CN111651761A - 一种黑产电子设备检测方法、装置、服务器及存储介质 - Google Patents

Abstract

本发明提供一种黑产电子设备检测方法、装置、服务器及存储介质，该方法将基础数据指示的包括黑产电子设备和待测电子设备的多个电子设备中的每个电子设备看成一个节点，以及将基础数据指示的多个电子设备中的每个应用程序看成一个节点，基于电子设备和应用程序的所属关系，生成至少一个节点序列；并根据至少一个节点序列确定多个电子设备中每个电子设备的向量表示，以利用待测电子设备和黑产电子设备的向量表示实现对待测电子设备是否为黑产电子设备的检测。本申请并不需要基于对恶意应用程序首次出现的电子设备的检测来实现对待测电子设备的检测，因此避免了现有技术对黑产电子设备的检测效率低、检测结果不全面的问题。

Description

一种黑产电子设备检测方法、装置、服务器及存储介质

技术领域

本发明涉及信息安全技术领域，具体涉及一种黑产电子设备检测方法、装置、服务器及存储介质。

背景技术

黑产电子设备是黑产开发者(恶意应用程序开发者)使用的电子设备，通过定位这些电子设备可以方便的监控病毒的爆发并为警方打击黑产提供线索支持。

现有技术是直接检测恶意应用程序首次出现的电子设备，并在该电子设备多次有恶意应用程序首次出现时，则将该电子设备判定为黑产电子设备。虽然现有技术可以实现对黑产电子设备的判定，但是往往会因为对恶意应用程序首次出现的电子设备的检测过程复杂、容易出现遗漏等原因，导致对黑产电子设备检测过程复杂、检测效率低、检测结果不全面的问题。

有鉴于此，如何提供一种黑产电子设备检测方法、装置、服务器及存储介质，以在实现对黑产电子设备的检测的基础上，避免现有技术因对恶意应用程序首次出现的电子设备的检测过程复杂、容易出现遗漏等原因，所导致的对黑产电子设备检测效率低、检测结果不全面的情况的发生，是亟待解决的问题。

发明内容

有鉴于此，本发明实施例提供一种黑产电子设备检测方法、装置、服务器及存储介质，以在实现对黑产电子设备的检测的基础上，避免现有技术对黑产电子设备的检测效率低、检测结果不全面的问题。

为实现上述目的，本发明实施例提供如下技术方案：

一种黑产电子设备检测方法，包括：

获取基础数据，所述基础数据指示多个电子设备和每个所述电子设备中的应用程序，所述多个电子设备包括黑产电子设备和待测电子设备；

基于所述基础数据生成至少一个节点序列，所述节点序列中任意相邻两个节点中一个节点指示所述多个电子设备中的一个目标电子设备，另一个节点指示所述目标电子设备中的一个目标应用程序，所述节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

根据所述至少一个节点序列，确定所述多个电子设备中每个所述电子设备的向量表示；

若所述待测电子设备的向量表示与任一所述黑产电子设备的向量表示满足预设条件，确定所述待测电子设备为黑产电子设备。

一种黑产电子设备检测装置，包括：

基础数据获取单元，用于获取基础数据，所述基础数据指示多个电子设备和每个所述电子设备中的应用程序，所述多个电子设备包括黑产电子设备和待测电子设备；

节点序列生成单元，用于基于所述基础数据生成至少一个节点序列，所述节点序列中任意相邻两个节点中一个节点指示所述多个电子设备中的一个目标电子设备，另一个节点指示所述目标电子设备中的一个目标应用程序，所述节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

向量表示确定单元，用于根据所述至少一个节点序列，确定所述多个电子设备中每个所述电子设备的向量表示；

待测电子设备确定单元，用于若所述待测电子设备的向量表示与任一所述黑产电子设备的向量表示满足预设条件，确定所述待测电子设备为黑产电子设备。

一种服务器，包括：至少一个存储器和至少一个处理器；所述存储器存储有程序，所述处理器调用所述存储器存储的程序，所述程序用于实现所述黑产电子设备检测方法。

一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行所述黑产电子设备检测方法。

本发明提供一种黑产电子设备检测方法、装置、服务器及存储介质，该方法将基础数据指示的包括黑产电子设备和待测电子设备的多个电子设备中的每个电子设备看成一个节点，以及将基础数据指示的多个电子设备中的每个应用程序看成一个节点，基于电子设备和应用程序的所属关系，生成至少一个节点序列；并根据至少一个节点序列确定多个电子设备中每个电子设备的向量表示，以利用待测电子设备和黑产电子设备的向量表示实现对待测电子设备是否为黑产电子设备的检测。本申请并不需要基于对恶意应用程序首次出现的电子设备的检测来实现对待测电子设备的检测，因此避免了现有技术对黑产电子设备的检测效率低、检测结果不全面的问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的一种服务器的硬件结构框图；

图2为本申请实施例提供的一种黑产电子设备检测方法流程图；

图3为本申请实施例提供的一种若待测电子设备的向量表示与任一黑产电子设备的向量表示满足预设条件，确定待测电子设备为黑产电子设备的方法流程图；

图4为本申请实施例提供的一种基于基础数据生成至少一个节点序列的方法流程图；

图5为本申请实施例提供的一种节点无向图的示意图；

图6为本申请实施例提供的一种目标节点无向图的示意图；

图7为本申请实施例提供的一种以节点无向图中指示电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从节点无向图中选取至少一个节点，生成电子设备的节点序列的方法流程图；

图8为本申请实施例提供的一种黑产电子设备检测装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本申请提供一种黑产电子设备检测方法、装置、服务器及存储介质，以实现对黑产电子设备的检测，以便于监控病毒的爆发、为警方打击黑产提供线索支持。

下面对本申请实施例提供的一种黑产电子设备检测方法进行详细说明。

本申请实施例提供的一种黑产电子设备检测方法可应用于服务器，该服务器可以是网络侧为用户提供服务的服务设备，其可能是多台服务器组成的服务器集群，也可能是单台服务器。

本申请实施例提供的一种黑产电子设备检测方法所应用于的服务器，可以获取基础数据，该基础数据指示多个电子设备，多个电子设备中包括已确定为是黑产电子设备的电子设备(即黑产电子设备)和待测电子设备。基于本申请实施例提供的一种黑产电子设备检测方法，针对基础数据指示的每个待测电子设备而言，可以对该待测电子设备进行检测以确定该待测电子设备是否为黑产电子设备。

基础数据除了指示多个电子设备，还可以指示每个电子设备中的应用程序。

在本申请实施例中，可以获取同一时刻基础数据指示的多个电子设备中每个电子设备的应用程序列表，针对多个电子设备中的每个电子设备而言，该电子设备的应用程序列表中的各个应用程序可以认为是基础数据指示的该电子设备中的应用程序。

在本申请实施例中，还可以针对基础数据指示的多个电子设备中的每个电子设备，获取该电子设备从出厂时刻到当前时刻为止运行过的所有的应用程序，并将获取到的该电子设备的应用程序认为是基础数据指示的该电子设备中的应用程序。

本申请实施例提供的一种黑产电子设备检测方法，在获取基础数据后，可以将基础数据指示的每个电子设备(不论该电子设备是已确定为黑产电子设备的电子设备还是待测电子设备)看成一个节点，将基础数据指示的多个电子设备中的每个应用程序看成一个节点；进而基于电子设备和电子设备中的应用程序，生成至少一个节点序列；以基于至少一个节点序列确定基础数据指示的每个电子设备的向量表示，进而针对基础数据指示的每一个待测电子设备执行如下过程：确定基础数据中是否存在向量表示与该待测电子设备的向量表示满足预设条件的黑产电子设备，若存在，则确定该待测电子设备为黑产电子设备。

进一步的，本申请实施例提供的一种黑产电子设备检测方法，若待测电子设备的向量表示与基础数据指示的每一个黑产电子设备的向量表示均不满足预设条件，则确定待测电子设备不为黑产电子设备。

更进一步的，为了对本申请实施例提供的一种黑产电子设备检测方法的检测结果进行优化，在确定待测电子设备为黑产电子设备后，还可以在下一次执行本申请实施例提供的一种黑产电子设备检测方法时，在获取到的基础数据中指示该待测电子设备，需要注意的是，此时该待测电子设备为已确定为黑产电子设备的电子设备(即，此时该待测电子设备为黑产电子设备)。

下面通过对本申请实施例提供的一种黑产电子设备检测方法所应用的服务器的结构进行详细说明。

可选的，图1示出了服务器的硬件结构框图，参照图1，服务器的硬件结构可以包括：处理器11，通信接口12，存储器13和通信总线14；

在本发明实施例中，处理器11、通信接口12、存储器13、通信总线14的数量均可以为至少一个，且处理器11、通信接口12、存储器13通过通信总线14完成相互间的通信；

处理器11可能是一个中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路等；

存储器13可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatilememory)等，例如至少一个磁盘存储器；

其中，存储器存储有程序，处理器可调用存储器存储的程序，程序用于：

获取基础数据，基础数据指示多个电子设备和每个电子设备中的应用程序，多个电子设备包括黑产电子设备和待测电子设备；

基于基础数据生成至少一个节点序列，节点序列中任意相邻两个节点中一个节点指示多个电子设备中的一个目标电子设备，另一个节点指示目标电子设备中的一个目标应用程序，节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

根据至少一个节点序列，确定多个电子设备中每个电子设备的向量表示；

若待测电子设备的向量表示与任一黑产电子设备的向量表示满足预设条件，确定待测电子设备为黑产电子设备。

可选的，程序的细化功能和扩展功能可参照下文描述。

为了便于对适用于上述服务器的黑产电子设备检测方法的理解，现对本申请实施例提供的一种黑产电子设备检测方法进行详细介绍。

图2为本申请实施例提供的一种黑产电子设备检测方法流程图。

如图2所示，该方法包括：

S201、获取基础数据，基础数据指示多个电子设备和每个电子设备中的应用程序，多个电子设备包括黑产电子设备和待测电子设备；

用户使用电子设备时，在电子设备中安装有与黑产检测相关的黑产应用程序后，该黑产应用程序可以向黑产应用程序后台上报该电子设备中各个应用程序的下载、安装、运行等情况；相应的，黑产应用程序后台可以汇总各个安装有黑产应用程序的电子设备中对应用程序的下载、安装、运行等情况，得到数据集。

在数据集中存在一部分电子设备已被标注为黑产电子设备，剩余其他电子设备则为待测电子设备。在本申请实施例提供的一种黑产电子设备检测方法未执行之前，可以基于现有技术或者人工挖掘等方式发现黑产电子设备，并将该黑产电子设备在数据集中进行标注，在本申请实施例提供的一种黑产电子设备检测方法在执行后，该方法可能会确定数据集中的某待测电子设备为黑产电子设备，此时，可以在数据集中将该待测电子设备标注为黑产电子设备。

本申请实施例提供的一种黑产电子设备检测方法可以从数据集中获取基础数据，基础数据指示多个电子设备，多个电子设备中包括黑产电子设备和待测电子设备，基础数据还指示多个电子设备中每个电子设备中的应用程序。

S202、基于基础数据生成至少一个节点序列，节点序列中任意相邻两个节点中一个节点指示多个电子设备中的一个目标电子设备，另一个节点指示目标电子设备中的一个目标应用程序，节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

在本申请实施例中，可以利用电子设备和应用程序的所属关系，针对基础数据指示的每个电子设备，生成该电子设备的多个节点序列。针对电子设备的一个节点序列而言，该节点序列中任意相邻的两个节点中一个节点指示目标电子设备(该目标电子设备为基础数据指示的一个电子设备)，一个节点指示该目标电子设备中的目标应用程序，且需要注意的是：一个节点序列中各个节点指示的目标电子设备互不相同，一个节点序列中各个节点指示的目标应用程序互不相同。

S203、根据至少一个节点序列，确定多个电子设备中每个电子设备的向量表示；

在本申请实施例中，预训练有向量表示模型，依次将至少一个节点序列中每个节点序列中的每个节点指示的应用程序/电子设备的标识信息输入至该预训练的向量表示模型，可以得到基础数据指示的每个电子设备的向量表示。

向量表示模型可以为Word2vec模型，Word2vec模型是一群用来产生词向量的相关模型，输入是一群单词，输出是每个单词的向量表示。

以上仅仅是本申请实施例提供的向量表示模型的优选表现形式，有关向量表示模型的具体表现形式，发明人可根据自己的需求进行设置，在此不做限定。

S204、若待测电子设备的向量表示与任一黑产电子设备的向量表示满足预设条件，确定待测电子设备为黑产电子设备。

图3为本申请实施例提供的一种若待测电子设备的向量表示与任一黑产电子设备的向量表示满足预设条件，确定待测电子设备为黑产电子设备的方法流程图。

如图3所示，该方法包括：

S301、从多个电子设备中选取当前未被选取的黑产电子设备；

基础数据指示多个电子设备，多个电子设备包括待测电子设备和黑产电子设备，在确定多个电子设备中每个电子设备的向量表示后，针对每个待测电子设备而言，可以基于本申请实施例提供的如图3所示的方法来确定该待测电子设备是否为黑产电子设备。

从多个电子设备中选取当前未被选取的黑产电子设备，包括：从多个电子设备中选取针对待测电子设备当前未被选取的黑产电子设备。

针对每个待测电子设备，确定该待测电子设备是否为黑产电子设备的方式包括：从基础数据指示的各个黑产电子设备中，选取未针对该待测电子设备选取过的黑产电子设备，并在选取黑产电子设备后，将该选取的黑产电子设备作为针对待测电子设备选取过的一个黑产电子设备。比如，基础数据指示黑产电子设备1、黑产电子设备2和黑产电子设备3；在确定基础数据指示的待测电子设备1是否为黑产电子设备时，黑产电子设备1、黑产电子设备2和黑产电子设备3均为未针对待测电子设备1选取过的黑产电子设备，任意从黑产电子设备1、黑产电子设备2和黑产电子设备3中选取一个黑产电子设备(比如黑产电子设备2)，此时，黑产电子设备2为针对待测电子设备1选取过的黑产电子设备，黑产电子设备1和黑产电子设备3为针对待测电子设备1未选取过的黑产电子设备。

S302、计算待测电子设备的向量表示和当前选取的黑产电子设备的向量表示的余弦相似度；

在本申请实施例中，向量表示是词向量，词向量的长度为默认值，比如，词向量的长度可以为100(即，默认值为100)，具体的，词向量可以为100个浮点数组成的数组。

以上仅仅是本申请实施例提供的向量表示的优选内容，有关词向量的具体内容，发明人可根据自己的需求进行设置，在此不做限定。

S303、判断余弦相似度是否达到预设值；若余弦相似度未达到预设值，返回执行步骤S301；若余弦相似度达到预设值，执行步骤S304；

S304、确定待测电子设备为黑产电子设备。

在本申请实施例中，若待测电子设备的向量表示和基础数据指示的每个黑产电子设备的向量表示的余弦相似度均未达到预设值，则可以确定待测电子设备不为黑产电子设备。

为了便于对本申请实施例提供的一种黑产电子设备检测方法的理解，现对本申请实施例提供的一种黑产电子设备检测方法中的一种基于基础数据生成至少一个节点序列的方法进行详细说明，具体请参见图4。

如图4所示，该方法包括：

S401、将基础数据指示的多个电子设备中的每个电子设备确定为一个节点，多个电子设备中的每个应用程序确定为一个节点；

在本申请实施例中，可以确定基础数据指示的每个电子设备为一个节点，确定基础数据指示的多个电子设备中的各个应用程序，并将所确定的每个应用程序确定为一个节点。

比如，基础数据指示电子设备1、电子设备2、电子设备3、电子设备4和电子设备5，基础数据指示的电子设备1中的应用程序包括应用程序1、应用程序3、应用程序5和应用程序7；基础数据指示的电子设备2中的应用程序包括应用程序4、应用程序5、应用程序9、应用程序10和应用程序12；基础数据指示的电子设备3中的应用程序包括应用程序7和应用程序13；基础数据指示的电子设备4中的应用程序包括应用程序4、应用程序8和应用程序11；基础数据指示的电子设备5中的应用程序包括应用程序9和应用程序13。

为了便于理解，现通过IMEI表征电子设备，APP表征应用程序，来对基础数据进行说明。IMEI是一个字符串，电子设备的唯一识别码，出厂时由厂家指定。

上述基础数据可以为：

IMEI1:APP1，APP3，APP5，APP7

IMEI2:APP4，APP5，APP9，APP10，APP12

IMEI3:APP7，APP13

IMEI4:APP4，APP8，APP11

IMEI5:APP9，APP13

可见，上述基础数据指示IMEI1、IMEI2、IMEI3、IMEI4和IMEI5，因此，将IMEI1、IMEI2、IMEI3、IMEI4和IMEI5分别看成一个节点；上述基础数据指示IMEI1、IMEI2、IMEI3、IMEI4和IMEI5中包括APP1、APP3、APP4、APP5、APP7、APP8、APP9、APP10、APP11、APP12和APP13；因此，将APP1、APP3、APP4、APP5、APP7、APP8、APP9、APP10、APP11、APP12和APP13分别看成一个节点。

S402、若一个节点指示的应用程序属于另一节点指示的电子设备，连接节点和另一节点，构建节点无向图；

参见图5为本申请实施例提供的一种节点无向图的示意图，在基于基础数据确定各个节点后，若各个节点中存在一个节点指示的应用程序属于另一个节点指示的电子设备，则连接该节点和另一节点，以构建节点无向图。

结合图5可知，APP3属于IMEI1，则连接APP3和IMEI1；APP9属于IMEI2，则连接APP9和IMEI2，APP9也属于IMEI5，则也连接APP9和IMEI5。

S403、检测节点无向图中指示应用程序的目标节点，目标节点仅与节点无向图中的一个节点相连；

S404、将目标节点从节点无向图中删除，得到目标节点无向图；

在构建节点无向图后，需要对节点无向图进行清洗，以得到目标节点无向图。在本申请实施例中，可以采用检测节点无向图中的目标节点，并删除节点无向图中的目标节点的方式实现对节点无向图的清洗，以得到目标节点无向图。

其中，节点无向图中的目标节点可以是指示应用程序的节点，且该指示应用程序的节点仅与节点无向图中的一个节点连接。结合图5可知，APP1、APP3、APP10、APP12、APP11、APP8均为节点无向图中的目标节点，将这些目标节点从如图5所示的节点无向图中删除，得到目标节点无向图，目标节点无向图请参见图6。

S405、针对每个电子设备，以目标节点无向图中指示电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从目标节点无向图中选取至少一个节点，生成电子设备的节点序列。

在本申请实施例中，针对基础数据指示的每个电子设备，生成该电子设备的节点序列，电子设备的节点序列的首个节点为节点无向图中指示该电子设备的节点。

预设节点序列生成规则包括策略1：在生成电子设备的节点序列时，将节点无向图中指示该电子设备的IMEI节点作为被选取的IMEI节点；从被选取的IMEI节点出发，从节点无向图中与IMEI节点相连的各个APP节点中随机选取一个APP节点；然后，在从与该被选取的APP节点相连的各个IMEI节点中，随机选取一个当前没有被选取过的IMEI节点，并返回执行“从被选取的IMEI节点出发，从节点无向图中与IMEI节点相连的各个APP节点中随机选取一个APP节点”过程。

进一步的，预设节点序列生成规则还包括策略2：在满足策略1的条件下，如果节点无向图中没有节点可以被选取，则结束选择过程。由在生成电子设备的节点序列时，依次选取的各个IMEI节点构成该电子设备的节点序列。

进一步的，预设节点序列生成规则还包括策略3：在满足策略1的条件下，如果在生成电子设备的节点序列时，在节点无向图中选取的节点的数量达到预设数量，则结束选择过程。由在生成电子设备的节点序列时，依次选取的各个IMEI节点构成该电子设备的节点序列。

在本申请实施例中，预设数量可以为10、13等等，以上仅仅是本申请实施例提供的预设数量的优选数值，有关预设数量的具体数值发明人可根据自己的需求进行设置，在此不做限定。

以上述图6所示的目标节点无向图为基础，现以生成的IMEI1的节点序列为例进行说明。生成IMEI1的节点序列时，以IMEI1作为IMEI1的节点序列中的首个节点，生成IMEI1的多个节点序列，所生成的IMEI1的节点序列可以包括：

节点序列1：IMEI1-APP5-IMEI2-APP4-IMEI4

节点序列2：IMEI1-APP5-IMEI2-APP9-IMEI5-APP13-IMEI3-APP7

节点序列3：IMEI1-APP7-IMEI3-APP13-IMEI5-APP9-IMEI2-APP4-IMEI4

需要注意的是：节点序列中相邻两个节点之间的“-”符号，只是为了将相邻两个节点分割开而加入的，其并无实际意义。

因实际应用过程中，节点无向图中节点数量非常庞大，故针对节点无向图指示的任一电子设备而言，可以生成该电子设备的预设条数个节点序列，而不是穷举出节点无向图中该电子设备的每条节点序列，这样，可以达到提高提高检测效率的目的。

在本申请实施例中，预设条数可以为3、5等等，以上仅仅是本申请实施例提供的预设条数的优选数值，有关预设条数的具体数值，发明人可根据自己的需求进行设置，在此不做限定。

为了便于对本申请实施例提供的以节点无向图中指示电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从节点无向图中选取至少一个节点，生成电子设备的节点序列的方法的理解，现结合图7从执行角度，对该方法进行进一步说明。

如图7所示，该方法包括：

S701、将节点无向图中指示电子设备的节点，确定为电子设备的第一节点；

S702、从节点无向图中与当前确定的电子设备的第一节点相连的各个节点中，选取当前未被确定为第一节点的第二节点；

S703、将当前选取的第二节点确定为电子设备的第一节点；

针对基础数据指示的多个电子设备中的每个电子设备而言，在启动生成该电子设备的节点序列时，首先默认节点无向图中的所有节点均未被确定为第一节点，然后将节点无向图中指示该电子设备的节点确定为该电子设备的第一节点，并从节点无向图中与当前确定的该电子设备的第一节点相连的各个节点中，选取一个当前未被确定为该电子设备的第一节点的节点(为了便于区分，暂将该被选取的节点称为第二节点)；并将该第二节点确定为电子设备的第一节点。

S704、检测依次确定的电子设备的各个第一节点的数量是否达到预设数量；若依次确定的电子设备的各个第一节点的数量未达到预设数量，返回执行步骤S702；若依次确定的电子设备的各个第一节点的数量达到预设数量，执行步骤S705；

S705、基于依次确定的电子设备的各个第一节点，生成电子设备的节点序列。

在本申请实施例中，由在生成电子设备的节点序列时，依次确定的该电子设备的各个第一节点，构成该电子设备的节点序列。

以图6为例，在生成IMEI1的节点序列时，确定出的IMEI1的第一节点依次为IMEI1、APP5、IMEI2、APP4、IMEI4；则由依次确定的IMEI1的各个第一节点构成IMEI1的节点序列：IMEI1-APP5-IMEI2-APP4-IMEI4。

本申请实施例提供的一种黑产电子设备检测方法，在获取基础数据后，基于基础数据可以生成至少一个节点序列。

本申请提供的一种黑产电子设备检测方法，可以预训练向量表示模型，在预训练向量表示模型中输入由多个词构成的句子，可以得到句子中每个词的向量表示。具体的，词的向量表示可以为词的词向量。

以向量表示模型对输出的词向量的长度为默认值100为例，在将由多个词构成的句子输入到向量表示模型后，向量表示模型的输出结果是每个词的词向量，每个词的词向量是由100个浮点数组成的数组。

本申请实施例中，在基于基础数据得到至少一个节点序列后，可以将每个节点序列看成一个句子，将节点序列中的每个节点认为是句子中的一个词，进而按照节点序列中节点的顺序依次将每个节点序列中的各个节点的标识信息输入至向量表示模型，可以得到向量表示模型的输出结果，该输出结果可以为至少一个节点序列中每个节点的向量表示。

当节点指示电子设备时，节点的标识信息可以为节点指示的电子设备的标识信息，电子设备的标识信息可以为电子设备的IMEI。

当节点指示应用程序时，节点的标识信息可以为节点指示的应用程序的标识信息，应用程序的标识信息可以为用于唯一指示该应用程序的信息，应用程序的标识信息可以通过字符串的形式表示，在此不做限定。

在本申请实施例中，基于基础数据得到至少一个节点序列，进而得到节点序列中每个节点的向量表示后，可以从中筛选出指示电子设备的节点的向量表示，以得到基础数据指示的每个电子设备的向量表示。其中，电子设备的向量表示可以认为是指示该电子设备的节点的向量表示，应用程序的向量表示可以认为是指示该应用程序的节点的向量表示。

本申请实施例中，在基于基础数据得到至少一个节点序列后，还可以针对至少一个节点序列中的每个节点序列，对该节点序列进行处理得到该节点序列的目标节点序列。对节点序列进行处理得到该节点序列的目标节点序列的方式包括：将节点序列中指示应用程序的节点删除，得到该节点序列的目标节点序列。

比如，节点序列为IMEI1-APP5-IMEI2-APP4-IMEI4时，对该节点序列进行处理得到该节点序列的目标节点序列为IMEI1-IMEI2-IMEI4。

本申请实施例中，在基于基础数据得到至少一个节点序列后，分别对每个节点序列进行处理得到该节点序列的目标节点序列后，可以将每个目标节点序列看成一个句子，将目标节点序列中的每个节点认为是句子中的一个词，进而按照目标节点序列中节点的顺序依次将每个目标节点序列中的各个节点的标识信息输入至向量表示模型，可以得到向量表示模型的输出结果，该输出结果可以为至少一个目标节点序列中每个节点的向量表示。

以图6所示的目标节点无向图为基础，在基于如图6所示的目标节点无向图得到至少一个节点序列后，将至少一个节点序列输入至预训练的向量表示模型后，所得到的至少一个节点序列中每个指示电子设备的节点的向量表示可以如下：

IMEI1：[0.123，0.357，0.126.....]

IMEI2：[0.223，0.567，0.189.....]

IMEI3：[0.14023，0.3307，0.4526.....]

IMEI4：[0.312，0.3157，0.1216.....]

IMEI5：[0.213，0.3527，0.1206.....]

如上所示，每个指示电子设备的节点的向量表示可以是一个长度为默认值的数组，比如，当默认值为100时，节点的向量表示可以为100个浮点数组成的数组。

相应的，为了便于对本申请实施例提供的计算两个向量表示的余弦相似度的方式的了解，现以两个向量表示的余弦相似度的计算方式进行详细说明。

余弦相似度计算公式如下:

cosθ为余弦相似度，一个向量表示为【x₁，x₂…x_n】，另一个向量表示为【y₁，y₂…y_n】。

以上仅仅是本申请实施例提供的一种余弦相似度计算的优选方式，有关余弦相似度的具体计算方式，发明人可根据自己的需求进行设置，在此不做限定。

本申请实施例提供的一种黑产电子设备确定方法，基于该方法可以实现对黑产电子设备的检测，基于对黑产电子设备的检测不仅可以为监控新病毒的爆发提供便利，也可以为警方打击黑产提供线索支持。

进一步的，本申请实施例还提供一种黑产电子设备检测装置的结构示意图，参见图8。

如图8所示，该装置包括：

基础数据获取单元81，用于获取基础数据，基础数据指示多个电子设备和每个电子设备中的应用程序，多个电子设备包括黑产电子设备和待测电子设备；

节点序列生成单元82，用于基于基础数据生成至少一个节点序列，节点序列中任意相邻两个节点中一个节点指示多个电子设备中的一个目标电子设备，另一个节点指示目标电子设备中的一个目标应用程序，节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

向量表示确定单元83，用于根据至少一个节点序列，确定多个电子设备中每个电子设备的向量表示；

待测电子设备确定单元84，用于若待测电子设备的向量表示与任一黑产电子设备的向量表示满足预设条件，确定待测电子设备为黑产电子设备。

在本申请实施例中，节点序列生成单元包括：

节点确定单元，用于将基础数据指示的多个电子设备中的每个电子设备确定为一个节点，多个电子设备中的每个应用程序确定为一个节点；

节点无向图构建单元，用于若一个节点指示的应用程序属于另一节点指示的电子设备，连接节点和另一节点，构建节点无向图；

节点序列生成子单元，用于针对每个电子设备，以节点无向图中指示电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从节点无向图中选取至少一个节点，生成电子设备的节点序列。

在本申请实施例中，节点序列生成子单元，包括：

第一确定单元，用于将节点无向图中指示电子设备的节点，确定为电子设备的第一节点；

第二确定单元，用于从节点无向图中与第一节点相连的各个节点中，选取当前未被确定为第一节点的第二节点；

第三确定单元，用于将当前选取的第二节点确定为电子设备的第一节点；

生成单元，用于基于依次确定的电子设备的各个第一节点，生成电子设备的节点序列。

进一步的，本申请实施例提供的一种节点序列生成子单元还包括：检测单元，用于检测依次确定的电子设备的各个第一节点的数量是否达到预设数量。

相应的，生成单元，具体用于若依次确定的电子设备的各个第一节点的数量达到预设数量，基于依次确定的电子设备的各个第一节点，生成电子设备的节点序列。

进一步的，本申请实施例提供的一种节点序列生成单元还包括：目标节点无向图确定单元，用于检测节点无向图中指示应用程序的目标节点，目标节点仅与节点无向图中的一个节点相连；将目标节点从节点无向图中删除，得到目标节点无向图。

相应的，节点序列生成子单元，具体用于针对每个电子设备，以目标节点无向图中指示电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从目标节点无向图中选取至少一个节点，生成电子设备的节点序列。

在本申请实施例中，向量表示确定单元包括：

第一向量表示确定单元，用于依次将每个电子设备的每个节点序列中的每个节点指示的应用程序/电子设备的标识信息，输入至预训练的向量表示模型，得到每个节点的向量表示；从所得到的各个节点的向量表示中，选取指示电子设备的每个节点的向量表示；

或者，

第二向量表示确定单元，用于将电子设备的节点序列中指示应用程序的节点删除，得到电子设备的目标节点序列；依次将每个电子设备的每个目标节点序列中的每个节点指示的电子设备的标识信息，输入至预训练的向量表示模型，得到每个指示电子设备的节点的向量表示。

在本申请实施例中，待测电子设备确定单元，包括：

选取单元，用于从多个电子设备中选取当前未被选取的黑产电子设备；

计算单元，用于计算待测电子设备的向量表示和当前选取的黑产电子设备的向量表示的余弦相似度；

判断单元，用于判断余弦相似度是否达到预设值；

返回执行单元，用于若余弦相似度未达到预设值，返回执行“从多个电子设备中选取当前未被选取的黑产电子设备”步骤；

黑产电子设备确定单元，用于若余弦相似度达到预设值，确定待测电子设备为黑产电子设备。

进一步的，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机可执行指令，该计算机可执行指令用于执行上述黑产电子设备检测方法。

可选的，计算机可执行指令的细化功能和扩展功能可参照上文描述。

本发明提供一种黑产电子设备检测方法、装置、服务器及存储介质，该方法将基础数据指示的包括黑产电子设备和待测电子设备的多个电子设备中的每个电子设备看成一个节点，以及将基础数据指示的多个电子设备中的每个应用程序看成一个节点，基于电子设备和应用程序的所属关系，生成至少一个节点序列；并根据至少一个节点序列确定多个电子设备中每个电子设备的向量表示，以利用待测电子设备和黑产电子设备的向量表示实现对待测电子设备是否为黑产电子设备的检测。本申请并不需要基于对恶意应用程序首次出现的电子设备的检测来实现对待测电子设备的检测，因此避免了现有技术对黑产电子设备的检测效率低、检测结果不全面的问题。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的核心思想或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种黑产电子设备检测方法，其特征在于，包括：

获取基础数据，所述基础数据指示多个电子设备和每个所述电子设备中的应用程序，所述多个电子设备包括黑产电子设备和待测电子设备；

基于所述基础数据生成至少一个节点序列，所述节点序列中任意相邻两个节点中一个节点指示所述多个电子设备中的一个目标电子设备，另一个节点指示所述目标电子设备中的一个目标应用程序，所述节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

根据所述至少一个节点序列，确定所述多个电子设备中每个所述电子设备的向量表示；

若所述待测电子设备的向量表示与任一所述黑产电子设备的向量表示满足预设条件，确定所述待测电子设备为黑产电子设备。

2.根据权利要求1所述的方法，其特征在于，所述基于所述基础数据生成至少一个节点序列，包括：

将所述基础数据指示的多个电子设备中的每个电子设备确定为一个节点，所述多个电子设备中的每个应用程序确定为一个节点；

若一个节点指示的应用程序属于另一节点指示的电子设备，连接所述节点和所述另一节点，构建节点无向图；

针对每个所述电子设备，以所述节点无向图中指示所述电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从所述节点无向图中选取至少一个节点，生成所述电子设备的节点序列。

3.根据权利要求2所述的方法，其特征在于，所述以所述节点无向图中指示所述电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从所述节点无向图中选取至少一个节点，生成所述电子设备的节点序列，包括：

将所述节点无向图中指示所述电子设备的节点，确定为所述电子设备的第一节点；

从所述节点无向图中与所述第一节点相连的各个节点中，选取当前未被确定为第一节点的第二节点；

将当前选取的第二节点确定为所述电子设备的第一节点；

基于依次确定的所述电子设备的各个第一节点，生成所述电子设备的节点序列。

4.根据权利要求3所述的方法，其特征在于，还包括：

检测依次确定的所述电子设备的各个第一节点的数量是否达到预设数量；

所述基于依次确定的所述电子设备的各个第一节点，生成所述电子设备的节点序列，包括：若依次确定的所述电子设备的各个第一节点的数量达到预设数量，基于依次确定的所述电子设备的各个第一节点，生成所述电子设备的节点序列。

5.根据权利要求2所述的方法，其特征在于，还包括：

检测所述节点无向图中指示应用程序的目标节点，所述目标节点仅与所述节点无向图中的一个节点相连；

将所述目标节点从所述节点无向图中删除，得到目标节点无向图；

所述针对每个所述电子设备，以所述节点无向图中指示所述电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从所述节点无向图中选取至少一个节点，生成所述电子设备的节点序列，包括：针对每个所述电子设备，以所述目标节点无向图中指示所述电子设备的节点为节点序列的首个节点，按照预设节点序列生成规则，依次从所述目标节点无向图中选取至少一个节点，生成所述电子设备的节点序列。

6.根据权利要求4所述的方法，其特征在于，所述根据所述至少一个节点序列，确定所述多个电子设备中每个所述电子设备的向量表示，包括：

依次将每个所述电子设备的每个节点序列中的每个节点指示的应用程序/电子设备的标识信息，输入至预训练的向量表示模型，得到每个所述节点的向量表示；

从所得到的各个所述节点的向量表示中，选取指示电子设备的每个节点的向量表示；

或者，

将电子设备的节点序列中指示应用程序的节点删除，得到所述电子设备的目标节点序列；

依次将每个所述电子设备的每个目标节点序列中的每个节点指示的电子设备的标识信息，输入至预训练的向量表示模型，得到每个指示电子设备的节点的向量表示。

7.根据权利要求1所述的方法，其特征在于，所述若所述待测电子设备的向量表示与任一所述黑产电子设备的向量表示满足预设条件，确定所述待测电子设备为黑产电子设备，包括：

从所述多个电子设备中选取当前未被选取的黑产电子设备；

计算所述待测电子设备的向量表示和当前选取的黑产电子设备的向量表示的余弦相似度；

判断所述余弦相似度是否达到预设值；

若所述余弦相似度未达到预设值，返回执行“从所述多个电子设备中选取当前未被选取的黑产电子设备”步骤；

若所述余弦相似度达到预设值，确定所述待测电子设备为黑产电子设备。

8.一种黑产电子设备检测装置，其特征在于，包括：

基础数据获取单元，用于获取基础数据，所述基础数据指示多个电子设备和每个所述电子设备中的应用程序，所述多个电子设备包括黑产电子设备和待测电子设备；

节点序列生成单元，用于基于所述基础数据生成至少一个节点序列，所述节点序列中任意相邻两个节点中一个节点指示所述多个电子设备中的一个目标电子设备，另一个节点指示所述目标电子设备中的一个目标应用程序，所述节点序列指示的各个目标电子设备互不相同、指示的各个目标应用程序互不相同；

向量表示确定单元，用于根据所述至少一个节点序列，确定所述多个电子设备中每个所述电子设备的向量表示；

待测电子设备确定单元，用于若所述待测电子设备的向量表示与任一所述黑产电子设备的向量表示满足预设条件，确定所述待测电子设备为黑产电子设备。

9.一种服务器，其特征在于，包括：至少一个存储器和至少一个处理器；所述存储器存储有程序，所述处理器调用所述存储器存储的程序，所述程序用于实现如权利要求1-7任意一项所述的黑产电子设备检测方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1-7任意一项所述的黑产电子设备检测方法。

Images