CN111191201A - 基于数据埋点的用户识别方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开一种基于数据埋点的用户识别方法、装置、设备及存储介质，该方法包括：根据预置数据埋点上传的用户操作信息生成待识别用户对应的当前操作轨迹；根据当前操作轨迹确定被操作对象并从预设轨迹数据库中读取对应的基准操作轨迹；获取当前操作轨迹和基准操作轨迹之间的轨迹相似度；根据轨迹相似度判断待识别用户是否为恶意用户，由于是预先根据不同业务场景为不同被操作对象配置基准操作轨迹，然后将生成的当前操作轨迹与基准操作轨迹进行相似度匹配，再根据轨迹相似度判断待识别用户是否为恶意用户，因而在不同的业务场景下均能实现对恶意用户的识别，能效识别恶意用户通过爬虫伪造用户请求进行恶意访问的情况，保障了系统信息安全。

Description

基于数据埋点的用户识别方法、装置、设备及存储介质

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于数据埋点的用户识别方法、装置、设备及存储介质。

背景技术

传统的业务风控是根据用户的网络请求获取的互联网协议地址(InternetProtocol，IP)地址、设备身份标识等信息，基于行业中已积累的黑名单库和收集的威胁情报等数据，利用IP画像、设备指纹识别、黑卡检测机制等手段来对多维度用户信息进行识别并判断是否存在安全风险或者判断当前用户是否为恶意用户。

信息库积累的更新通常基于风控系统对风险行为的识别，但实际环境中风险IP、黑卡、威胁来源等在不断的增加，以至于信息库积累滞后。另外，传统的业务风控系统的设计是适用于通用的解决方案，而实际的业务场景复杂多变。因此，传统的业务风控系统在识别恶意用户时很难有效辨别用户真伪，无法保障服务系统的信息安全。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供了一种基于数据埋点的用户识别方法、装置、设备及存储介质，旨在解决现有技术无法有效识别恶意用户，保障服务系统信息安全的技术问题。

为实现上述目的，本发明提供了一种基于数据埋点的用户识别方法，所述方法包括以下步骤：

接收预置数据埋点上传的用户操作信息；

根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

根据所述轨迹相似度判断所述待识别用户是否为恶意用户。优选地，所述根据所述用户操作信息生成待识别用户对应的当前操作轨迹的步骤，包括：

读取待识别用户的用户标识，从所述用户操作信息中提取所述用户标识对应的目标操作信息；

获取所述目标操作信息中包含的时间日期字段，以及所述时间日期字段对应的操作行为信息；

根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹。

优选地，所述根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹的步骤，包括：

获取所述时间日期字段对应的时间戳，将所述时间戳转化成预设时间格式的时间参数；

按所述时间参数对应的时间顺序对所述操作行为信息进行排序，并对排序后的操作行为信息进行组合，以获得用户操作行为链；

根据所述用户操作行为链生成待识别用户对应的当前操作轨迹。

优选地，所述对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度的步骤，包括

将所述当前操作轨迹和所述基准操作轨迹进行轨迹匹配，获得匹配成功的目标轨迹片段；

计算所述目标轨迹片段在所述基准操作轨迹中的占比，并检测所述占比是否高于第一预设阈值；

若高于，则读取预先设定的第一调整比例，并根据所述占比以及所述第一调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

优选地，所述检测所述占比是否高于第一预设阈值的步骤之后，所述方法还包括：

若所述占比低于所述第一预设阈值，则检测所述占比是否低于第二预设阈值，所述第二预设阈值小于所述第一预设阈值；

在所述占比低于所述第二预设阈值时，读取预先设定的第二调整比例；

根据所述占比以及所述第二调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

优选地，所述根据所述轨迹相似度判断所述待识别用户是否为恶意用户的步骤，包括：

将所述轨迹相似度与预设可信度阈值进行比较，并根据比较结果对所述当前操作轨迹对应的风险标签进行属性标记，以获得风险标签属性；

根据所述风险标签属性以及所述轨迹相似度生成所述当前操作轨迹对应的轨迹风险评价结果；

将所述当前操作轨迹输入至预设业务风控系统，并获取所述预设业务风控系统输出的轨迹可信度结果；

根据所述轨迹风险评价结果以及所述轨迹可信度结果确定所述待识别用户的最终可信度；

根据所述最终可信度判断所述待识别用户是否为恶意用户。

优选地，所述根据所述轨迹风险评价结果以及所述轨迹可信度结果确定所述待识别用户的最终可信度的步骤，包括：

将所述轨迹风险评价结果向量化，以获得轨迹风险评价向量；

将所述轨迹可信度结果向量化，以获得轨迹可信度向量；

对所述轨迹风险评价向量和轨迹可信度向量进行组合，获得待匹配向量；

根据所述待匹配向量在预先配置的可信度计算规则中查找对应的目标可信度计算规则；

检测所述目标可信度计算规则中是否包含可信度计算公式，若包含，则从所述轨迹可信度结果中读取用户可信度；

根据所述用户可信度、所述轨迹相似度通过所述可信度计算公式计算所述待识别用户的最终可信度。

此外，为实现上述目的，本发明还提出一种基于数据埋点的用户识别装置，所述装置包括：

信息接收模块，用于接收预置数据埋点上传的用户操作信息；

轨迹生成模块，用于根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

轨迹读取模块，用于根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

轨迹匹配模块，用于对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

用户判断模块，用于根据所述轨迹相似度判断所述待识别用户是否为恶意用户。

此外，为实现上述目的，本发明还提出一种基于数据埋点的用户识别设备，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的基于数据埋点的用户识别程序，所述基于数据埋点的用户识别程序配置为实现如上文所述的基于数据埋点的用户识别方法的步骤。

此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有基于数据埋点的用户识别程序，所述基于数据埋点的用户识别程序被处理器执行时实现如上文所述的基于数据埋点的用户识别方法的步骤。

本发明通过接收预置数据埋点上传的用户操作信息；根据用户操作信息生成待识别用户对应的当前操作轨迹；然后根据当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取被操作对象对应的基准操作轨迹；对当前操作轨迹和基准操作轨迹进行相似度匹配获得轨迹相似度；根据轨迹相似度判断待识别用户是否为恶意用户，由于是预先根据不同业务场景为不同被操作对象配置基准操作轨迹，然后将根据用户操作信息生成的当前操作轨迹与基准操作轨迹进行相似度匹配，再根据轨迹相似度判断待识别用户是否为恶意用户，从而在不同的业务场景下均能实现对恶意用户的识别，也有效识别了恶意用户通过爬虫伪造用户请求进行恶意访问的情况，保障了服务系统信息安全。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的基于数据埋点的用户识别设备的结构示意图；

图2为本发明基于数据埋点的用户识别方法第一实施例的流程示意图；

图3为本发明基于数据埋点的用户识别方法第二实施例的流程示意图；

图4为本发明基于数据埋点的用户识别方法第三实施例的流程示意图；

图5为本发明基于数据埋点的用户识别装置第一实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明实施例方案涉及的硬件运行环境的基于数据埋点的用户识别设备结构示意图。

如图1所示，该基于数据埋点的用户识别设备可以包括：处理器1001，例如中央处理器(Central Processing Unit，CPU)，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如无线保真(WIreless-FIdelity，WI-FI)接口)。存储器1005可以是高速的随机存取存储器(RandomAccess Memory，RAM)存储器，也可以是稳定的非易失性存储器(Non-Volatile Memory，NVM)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图1中示出的结构并不构成对基于数据埋点的用户识别设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种存储介质的存储器1005中可以包括操作系统、数据存储模块、网络通信模块、用户接口模块以及基于数据埋点的用户识别程序。

在图1所示的基于数据埋点的用户识别设备中，网络接口1004主要用于与网络服务器进行数据通信；用户接口1003主要用于与用户进行数据交互；本发明基于数据埋点的用户识别设备中的处理器1001、存储器1005可以设置在基于数据埋点的用户识别设备中，所述基于数据埋点的用户识别设备通过处理器1001调用存储器1005中存储的基于数据埋点的用户识别程序，并执行本发明实施例提供的基于数据埋点的用户识别方法。

本发明实施例提供了一种基于数据埋点的用户识别方法，参照图2，图2为本发明基于数据埋点的用户识别方法第一实施例的流程示意图。

本实施例中，所述基于数据埋点的用户识别方法包括以下步骤：

步骤S10：接收预置数据埋点上传的用户操作信息；

需要说明的是，本实施例方法的执行主体可以是具有数据处理、网络通信以及程序运行功能的恶意用户识别系统，以下简称识别系统。

应理解的是，所述预置数据埋点可以是预先设置在应用程序客户端对应的程序代码中的数据埋点，本实施例中每一个数据埋点都是独立工作的，实际中可根据业务需求在客户端提供的不同服务所对应的关键操作流程的功能点中进行数据埋点的设置，从而通过数据埋点来记录用户的访问时间、互联网协议地址、操作对象、执行动作、操作描述等关键信息，即所述用户操作信息。

在具体实现中，预置数据埋点在用户触发对应的功能点时记录用户的操作信息，然后将这些用户操作信息上传至识别系统，识别系统接收到这些数据埋点上传的用户操作信息后，即可对这些用户操作信息进行用户行为分析。

步骤S20：根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

应理解的是，由于每个数据埋点都是独立运行的，为实现对用户操作轨迹的追踪，就需要根据能够表征用户唯一性，或在某个时段内能够表征用户唯一性的用户标识(信息)来将相互独立的埋点上传的用户操作信息进行关联提取，以便记录用户完整的操作流程。

需要说明的是，实际应用中，识别系统可根据用户操作信息中记录的用户标识来从众多的用户操作信息中筛选出与用户操作轨迹相关的目标操作信息，然后再根据这些目标操作信息生成待识别用户对应的当前操作轨迹。

例如，在某一时段内，识别系统接收到多个预置埋点发送的用户操作信息(数据包){A,B,C,D,E}，这五个数据包中可能包含待识别用户a、b、c的三位用户的操作信息，若识别系统需要对待识别用户a进行恶意用户检测，此时即可通过获取待识别用户a在这一时段内的用户标识信息，例如登录账户的账户号、登录账户对应的登录终端的设备识别号、又或是登录账户对应的互联网协议地址等信息将用户操作信息{A,B,C,D,E}中包含有相同用户标识的操作信息(例如B、C、D)筛选出来，作为用户a在设定时段内的目标操作信息，然后再根据筛选的目标操作信息分析出待识别用户对应的当前操作轨迹。

步骤S30：根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

可理解的是，所述被操作对象，也称操作对象，可以是用户操作所针对的对象，该对象可以是为用户提供某种业务服务的应用程序(Application，App)，又或是应用程序中集成的小程序，也可以是该应用程序或小程序发布的某项活动的活动页面(包括其对应的跳转页面)，还可以是该活动页面中涉及的登录按钮、分享按钮、奖励领取按钮等对象。例如，一款App中发布了一个活动，该活动需要用户登录账户并分享后才可获得奖励，此时即可将该活动对应的活动页面作为被操作对象。

需要说明的是，所述基准操作轨迹即预先根据业务场景(或应用场景)配置的用户的正常操作流程，例如，某应用A具有钱包功能，一般正常用户使用钱包的基准操作流程之一为：扫描付款二维码-输入支付金额-点击支付按钮-输入密码-完成支付。因此本实施例中，研发人员可根据实际的业务场景(或应用场景)为不同的被操作对象配置相应的基准操作流程(即基准操作轨迹)，当然每个业务场景或被操作对象对应的基准操作流程可以是一个也可以是多个，本实施例对此不作具体限制。

在具体实现中，识别系统可根据当前操作轨迹来确定被操作的对象，然后从预先设置的轨迹数据库中提取该被操作对象对应的基准操作轨迹。

进一步地，为提高对基准操作轨迹的获取效率，可预先在识别系统中建立一个被操作对象的对象标识信息(例如对象名称)与基准操作轨迹之间的映射关系，然后根据该映射关系实现对被操作对象对应基准操作轨迹的快速获取。

步骤S40：对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

应理解的是，所述相似度匹配，即计算当前操作轨迹与基准操作轨迹的相似程度。例如识别系统计算出用户a在使用某功能时的操作轨迹为：4-5，而该功能对应的正常操作步骤(基准操作轨迹)为：1-2-3-4-5，此时即可大致计算出轨迹相似度为40％。当然此处仅为举例，并不限制所述相似度匹配的具体计算方式。例如，在计算相似度匹配时，还可以通过余弦相似度算法来实现，即将当前操作轨迹和基准操作轨迹分别向量化后计算两向量之间夹角的余弦值，该余弦值也可作为所述轨迹相似度。

当然，在实际计算过程中，为对轨迹之间相似度进行明确区分，识别系统还将根据轨迹相似度的具体数值对最初计算出的轨迹相似度(可称之为理想相似度)进行上调或下调，然后将上调或下调后的轨迹相似度作为最终的轨迹相似度。

例如当识别系统计算出的轨迹相似度过低(可以是低于某一数值或数值范围)时，将对理想相似度进行下调，例如将理想相似度40％×0.5(第一调整比例，其数值可调)＝20％。同样的，当计算出的相似度较高(可以是高于某一数值或数值范围)时，将对理想相似度进行上调，例如将理想相似度60％×1.5(第二调整比例，其数值可调)＝90％。

步骤S50：根据所述轨迹相似度判断所述待识别用户是否为恶意用户。

在具体实现中，识别系统在计算出轨迹相似度后，即可根据该轨迹相似度判断所述待识别用户是否为恶意用户。

本实施例中，根据轨迹相似度判断待识别用户是否为恶意用户的方式可以是：将所述轨迹相似度与预先设定的阈值进行比较，若轨迹相似度高于该阈值，则基本可判定待识别用户为正常用户；反之，若轨迹相似度低于该阈值，则表明需要进一步结合业务风控系统来确定待识别用户是否为恶意用户。

进一步地，考虑到实际应用中，如果仅通过用户当前操作轨迹与基准操作轨迹之间的相似度来判断用户是否为恶意用户可能会存在误判的情况，判断结果也不够准确。因此，本实施例识别系统判断待识别用户是否为恶意用户的方式还可以是：在获得上述轨迹相似度后，将计算出的所述轨迹相似度与预先设定的阈值进行比较，在所述轨迹相似度高于所述阈值时，将当前操作轨迹对应的风险标签属性标记为可信，并根据标记结果和计算出的轨迹相似度生成轨迹风险评价结果，同时识别系统还可将当前操作轨迹输入至预设业务风控系统并获取其输出的轨迹可信度结果，再根据轨迹风险评价结果和轨迹可信度结果来确定该待识别用户最终的用户可信度，最后根据最终可信度判断待识别用户是否为恶意用户。

需要说明的是，所述轨迹风险评价结果的表征方式可以是向量形式(轨迹相似度，风险标签属性：可信/不可信)，例如轨迹风险评价结果：(轨迹相似度80％，风险标签属性：可信)、(轨迹相似度20％，风险标签属性：不可信)等。

具体的，识别系统可将所述轨迹相似度与预设可信度阈值进行比较，然后根据比较结果对所述当前操作轨迹对应的风险标签进行属性标记，以获得风险标签属性；然后根据所述风险标签属性以及所述轨迹相似度生成所述当前操作轨迹对应的轨迹风险评价结果。

另外，本实施例中，所述预设业务风控系统可以是用来对用户操作行为进行可信度评估的风险控制系统，上述轨迹可信度结果中包括用户可信度、风险标签属性(可信、不可信或尚不确定)、黑名单触发(是/否)，其表征方式与上述轨迹评价结果类似为：(用户可信度：数值，风险标签属性：可信、不可信或尚不确定，黑名单触发：是/否)。

在本实施例中，所述最终可信度可由轨迹风险评价结果、轨迹可信度结果以及可信度计算规则共同决定，具体的可信度计算规则如下所示(第一风险标签为轨迹风险评价结果中的风险标签属性，第二风险标签为轨迹可信度结果中的风险标签属性)：

(1)第一风险标签：可信，第二风险标签：可信，黑名单触发：否，则最终可信度X＝0.5*A+0.5*B，其中，A为轨迹相似度，B为用户可信度；

(2)第一风险标签：可信，第二风险标签：不可信，黑名单触发：否，则最终可信度X＝0.7*A+0.3*B，其中，A为轨迹相似度，B为用户可信度；

(3)第一风险标签：不可信，第二风险标签：可信，黑名单触发：否，则最终可信度X＝0.3*A+0.7*B，其中，A为轨迹相似度，B为用户可信度；

(4)第一风险标签：可信，第二风险标签：不可信，黑名单触发：是，则最终可信度X＝20％；

(5)第一风险标签：不可信、第二风险标签：可信，黑名单触发：是，则最终可信度X＝20％；

(6)第一风险标签：可信，第二风险标签：可信，黑名单触发：是，则最终可信度X＝80％；

(7)第一风险标签：不可信，第二风险标签：不可信，黑名单触发：是，则最终可信度X＝20％。

因此，本方案中恶意用户识别系统可根据轨迹评价结果和可信度结果来进行可信度计算规则的匹配，然后根据匹配结果计算最终可信度。

在具体实现中，识别系统可将所述轨迹风险评价结果向量化，以获得轨迹风险评价向量；将所述轨迹可信度结果向量化，以获得轨迹可信度向量；然后对所述轨迹风险评价向量和轨迹可信度向量进行组合，获得待匹配向量；根据所述待匹配向量在预先配置的可信度计算规则中查找对应的目标可信度计算规则；检测所述目标可信度计算规则中是否包含可信度计算公式，若包含，则从所述轨迹可信度结果中读取用户可信度；根据所述用户可信度、所述轨迹相似度通过所述可信度计算公式计算所述待识别用户的最终可信度。

例如，识别系统将轨迹风险评价结果向量化后得到轨迹风险评价向量(轨迹相似度：80％，风险标签属性：可信)；将轨迹可信度结果向量化后得到轨迹可信度向量(用户可信度：60％，风险标签属性：可信，黑名单触发：否)，将这两个向量组合后获得待匹配向量(轨迹相似度：80％，第一风险标签：可信，用户可信度：60％，第二风险标签：可信，黑名单触发：否)，根据该待匹配向量在预先配置的可信度计算规则中查找到的目标可信度规则为：“第一风险标签：可信，第二风险标签：可信，黑名单触发：否，则最终可信度X＝0.5*A+0.5*B，其中，A为轨迹相似度，B为用户可信度”，此时即可根据规则中包含的可信度计算公式“X＝0.5*A+0.5*B”，计算出最终可信度X＝0.5*80％+0.5*60％＝0.7。

在具体实现中，识别系统在计算出最终可信度后，即可将最终可信度与设定的判定阈值进行比较，若高于该判定阈值则判定用户为正常用户，反之则判定为恶意用户。本实施例中所述判定阈值的数值可调，对此不作限制。

本实施例通过接收预置数据埋点上传的用户操作信息；根据用户操作信息生成待识别用户对应的当前操作轨迹；然后根据当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取被操作对象对应的基准操作轨迹；对当前操作轨迹和基准操作轨迹进行相似度匹配获得轨迹相似度；根据轨迹相似度判断待识别用户是否为恶意用户，由于是预先根据不同业务场景为不同被操作对象配置基准操作轨迹，然后将根据用户操作信息生成的当前操作轨迹与基准操作轨迹进行相似度匹配，再根据轨迹相似度判断待识别用户是否为恶意用户，从而在不同的业务场景下均能实现对恶意用户的识别，也有效识别了恶意用户通过爬虫伪造用户请求进行恶意访问的情况，保障了服务系统信息安全。

参考图3，图3为本发明基于数据埋点的用户识别方法第二实施例的流程示意图。

基于上述第一实施例，在本实施例中，所述步骤S20包括：

步骤S201：读取待识别用户的用户标识，从所述用户操作信息中提取所述用户标识对应的目标操作信息；

应理解的是，所述用户标识可以是能够表征用户唯一性的标识信息，例如登录账户的账户号、登录账户对应的登录终端的设备识别号、又或是某一时刻/时段登录账户对应的互联网协议地址等信息。

可理解的是，数据埋点在记录用户的操作信息时，往往会在信息中嵌入相应的用户标识以便于后续查阅。因此本实施例中识别系统在获取到用户操作信息后，即可根据读取的用户标识来从用户操作信息中针对性的提取用户标识对应的目标操作信息。

步骤S202：获取所述目标操作信息中包含的时间日期字段，以及所述时间日期字段对应的操作行为信息；

应理解的是，所述时间日期字段可以是包含有时间日期对象的字段信息，例如timestamp(时间戳)字段。而用户操作信息中的每一项操作在被记录时一般会记录该操作对应的操作者、时间日期、出参、入参、操作描述等信息。因此，本实施例中识别系统在确定出目标操作信息后，可获取目标操作信息中包含的时间日期字段，然后根据时间日期字段提取对应的操作行为信息。

步骤S203：根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹。

应理解的是，所述时间日期字段，即时间戳字段，通常是一个字符序列。为能够直观的展示用户操作轨迹的时间顺序，本实施例中识别系统还将获取所述时间日期字段对应的时间戳，然后将所述时间戳转化成预设时间格式的时间参数；再按所述时间参数对应的时间顺序对所述操作行为信息进行排序，并对排序后的操作行为信息进行组合，以获得用户操作行为链；根据所述用户操作行为链生成待识别用户对应的当前操作轨迹。

其中，所述预设时间格式可以为YY/MM/DD：年/月/日格式，也可以是其它时间格式，本实施例对此不作限制。实际应用中将时间戳timestamp：1565236800转换为上述预设时间格式的时间参数则为：2019-08-08 12:00:00。具体的，识别系统在根据时间参数的时间顺序对操作行为信息进行排序，并对排序后的操作行为信息进行组合后，即可获得用户操作行为链。例如，排序后的操作行为信息为操作1、操作2和操作3，此时用户操作行为链即为“操作1-操作2-操作3”。

当然，本实施例中识别系统也可直接根据时间戳对操作行为信息进行排序，本实施例对此不加以限制。

本实施例通过读取待识别用户的用户标识，从用户操作信息中提取用户标识对应的目标操作信息；获取目标操作信息中包含的时间日期字段，以及时间日期字段对应的操作行为信息；根据时间日期字段和操作行为信息生成待识别用户对应的当前操作轨迹，能够保证生成的操作轨迹的时序性、完整性以及准确性。

参考图4，图4为本发明基于数据埋点的用户识别方法第三实施例的流程示意图。

基于上述各实施例，在本实施例中，所述步骤S40可具体包括：

步骤S401：将所述当前操作轨迹和所述基准操作轨迹进行轨迹匹配，获得匹配成功的目标轨迹片段；

需要说明的是，本实施例中，轨迹片段可以是按不同的切分维度对操作轨迹切分后获得，所述切分维度可包括操作时间维度(例如某个时间段或时间点)、操作对象维度(例如不同的操作对象，或同一操作对象对应的不同单元或模块)等。

在具体实现中，识别系统可先按照上述切分维度分别对当前操作轨迹和基准操作轨迹进行切分，然后再基于切分后的轨迹进行匹配，获得匹配成功的目标轨迹片段。例如识别系统按照同一个切分维度将当前操作轨迹和基准操作轨迹分别切分为：当前操作轨迹4-5-6，基准操作轨迹1-2-3-4-5，然后对这两个切分后的轨迹进行轨迹匹配，即可获得目标轨迹片段“4-5”。

步骤S402：计算所述目标轨迹片段在所述基准操作轨迹中的占比，并检测所述占比是否高于第一预设阈值；

应理解的是，在获得匹配成功的目标轨迹片段后，即可计算出目标轨迹片段在基准操作轨迹中的占比为：(目标轨迹片段的数量/基准操作轨迹的片段数量)×100％＝40％。

需要说明的是，为了能够对正常用户和恶意用户进行明确区分，本实施例中在目标轨迹片段在基准操作轨迹中的占比高于某一阈值(例如50％)时，将对该当前操作轨迹与基准操作轨迹之间的轨迹相似度进行上调，即判定两个操作轨迹高度相似。

步骤S403：若高于，则读取预先设定的第一调整比例，并根据所述占比以及所述第一调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

需要说明的是，所述第一调整比例可以是预先根据大量的用户识别情况设定的一个经验值，具体数值可结合具体场景设定，本实施例对此不加以限制。

在具体实现中，识别系统在检测到所述占比高于第一预设阈值时，即表明需要对轨迹相似度进行上调，此时识别系统可读取预先设定的第一调整比例，然后根据占比以及第一调整比例计算当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。其中，轨迹相似度＝占比×第一调整比例。

相应的，本实施例中在目标轨迹片段在基准操作轨迹中的占比低于某一阈值(例如50％)时，将根据该占比与另一阈值(例如30％)之间的比较结果，决定是否需要对该当前操作轨迹与基准操作轨迹之间的轨迹相似度进行下调，即判定两个操作轨迹基本不相似。

具体的，识别系统若检测到所述占比低于所述第一预设阈值，则检测所述占比是否低于第二预设阈值，所述第二预设阈值小于所述第一预设阈值；然后在所述占比低于所述第二预设阈值时，读取预先设定的第二调整比例；根据所述占比以及所述第二调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。其中，轨迹相似度＝占比×第二调整比例。

其中，所述第二调整比例也可以是预先根据大量的用户识别情况设定的经验值，具体数值可结合具体场景设定，本实施例对此不加以限制。

本实施例通过将当前操作轨迹和基准操作轨迹进行轨迹匹配，获得匹配成功的目标轨迹片段；计算目标轨迹片段在基准操作轨迹中的占比，并检测占比是否高于第一预设阈值；若高于，则读取预先设定的第一调整比例，并根据占比以及第一调整比例计算当前操作轨迹和基准操作轨迹之间的轨迹相似度；若低于，则检测占比是否低于第二预设阈值，第二预设阈值小于第一预设阈值；在占比低于第二预设阈值时，读取预先设定的第二调整比例；根据占比以及第二调整比例计算当前操作轨迹和基准操作轨迹之间的轨迹相似度，能够使得最终获得的轨迹相似度更为实际的反映出当前操作轨迹和基准操作轨迹之间的相似程度。

此外，本发明实施例还提出一种存储介质，所述存储介质上存储有基于数据埋点的用户识别程序，所述基于数据埋点的用户识别程序被处理器执行时实现如上文所述的基于数据埋点的用户识别方法的步骤。

参照图5，图5为本发明基于数据埋点的用户识别装置第一实施例的结构框图。

如图5所示，本发明实施例提出的基于数据埋点的用户识别装置包括：

信息接收模块501，用于接收预置数据埋点上传的用户操作信息；

轨迹生成模块502，用于根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

轨迹读取模块503，用于根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

轨迹匹配模块504，用于对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

用户判断模块505，用于根据所述轨迹相似度判断所述待识别用户是否为恶意用户。

本实施例通过接收预置数据埋点上传的用户操作信息；根据用户操作信息生成待识别用户对应的当前操作轨迹；然后根据当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取被操作对象对应的基准操作轨迹；对当前操作轨迹和基准操作轨迹进行相似度匹配获得轨迹相似度；根据轨迹相似度判断待识别用户是否为恶意用户，由于是预先根据不同业务场景为不同被操作对象配置基准操作轨迹，然后将根据用户操作信息生成的当前操作轨迹与基准操作轨迹进行相似度匹配，再根据轨迹相似度判断待识别用户是否为恶意用户，从而在不同的业务场景下均能实现对恶意用户的识别，也有效识别了恶意用户通过爬虫伪造用户请求进行恶意访问的情况，保障了服务系统信息安全。

基于本发明上述基于数据埋点的用户识别装置第一实施例，提出本发明基于数据埋点的用户识别装置的第二实施例。

在本实施例中，所述轨迹生成模块502，还用于读取待识别用户的用户标识，从所述用户操作信息中提取所述用户标识对应的目标操作信息；获取所述目标操作信息中包含的时间日期字段，以及所述时间日期字段对应的操作行为信息；根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹。

进一步地，所述轨迹生成模块502，还用于获取所述时间日期字段对应的时间戳，将所述时间戳转化成预设时间格式的时间参数；按所述时间参数对应的时间顺序对所述操作行为信息进行排序，并对排序后的操作行为信息进行组合，以获得用户操作行为链；根据所述用户操作行为链生成待识别用户对应的当前操作轨迹。

进一步地，所述轨迹匹配模块504，还用于将所述当前操作轨迹和所述基准操作轨迹进行轨迹匹配，获得匹配成功的目标轨迹片段；计算所述目标轨迹片段在所述基准操作轨迹中的占比，并检测所述占比是否高于第一预设阈值；若高于，则读取预先设定的第一调整比例，并根据所述占比以及所述第一调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

进一步地，所述轨迹匹配模块504，还用于在所述占比低于所述第一预设阈值时，检测所述占比是否低于第二预设阈值，所述第二预设阈值小于所述第一预设阈值；在所述占比低于所述第二预设阈值时，读取预先设定的第二调整比例；根据所述占比以及所述第二调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

进一步地，所述用户判断模块505，还用于将所述轨迹相似度与预设可信度阈值进行比较，并根据比较结果对所述当前操作轨迹对应的风险标签进行属性标记，以获得风险标签属性；根据所述风险标签属性以及所述轨迹相似度生成所述当前操作轨迹对应的轨迹风险评价结果；将所述当前操作轨迹输入至预设业务风控系统，并获取所述预设业务风控系统输出的轨迹可信度结果；根据所述轨迹风险评价结果以及所述轨迹可信度结果确定所述待识别用户的最终可信度；根据所述最终可信度判断所述待识别用户是否为恶意用户。

进一步地，所述用户判断模块505，还用于将所述轨迹风险评价结果向量化，以获得轨迹风险评价向量；将所述轨迹可信度结果向量化，以获得轨迹可信度向量；对所述轨迹风险评价向量和轨迹可信度向量进行组合，获得待匹配向量；根据所述待匹配向量在预先配置的可信度计算规则中查找对应的目标可信度计算规则；检测所述目标可信度计算规则中是否包含可信度计算公式，若包含，则从所述轨迹可信度结果中读取用户可信度；根据所述用户可信度、所述轨迹相似度通过所述可信度计算公式计算所述待识别用户的最终可信度。

本发明基于数据埋点的用户识别装置的其他实施例或具体实现方式可参照上述各方法实施例，此处不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如只读存储器/随机存取存储器、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种基于数据埋点的用户识别方法，其特征在于，所述方法包括：

接收预置数据埋点上传的用户操作信息；

根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

根据所述轨迹相似度判断所述待识别用户是否为恶意用户。

2.如权利要求1所述的方法，其特征在于，所述根据所述用户操作信息生成待识别用户对应的当前操作轨迹的步骤，包括：

读取待识别用户的用户标识，从所述用户操作信息中提取所述用户标识对应的目标操作信息；

获取所述目标操作信息中包含的时间日期字段，以及所述时间日期字段对应的操作行为信息；

根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹。

3.如权利要求2所述的方法，其特征在于，所述根据所述时间日期字段和所述操作行为信息生成待识别用户对应的当前操作轨迹的步骤，包括：

获取所述时间日期字段对应的时间戳，将所述时间戳转化成预设时间格式的时间参数；

按所述时间参数对应的时间顺序对所述操作行为信息进行排序，并对排序后的操作行为信息进行组合，以获得用户操作行为链；

根据所述用户操作行为链生成待识别用户对应的当前操作轨迹。

4.如权利要求1所述的方法，其特征在于，所述对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度的步骤，包括

将所述当前操作轨迹和所述基准操作轨迹进行轨迹匹配，获得匹配成功的目标轨迹片段；

计算所述目标轨迹片段在所述基准操作轨迹中的占比，并检测所述占比是否高于第一预设阈值；

若高于，则读取预先设定的第一调整比例，并根据所述占比以及所述第一调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

5.如权利要求4所述的方法，其特征在于，所述检测所述占比是否高于第一预设阈值的步骤之后，所述方法还包括：

若所述占比低于所述第一预设阈值，则检测所述占比是否低于第二预设阈值，所述第二预设阈值小于所述第一预设阈值；

在所述占比低于所述第二预设阈值时，读取预先设定的第二调整比例；

根据所述占比以及所述第二调整比例计算所述当前操作轨迹和所述基准操作轨迹之间的轨迹相似度。

6.如权利要求1所述的方法，其特征在于，所述根据所述轨迹相似度判断所述待识别用户是否为恶意用户的步骤，包括：

将所述轨迹相似度与预设可信度阈值进行比较，并根据比较结果对所述当前操作轨迹对应的风险标签进行属性标记，以获得风险标签属性；

根据所述风险标签属性以及所述轨迹相似度生成所述当前操作轨迹对应的轨迹风险评价结果；

将所述当前操作轨迹输入至预设业务风控系统，并获取所述预设业务风控系统输出的轨迹可信度结果；

根据所述轨迹风险评价结果以及所述轨迹可信度结果确定所述待识别用户的最终可信度；

根据所述最终可信度判断所述待识别用户是否为恶意用户。

7.如权利要求6所述的方法，其特征在于，所述根据所述轨迹风险评价结果以及所述轨迹可信度结果确定所述待识别用户的最终可信度的步骤，包括：

将所述轨迹风险评价结果向量化，以获得轨迹风险评价向量；

将所述轨迹可信度结果向量化，以获得轨迹可信度向量；

对所述轨迹风险评价向量和轨迹可信度向量进行组合，获得待匹配向量；

根据所述待匹配向量在预先配置的可信度计算规则中查找对应的目标可信度计算规则；

检测所述目标可信度计算规则中是否包含可信度计算公式，若包含，则从所述轨迹可信度结果中读取用户可信度；

根据所述用户可信度、所述轨迹相似度通过所述可信度计算公式计算所述待识别用户的最终可信度。

8.一种基于数据埋点的用户识别装置，其特征在于，所述装置包括：

信息接收模块，用于接收预置数据埋点上传的用户操作信息；

轨迹生成模块，用于根据所述用户操作信息生成待识别用户对应的当前操作轨迹；

轨迹读取模块，用于根据所述当前操作轨迹确定被操作对象，并从预设轨迹数据库中读取所述被操作对象对应的基准操作轨迹；

轨迹匹配模块，用于对所述当前操作轨迹和所述基准操作轨迹进行相似度匹配，以获得轨迹相似度；

用户判断模块，用于根据所述轨迹相似度判断所述待识别用户是否为恶意用户。

9.一种基于数据埋点的用户识别设备，其特征在于，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的基于数据埋点的用户识别程序，所述基于数据埋点的用户识别程序配置为实现如权利要求1至7中任一项所述的基于数据埋点的用户识别方法的步骤。

10.一种存储介质，其特征在于，所述存储介质上存储有基于数据埋点的用户识别程序，所述基于数据埋点的用户识别程序被处理器执行时实现如权利要求1至7任一项所述的基于数据埋点的用户识别方法的步骤。

Images