例如指纹、语音、人脸等等)而进一步提高了防撞库能力。

基于用户登录行为数据的处理，可获取诸如击键速度、时间间隔、字符分段习惯、输入顺序习惯等的行为特征。当击键速度极快或时间间隔极短时，该登录行为就会存疑，可能会是机器人撞库。此时，通常会加入机器人防控，举例而言登录图灵，比如，滑动解锁验证、滑动拼图验证、动态图像识别、静态图像识别、识别和计算等等。这些验证、识别和计算的过程的特征也被获取。另一方面，当击键速度或时间间隔有较大变化时，该登录行为也会存疑，可能会是人肉撞库。

从用户登录行为数据获取的特征作为参数被输入至用户行为识别模型。当该用户行为识别模型确定该当前登录操作有高风险时，对登录操作的相关账号的风险可被升级或被确认冒用。反之，当该用户行为识别模型确定该当前登录操作没有风险时，对登录操作的相关账号的风险可被降级或被清除。

在本公开的基于联合防撞库平台的登录拦截方法的一实施例中，能够发现并记录放弃登录的行为(密码错误、图形验证码不正确、短信验证码不正确)等，提示相应网站或应用增加登录校验。

在本公开的基于联合防撞库平台的登录拦截方法的另一实施例中，能够发现同一个账号频繁进行登录操作，即使对一个网站均只进行一次登录操作。

在本公开的基于联合防撞库平台的登录拦截方法的又一实施例中，能够发现同一个ip地址频繁进行登录操作，即使对一个网站均只进行一次登录操作。

在本公开的基于联合防撞库平台的登录拦截方法的再一实施例中，能够支持没有独立防撞库检测的系统及应用，应对撞库攻击。

本公开的基于联合防撞库平台的登录拦截方法是跨多个网站或应用体系进行联合防撞库的方法，能够通过不同网站或应用体系之间的防撞库检测数据共享，针对各个网站或应用体系的不同防撞库级别进行针对性的撞库防御，并且能够应对未触发单个网站或应用自身的防撞库报警的情况，并且能够在联合检测期间保证多方数据安全。

图6是示出根据本公开一实施例的基于联合防撞库平台的登录拦截系统600的框图。

系统600包括接口模块602、数据接收与提取模块604、风险确定模块606和反馈模块608。

如图6所示，网站或应用接入联合防撞库平台，用户登录该网站或应用，由此，相关的登录账号和用户登录行为数据通过该网站或应用被传送给联合防撞库平台。并且，该网站或应用的撞库防范级别也被传送给联合防撞库平台。有独立防撞库检测能力的网站或应用还可将其相关检测结果传送给联合防撞库平台。

接口模块602将应用或网站接入联合防撞库平台，并获取该应用或网站的撞库防范级别。

数据接收和提取模块604在用户登录该应用或网站时接收当前登录数据，其中该当前登录数据包括相关账号和当前登录行为数据，并提取该相关账号的历史登录行为数据。在本公开一实施例中，数据接收和提取模块604还可提取该相关账号的风险等级。

风险确定模块606基于当前登录行为数据、历史登录行为数据和撞库防范级别确定该当前登录操作针对该应用或网站是否有风险。在本公开一实施例中，风险确定模块606还可在确定该当前登录操作针对该应用或网站有风险时，更新相关账号的风险等级。

如果当前登录行为数据本身异常，例如，密码多次出错、或短信验证码出错，则风险确定模块606当然确定当前登录操作有风险，并可增加相关账号的风险等级。该异常登录通常在该应用或网站的独立防撞库检测中即可得到确定。然而，在该应用或网站没有独立防撞库检测机制的情况下，联合防撞库平台也能够支持对基础异常登录的判断。相关账号的风险等级可由该应用或网站根据其业务的特点来分层级设置，例如，高、中、低等，在此不做赘述。

在本公开另一实施例中，联合防撞库平台几乎同时地接收到一账号在不同IP地址在多个网站或应用的登录行为数据，则风险确定模块606确定当前登录操作有风险，并提高相关账号的风险等级。

如果当前登录行为数据本身正常，但通过比较当前登录行为数据与历史登录行为数据，风险确定模块606可获得比较结果为正常登录或存疑登录。在本公开一实施例中，当前登录的密码或短信验证码准确，但其当前登录的时长、输入(字符)频率等行为数据明显与历史登录行为数据不符(比如，频率超快)，风险确定模块606可确定当前登录操作为存疑登录。在本公开另一实施例中，当前登录行为数据本身正常，但在历史登录行为数据中，其相关账号近3天的登录操作频繁，并且为在不同IP地址登录多个网站或应用，其频繁度明显偏离较为长期的历史登录行为数据，风险确定模块606可确定当前登录操作为存疑登录。在本公开又一实施例中，当前登录行为数据本身正常，但在历史登录行为数据中，其相关IP地址当天的登录操作频繁，并且为在同一IP地址用不同账号登录多个网站或应用，其频繁度明显偏离较为长期的历史登录行为数据，风险确定模块606可确定当前登录操作为存疑登录。

当确定当前登录操作为存疑登录时，风险确定模块606进一步依据相应网站或应用的撞库防范级别，来确定当前登录操作是否有风险。在本公开一实施例中，当相应网站或应用(例如，金融平台)的撞库防范级别为高时，一旦确定当前登录操作为存疑登录，风险确定模块606就确定当前登录操作有风险，并可增加相关账号的风险等级。在本公开另一实施例中，当相应网站或应用(例如，消费电商平台)的撞库防范级别为较高时，风险确定模块606基于确定当前登录操作为存疑登录，可触发进一步的验证操作，例如，账号密码登录操作添加进一步的短信验证操作或者进一步输入身份确认ID等等，或者对频率超快的操作添加滑动解锁验证。如果该进一步的验证操作出现问题，则风险确定模块606确定当前登录操作有风险，并可增加相关账号的风险等级。在本公开又一实施例中，当相应网站或应用(例如，社区事务平台)的撞库防范级别为低时，风险确定模块606可确定当前登录操作为正常登录。

本领域技术人员可以理解，当比较结果为存疑登录、而应用或网站具备不同的撞库防范级别时，处置方法可按需调适，并且可随着网络技术的进步而采纳新的处置手段，在此不再赘述。

反馈模块608记录该确定并将该确定反馈给该应用或网站。在风险确定模块606确定当前登录操作为存疑登录的情况下，反馈模块608还可将风险确定模块606所触发的进一步验证操作反馈给该应用或网站。

在本公开一实施例中，在风险确定模块606确定当前登录操作针对该应用或网站有风险并更新该相关账号的风险等级后，反馈模块608记录该更新并将其反馈给该应用或网站。

本公开的基于联合防撞库平台的登录拦截系统是跨多个网站或应用体系进行联合防撞库的系统，能够通过不同网站或应用体系之间的防撞库检测数据共享，针对各个网站或应用体系的不同防撞库级别进行针对性的撞库防御，并且能够应对未触发单个网站或应用自身的防撞库报警的情况，并且能够在联合检测期间保证多方数据安全。

以上描述的用于基于联合防撞库平台的登录拦截方法和系统的各个步骤和模块可以用硬件、软件、或其组合来实现。如果在硬件中实现，结合本发明描述的各种说明性步骤、模块、以及电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、或其他可编程逻辑组件、硬件组件、或其任何组合来实现或执行。通用处理器可以是处理器、微处理器、控制器、微控制器、或状态机等。如果在软件中实现，则结合本发明描述的各种说明性步骤、模块可以作为一条或多条指令或代码存储在计算机可读介质上或进行传送。实现本发明的各种操作的软件模块可驻留在存储介质中，如RAM、闪存、ROM、EPROM、EEPROM、寄存器、硬盘、可移动盘、CD-ROM、云存储等。存储介质可耦合到处理器以使得该处理器能从/向该存储介质读写信息，并执行相应的程序模块以实现本发明的各个步骤。而且，基于软件的实施例可以通过适当的通信手段被上载、下载或远程地访问。这种适当的通信手段包括例如互联网、万维网、内联网、软件应用、电缆(包括光纤电缆)、磁通信、电磁通信(包括RF、微波和红外通信)、电子通信或者其他这样的通信手段。

还应注意，这些实施例可能是作为被描绘为流程图、流图、结构图、或框图的过程来描述的。尽管流程图可能会把诸操作描述为顺序过程，但是这些操作中有许多操作能够并行或并发地执行。另外，这些操作的次序可被重新安排。

所公开的方法、装置和系统不应以任何方式被限制。相反，本发明涵盖各种所公开的实施例(单独和彼此的各种组合和子组合)的所有新颖和非显而易见的特征和方面。所公开的方法、装置和系统不限于任何具体方面或特征或它们的组合，所公开的任何实施例也不要求存在任一个或多个具体优点或者解决特定或所有技术问题。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多更改，这些均落在本发明的保护范围之内。

Claims (17)

1.一种用于基于联合防撞库平台进行登录拦截的方法，包括：

将应用或网站接入所述联合防撞库平台，并获取所述应用或网站的撞库防范级别；

由所述联合防撞库平台在用户登录所述应用或网站时接收当前登录数据，其中所述当前登录数据包括相关账号和当前登录行为数据；

由所述联合防撞库平台提取所述相关账号的历史登录行为数据；

基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险；以及

记录所述确定并将所述确定反馈给所述应用或网站。

2.如权利要求1所述的方法，其特征在于，所述相关账号的历史登录涉及对所述联合防撞库平台所接入的一个或多个应用或网站的登录。

3.如权利要求1所述的方法，其特征在于，所述相关账号的登录数据包括所述相关账号的风险等级，并且所述方法进一步包括在确定所述当前登录操作针对所述应用或网站有风险时更新所述风险等级。

4.如权利要求1所述的方法，其特征在于，基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身异常，则基于所述撞库防范级别来确定所述当前登录操作有风险。

5.如权利要求1所述的方法，其特征在于，基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身正常，则比较所述当前登录行为数据和所述历史登录行为数据；以及

如果所述当前登录行为数据偏离所述历史登录行为数据，则基于所述撞库防范级别来确定当前登录操作是否有风险。

6.如权利要求1所述的方法，其特征在于，基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身正常，则比较所述当前登录行为数据和所述历史登录行为数据；以及

如果所述当前登录行为数据没有偏离所述历史登录行为数据，则确定当前登录操作没有风险。

7.如权利要求1所述的方法，其特征在于，所述当前登录行为数据和所述历史登录行为数据中的非敏感数据通过所述联合防撞库平台共享，而其中的敏感数据在所述联合防撞库平台上被隔离。

8.如权利要求1所述的方法，其特征在于，所述历史登录行为数据的溯及期的长短可由所述联合防撞库平台按各个网站或应用的不同需求而不同地选择、或者按所述网站或应用的撞库防范级别而不同地确定。

9.一种用于基于联合防撞库平台进行登录拦截的系统，包括：

接口模块，将应用或网站接入所述联合防撞库平台，并获取所述应用或网站的撞库防范级别；

数据接收和提取模块，在用户登录所述应用或网站时接收当前登录数据，其中所述当前登录数据包括相关账号和当前登录行为数据，并提取所述相关账号的历史登录行为数据；

风险确定模块，基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险；以及

反馈模块，记录所述确定并将所述确定反馈给所述应用或网站。

10.如权利要求9所述的系统，其特征在于，所述相关账号的历史登录涉及对所述联合防撞库平台所接入的一个或多个应用或网站的登录。

11.如权利要求9所述的系统，其特征在于，所述相关账号的登录数据包括所述相关账号的风险等级，并且所述风险确定模块进一步在确定所述当前登录操作针对所述应用或网站有风险时更新所述风险等级。

12.如权利要求9所述的系统，其特征在于，所述风险确定模块基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身异常，则所述风险确定模块基于所述撞库防范级别来确定所述当前登录操作有风险。

13.如权利要求9所述的系统，其特征在于，所述风险确定模块基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身正常，则所述风险确定模块比较所述当前登录行为数据和所述历史登录行为数据；以及

如果所述当前登录行为数据偏离所述历史登录行为数据，则所述风险确定模块基于所述撞库防范级别来确定当前登录操作是否有风险。

14.如权利要求9所述的系统，其特征在于，所述风险确定模块基于所述当前登录行为数据、所述历史登录行为数据和所述撞库防范级别确定所述当前登录操作针对所述应用或网站是否有风险包括：

如果所述当前登录行为数据本身正常，则所述风险确定模块比较所述当前登录行为数据和所述历史登录行为数据；以及

如果所述当前登录行为数据没有偏离所述历史登录行为数据，则所述风险确定模块确定当前登录操作没有风险。

15.如权利要求9所述的系统，其特征在于，所述当前登录行为数据和所述历史登录行为数据中的非敏感数据通过所述联合防撞库平台共享，而其中的敏感数据在所述联合防撞库平台上被隔离。

16.如权利要求9所述的系统，其特征在于，所述历史登录行为数据的溯及期的长短可由所述联合防撞库平台按各个网站或应用的不同需求而不同地选择、或者按所述网站或应用的撞库防范级别而不同地确定。

17.一种存储有指令的计算机可读存储介质，当所述指令被执行时使得机器执行如权利要求1-8中任一项所述的方法。

Images