CN112422574A

CN112422574A - 风险账号的识别方法、装置、介质及电子设备

Info

Publication number: CN112422574A
Application number: CN202011314334.8A
Authority: CN
Inventors: 贺海军; 杨春盛; 周红伟; 董纪伟
Original assignee: Tongdun Holdings Co Ltd
Current assignee: Tongdun Holdings Co Ltd
Priority date: 2020-11-20
Filing date: 2020-11-20
Publication date: 2021-02-26

Abstract

本公开实施例提供了一种风险账号的识别方法、装置、介质及电子设备，涉及计算机技术领域，所述识别方法包括：基于登录流水数据确定候选风险IP地址和候选风险设备，根据所述登录流水数据、候选风险IP地址和候选风险设备构建关联边数据；根据所述关联边数据进行团伙关联计算，得到若干连通子图；对各个所述连通子图进行异常评分，得到异常分数；选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。本公开实施例的技术方案可以提高风险账号识别的准确率。

Description

风险账号的识别方法、装置、介质及电子设备

技术领域

本公开涉及计算机技术领域，具体而言，涉及一种风险账号的识别方法、装置、计算机可读存储介质及电子设备。

背景技术

随着互联网的飞速发展，访问很多应用或网站都需要用户进行登录，典型登录场景有电商用户登录、游戏用户登录、社交产品用户登录等。

在用户进行登录的业务系统在登录操作时涉及到的安全问题称为登录安全。用户登录是业务逻辑中比较重要的一部分，同时往往是最容易受到攻击的节点，在登录场景经常面临各类账号异常登录及试探登录的风险，典型的风险包括暴力破解、撞库、扫号等。

在线登录场景的主要风险来源为黑产、团伙欺诈、第三方欺诈等，典型的黑产登录攻击中，使用自动化脚本或工具，同时借助于特定的IP地址资源池和设备集合进行非法登录。

在登录场景中，经常面临各类账号异常登录及试探登录的风险，其中，典型的风险包括暴力破解、撞库、扫号等。

暴力破解是一种网络攻击方式，其过程是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化操作。

撞库是以大量的用户数据为基础，利用用户相同的注册习惯，例如相同的用户名和密码，尝试登录其它的网站的攻击方式，可以理解为用户在A网站被盗的账号密码来登录B网站，因为很多用户在不同网站使用的是相同的账号密码，因此可以获取用户在B网站的用户账号从而达到目的。

扫号是利用弱口令来进行登录尝试的原理来实现破解。弱口令可以为“123”、“abc”等仅包含简单数字和字母的口令、用户在不同途径泄漏的用户名-密码对或者常用弱密码。

现有技术中，识别风险账号的方法包括：基于规则的风险账号识别、基于有监督机器学习的风险账号识别和基于风险IP地址库或风险设备库的风险账号识别。

其中，使用规则进行风险账号的识别，典型的风险属性举例如IP地址或设备的登录账号的失败比例、登录次数的失败比例等。如果当前IP地址或设备的登录账号数量大等于阈值M并且登录账号失败比例大等于阈值P时，则认为当前IP地址或设备是有风险的，进而提取出IP地址或设备访问的账号作为风险账号集合。

该方案基于单个IP地址或设备的风险指标如登录账号失败比例或者登录次数失败比例识别风险IP地址或风险设备，失败比例阈值并不好定义，一个IP地址下可能有正常登录的账号，同时单个IP地址或设备的高失败比例的业务解释性并不强。

有监督机器学习是利用一组已知类别的样本训练分类器的参数,使其达到所要求性能的过程。例如，基于风险账号样例集合，提取特征，然后采用一定的机器学习方法训练有监督模型。针对一个待检测的账号，首先提取特征，然后调用已有模型进行风险预测，如果分数大等于阈值M，则认为该账号是风险账号。本方案中，风险账号的标记，来自于规则检测或领域专家的确认。

该方案风险账号样例的获取通常存在困难，同时风险结果的可解释性不强。

基于IP地址画像[1]等风险IP地址名单或风险设备名单发现风险IP地址和风险设备，进而发现IP地址或设备访问的风险账号。IP地址画像等风险IP地址或风险设备名单数据产品，一部分数据直接来自外部名单，另外一部分基于业务大数据挖掘统计获得。

在该方案中，风险IP地址或风险设备库必须保持动态更新才可以持续发挥作用，同时不同场景的风险IP地址或风险设备库不一定能通用。现有方案三基于风险IP地址或风险设备库进行风险识别，风险IP地址或风险设备库必须保持动态更新才可以持续发挥作用，同时不同场景的风险IP地址或风险设备库不一定能通用。

综上，如何较为精确地识别风险账号是当前亟需解决的技术问题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开实施例的目的在于提供一种风险账号的识别方法、装置、计算机可读存储介质及电子设备，进而至少在一定程度上更为精确地识别风险账号。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开实施例的第一方面，提供了一种风险账号的识别方法，所述识别方法包括：基于登录流水数据确定候选风险IP地址和候选风险设备，根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据；根据所述关联边数据进行团伙关联计算，得到若干连通子图；对各个所述连通子图进行异常评分，得到异常分数；选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，所述风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

在一些实施例中，所述基于登录流水数据确定候选风险IP地址和候选风险设备，包括：基于账号历史登录行为数据和账号当前登录行为数据获取所述登录流水数据；根据所述登录流水数据计算所有IP地址和设备的风险指标；根据所述风险指标、所述登录流水数据筛选出所述候选风险IP地址和候选风险设备。

在一些实施例中，所述根据所述风险指标、所述登录流水数据筛选出所述候选风险IP地址和候选风险设备，包括：如果当前IP地址的登录失败比例大等于阈值M1并且当前IP地址的本人登录设备和本人登录地区比例小等于阈值M2并且当前IP地址的登录账号数量大等于阈值M3，则当前IP地址为风险IP地址；如果当前设备的登录失败比例大等于阈值K1并且当前设备的本人登录设备和本人登录地区比例小等于阈值K2并且当前设备的登录账号数量大等于阈值K3，则当前设备为风险设备。

在一些实施例中，所述根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据，包括：如果两个IP地址属于同一个IP地址段，则这两个IP地址存在一条关联边；如果两个IP地址当天访问过同一个账号，则这两个IP地址存在一条关联边；如果两个设备当天访问过同一个账号，则这两个设备存在一条关联边；如果一个IP地址和一个设备同时出现在当天一个账号的登录流水记录中，则这一个IP地址和一个设备存在一条关联边。

在一些实施例中，所述选取异常分数大于等于设定阈值的连通子图作为风险团伙之后，所述识别方法还包括：获取所述风险团伙中的风险IP地址和风险设备对应的非本人登录的账号登录记录。

在一些实施例中，所述对各个所述连通子图进行异常评分包括：根据所述连通子图中的不同风险IP地址的数量、不同风险设备的数量以及非本人登录账号的数量进行异常分数Score计算。

在一些实施例中，所述风险指标至少包括以下任一种：总账号数量、账号登录失败比例、非本人登录账号的数量、使用本人登录设备登录和在本人登录地区登录的比例。

根据本公开实施例的第二方面，提供了一种风险账号的识别装置，所述识别装置包括：关联边构建单元，用于基于登录流水数据确定候选风险IP地址和候选风险设备，根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据；团伙关联单元，用于根据所述关联边数据进行团伙关联计算，得到若干连通子图；评分单元，用于对各个所述连通子图进行异常评分，得到异常分数；选取单元，用于选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，所述风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

在一些实施例中，所述关联边构建单元还用于基于账号历史登录行为数据和账号当前登录行为数据获取所述登录流水数据；根据所述登录流水数据计算所有IP地址和设备的风险指标；根据所述风险指标、所述登录流水数据筛选出所述候选风险IP地址和候选风险设备。

在一些实施例中，所述选取单元还用于，获取所述风险团伙中的风险IP地址和风险设备对应的非本人登录的账号登录记录。

在一些实施例中，所述评分单元还用于，根据所述连通子图中的不同风险IP地址的数量、不同风险设备的数量以及非本人登录账号的数量进行异常分数Score计算。

据本公开实施例的第三方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述实施例中第一方面所述的风险账号的识别方法。

根据本公开实施例的第四方面，提供了一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述实施例中第一方面所述的风险账号的识别方法。

本公开实施例提供的技术方案可以包括以下有益效果：

在本公开的一些实施例所提供的技术方案中，通过使用对连通子图进行排序和选取的方式来进行团伙挖掘，从而根据初步风险筛选得到的风险IP地址和风险设备得到风险团伙即风险账号集合，具有更高的识别精确率和更好的业务可解释性。

相对于基于规则的方法，本方法进行了候选风险IP地址和风险设备的选取、风险团伙的排序和选取，增加了结果的精确率。

相对于有监督机器学习的方法，避免了对风险账号样例的依赖，同时结果风险子图具有更好的业务可解释性。

相对于基于风险IP地址库或风险设备库的风险账号识别方案，本公开基于具体的业务场景数据动态统计所有账号的历史登录行为，不依赖其他外部风险数据，获得的风险IP地址和风险设备集合时效性较强并且可以更好地服务于当前业务场景。

本公开实施例针对在线登录场景，采用团伙挖掘的方法自动识别潜在的风险IP地址和风险设备团伙，进而获得风险账号集合。针对风险IP地址和风险设备下的受攻击用户或账号，可以进行安全信息通知或提示，同时可以限制风险IP地址和风险设备的登录访问。

本公开实施例的技术方案，不需要人工标注样例，同时结果具有明显的团伙关联性，所以结果具有较好的精确率和业务可解释性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示意性示出了根据本公开一种实施例的风险账号的识别方法的流程图；

图2示意性示出了根据本公开另一种实施例的风险账号的识别方法的流程图；

图3示意性示出了根据本公开又一种实施例的风险账号的识别方法的流程图；

图4示意性示出了根据本公开一种实施例的风险账号的识别装置的方框图；

图5示意性示出了适于用来实现本公开实施例的电子设备的计算机系统的结构图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

相关技术中，识别风险账号登录风险的方法均存在错误识别和漏召回的情况。

为解决上述问题，本公开实施例提供一种风险账号的识别方法，以提高识别风险账号的能力。

图1示意性示出了本公开的示例性实施方式的一种风险账号的识别方法。本公开实施例提供的方法可以由任意具备计算机处理能力的电子设备执行，例如终端设备和/或服务器。参考图1，本公开实施例提供的风险账号的识别方法可以包括以下步骤：

如图1所示，本公开实施例的风险账号的识别方法包括：

步骤S102，基于登录流水数据确定候选风险IP地址和候选风险设备，根据登录流水数据、候选风险IP地址和候选风险设备构建关联边数据。

步骤S104，根据关联边数据进行团伙关联计算，得到若干连通子图。

步骤S106，对各个连通子图进行异常评分，得到异常分数。

步骤S108，选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

本公开实施例的技术方案中，根据初步风险筛选得到的候选风险IP地址和候选风险设备，基于图计算的方法进行社区划分，最后对结果社区进行排序、选取并输出高风险的团伙，以给出相关的风险账号集合，实现了基于团伙挖掘发现风险IP地址和风险设备进而获得风险账号集合，因而具有更高的识别精确率和更好的业务可解释性。

在步骤S102之前，需要获得账号历史登录行为数据和账号当前登录行为数据，并进行候选风险IP地址和候选风险设备的初步筛选。

在进行候选风险IP地址和候选风险设备的初步筛选时，需要计算IP地址和设备的基础风险指标，并根据IP地址和设备的基础风险指标筛选获得初选的候选IP地址和候选风险设备。

如图2所示，初步筛选候选风险IP地址和候选风险设备的过程可以包括以下步骤：

步骤S1012，基于账号历史登录行为数据和账号当前登录行为数据获取登录流水数据。

步骤S1014，根据登录流水数据计算所有IP地址和设备的风险指标。

步骤S1016，根据风险指标、登录流水数据筛选出候选风险IP地址和候选风险设备。

在步骤S1012中，基于账号历史登录行为数据和账号当前登录行为数据生成登录流水数据时，可以基于所有账号的登录日志统计获得所有账号在过去N天的账号历史登录行为数据。这里，N为自然数，N可以取值30或60，且不局限于此。

这里，基于所有账号的登录日志即源数据由多天的登录日志产生，源数据的主要属性包括：登录账号、登录时间、IP地址、设备、登录地区、本次登录是否成功等。

其中，多天的登录日志如下表1所示。

表1多天的登录日志

登录流水

账号

时间

IP地址

设备

地区

是否成功

登录流水01

账号01

时间01

IP地址01

设备01

地区01

状态01

登录流水02

账号02

时间02

IP地址02

设备02

地区02

状态02

登录流水03

账号03

时间03

IP地址03

设备03

地区03

状态03

…

过去N天的账号历史登录行为数据如表2所示。

表2过去N天的账号历史登录行为数据表

基于该账号历史登录行为数据，可以计算每个账号在N天内登录成功的总次数、登录成功的设备、使用该设备登录成功的次数以及登录成功的地区、在该地区登录成功的次数；根据该登录成功的总次数、设备、使用该设备登录成功的次数、地区、在该地区登录成功的次数确定本人登录设备和本人登录地区。这里，本人登录设备即为账号在历史登录中的常用设备，本人登录地区即为账号在历史登录中的常用地区。

例如，可以根据账号使用某设备登录成功的次数与登录成功的总次数的比例确定该设备是否本人登录设备；可以根据账号在某地区登录成功的次数与登录成功的总次数的比例确定该地区是否本人登录地区。此外，还可以在账号使用某设备登录成功的次数大于等于1时即确定该设备为本人登录设备，在账号在某地区登录成功的次数大于等于1时即确定该地区为本人登录地区。

在确定账号在历史登录中的常用设备时，可以使用设备ID唯一标记不同的访问终端即访问设备，例如，在Web访问时一般使用Cookie，在APP访问场景下一般使用手机的IMEI/IDFA(Identifier For Advertising，广告标识符)等字段，专业的反欺诈公司会提供设备指纹产品来唯一标记一个访问设备。

地区一般表示为国家、省份或者地级市，登录账号所在的地区一般通过查询IP地址和地区的对照数据表获得。

在确定本人登录设备和本人登录地区后，根据账号历史登录行为数据、账号当前登录行为数据、本人登录设备和本人登录地区确定账号当前登录行为数据中，登录行为是否使用本人登录设备登录、是否使用本人登录地区登录，从而在原始的登录日志的基础上，增加是否使用本人登录设备登录、是否在本人登录地区登录两个属性并生成新的登录流水数据。

针对当前天每条登录流水记录，检索账号历史行为记录数据表，计算本次登录使用的设备是否在该账号过去成功登录使用的设备集合中、本次登录使用的地区是否是在该账号过去成功登录的地区集合中，从而生成包含有是否本人登录设备和是否本人登录地区字段的新的当前天流水记录数据表。

新的当前天流水记录如下表3所示。

表3新的当前天流水记录表

步骤S1014中，基于上述新的当前天流水记录数据，计算获得所有IP地址和设备的风险指标。该风险指标至少包括以下任一种：总账号数量、账号登录失败比例、非本人登录账号的数量、使用本人登录设备登录和在本人登录地区登录的比例。

IP地址的风险指标和设备的风险指标数据如下表4和表5所示。

表4 IP地址的风险指标数据表

表5设备风险指标数据表

在步骤S1016中，根据风险指标、登录流水数据筛选出候选风险IP地址和候选风险设备时，如果当前IP地址的登录失败比例大等于阈值M1并且当前IP地址的本人登录设备和本人登录地区比例小等于阈值M2并且当前IP地址的登录账号数量大等于阈值M3，则当前IP地址为风险IP地址；如果当前设备的登录失败比例大等于阈值K1并且当前设备的本人登录设备和本人登录地区比例小等于阈值K2并且当前设备的登录账号数量大等于阈值K3，则当前设备为风险设备。

在步骤S102中，该模块基于IP地址和设备的风险指标数据、登录流水数据，构建风险IP地址和风险设备之间的关系对，生成关联边数据表。

在根据登录流水数据、候选风险IP地址和候选风险设备构建关联边数据时，如果两个IP地址属于同一个IP地址段，则这两个IP地址存在一条关联边；如果两个IP地址当天访问过同一个账号，则这两个IP地址存在一条关联边；如果两个设备当天访问过同一个账号，则这两个设备存在一条关联边；如果一个IP地址和一个设备同时出现在当天一个账号的登录流水记录中，则这一个IP地址和一个设备存在一条关联边。

本公开实施例生成的关联边数据如下表6所示。

表6关联边数据表

节点ID	节点类型	节点ID	节点类型
				节点01	类型01	节点01	类型01
节点02	类型02	节点02	类型02
				节点03	类型01	节点03	类型02
…	…	…	…

在表6中，节点类型01代表IP地址，节点类型02代表设备。

在本公开实施例中，在由关联边形成的连通图中，由于一个图中每条边都是无方向的，则称为无向图。

无向图G的极大连通子图称为G的连通分量(Connected Component)。任何连通图的连通分量只有一个，即是其自身，非连通的无向图有多个连通分量。

基于关联边数据表，通过GraphX进行计算，可以获得连通子图以及连通结果数据表。连通结果数据表中包含每个节点及其所属的连通子图ID。针对已生成的关联边数据，本方案采用连通分量进行团伙关联计算，使用GraphX进行连通分量的连通计算并获得连通子图集合。

本公开实施例中的连通结果数据如下表7所示。

表7连通结果数据表

节点ID	子图ID
		节点01	子图01
节点02	子图02
		节点03	子图03
…	…

针对上表中的子图ID进行组GroupBy分操作，可以获得每个子图ID及对应的节点列表信息，即结果子图数据表。

结果子图数据表如下表8所示。

表8结果子图数据表

在步骤S106中，针对结果子图数据表，统计获得每个结果子图的主要指标并根据指定的打分公式进行异常评分，计算当前结果子图即风险团伙的异常分数。针对结果子图，我们会做子图的异常评分及排序处理，打分主要考虑子图中不同风险IP地址的数量、不同风险设备的数量、总的非本人登录账号数量等因素，即根据连通子图中的不同风险IP地址的数量、不同风险设备的数量以及非本人登录账号的数量进行异常分数Score计算。典型的异常分数Score计算方法举例如下：

方法1：Score＝MAX(不同的风险IP地址数量，不同的风险设备数量)*非本人登录账号数量。

方法2：Score＝不同的风险IP地址数量+不同的风险设备数量。

方法3：Score＝MAX(不同的风险IP地址数量，不同的风险设备数量)。

通过对结果子图进行异常评分及排序，可以选取输出Score大等于一定阈值的子图即风险子图作为结果的风险团伙。

本公开实施例的风险子图数据如下表9所示：

表9风险子图数据表

子图ID	不同的IP地址数量	不同的设备数量	非本人账号数量	异常分数
					子图01	IP地址数量01	设备数量01	账号数量01	分数01
子图02	IP地址数量02	设备数量02	账号数量02	分数02
					子图03	IP地址数量03	设备数量03	账号数量03	分数03
…	…	…	…	…

在步骤S108之后，还需要获取风险团伙中的风险IP地址和风险设备对应的非本人登录的账号登录记录，得到风险账号集合结果。

风险账号集合结果如下表10所示。

表10风险账号集合结果

风险账号集合可以为风险团伙中风险IP地址和风险设备对应的非本人登录的流水记录，即非本人登录地区且非否本人登录设备的登录账号的登录流水记录。

在得到风险账号集合结果后，可以针对风险账号集合中的受攻击账号进行安全信息通知或提示。

如图3所示，本公开一种实施例提供的风险账号的识别方法包括以下步骤：

步骤S301，获取多天的登录日志。

步骤S302，根据多天的登录日志获取过去N天的账号历史登录行为数据表。

步骤S303，获取账号当前登录行为数据表。

步骤S304，根据账号历史登录行为数据表和账号当前登录行为数据表获取新的登录流水记录表。

步骤S305，基于上述新的登录流水数据表，获得当前天的所有IP地址和设备的风险指标。

步骤S306，根据所有IP地址和设备的风险指标生成关联边数据。

步骤S307，基于关联边数据通过关联计算获取连通子图以及结果子图数据表。

步骤S308，根据结果子图数据表获取连通子图的异常评分。

步骤S309，根据异常评分的排序结果输出风险子图作为风险团伙。

本公开实施例的风险账号的识别方法中，通过使用对连通子图进行排序和选取的方式来进行团伙挖掘，从而根据初步风险筛选得到的风险IP地址和风险设备得到风险团伙即风险账号集合，具有更高的识别精确率和更好的业务可解释性。

以下介绍本公开的装置实施例，可以用于执行本公开上述的风险账号的识别方法。如图4所示，根据本公开实施例提供的一种风险账号的识别装置400可以包括：

关联边构建单元402，用于基于登录流水数据确定候选风险IP地址和候选风险设备，根据登录流水数据、候选风险IP地址和候选风险设备构建关联边数据。

团伙关联单元404，用于根据关联边数据进行团伙关联计算，得到若干连通子图。

评分单元406，用于对各个连通子图进行异常评分，得到异常分数。

选取单元408，用于选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

具体地，关联边构建单元402还用于基于账号历史登录行为数据和账号当前登录行为数据获取登录流水数据；根据登录流水数据计算所有IP地址和设备的风险指标；根据风险指标、登录流水数据筛选出候选风险IP地址和候选风险设备。

评分单元406还用于，根据连通子图中的不同风险IP地址的数量、不同风险设备的数量以及非本人登录账号的数量进行异常分数Score计算。

选取单元408还用于，获取所述风险团伙中的风险IP地址和风险设备对应的非本人登录的账号登录记录。

由于本公开的示例实施例的风险账号的识别装置的各个功能模块与上述风险账号的识别方法的示例实施例的步骤对应，因此对于本公开装置实施例中未披露的细节，请参照本公开上述的风险账号的识别方法的实施例。

本公开实施例的风险账号的识别装置中，通过使用对连通子图进行排序和选取的方式来进行团伙挖掘，从而根据初步风险筛选得到的风险IP地址和风险设备得到风险团伙即风险账号集合，具有更高的识别精确率和更好的业务可解释性。

下面参考图5，其示出了适于用来实现本公开实施例的电子设备的计算机系统500的结构示意图。图5示出的电子设备的计算机系统500仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，计算机系统500包括中央处理单元(CPU)501，其可以根据存储在只读存储器(ROM)502中的程序或者从存储部分505加载到随机访问存储器(RAM)503中的程序而执行各种适当的动作和处理。在RAM 503中，还存储有系统操作所需的各种程序和数据。CPU501、ROM 502以及RAM 503通过总线504彼此相连。输入/输出(I/O)接口505也连接至总线504。

以下部件连接至I/O接口505：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。在该计算机程序被中央处理单元(CPU)501执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本公开所示的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如上述实施例中所述的风险账号的识别方法。

例如，所述的电子设备可以实现如图1中所示的各个步骤。

又如，所述的电子设备可以实现如图2和图3所示的各个步骤。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、触控终端、或者网络设备等)执行根据本公开实施方式的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims

1.一种风险账号的识别方法，其特征在于，所述识别方法包括：

基于登录流水数据确定候选风险IP地址和候选风险设备，根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据；

根据所述关联边数据进行团伙关联计算，得到若干连通子图；

对各个所述连通子图进行异常评分，得到异常分数；

选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，所述风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

2.根据权利要求1所述的识别方法，其特征在于，所述基于登录流水数据确定候选风险IP地址和候选风险设备，包括：

基于账号历史登录行为数据和账号当前登录行为数据获取所述登录流水数据；

根据所述登录流水数据计算所有IP地址和设备的风险指标；

根据所述风险指标、所述登录流水数据筛选出所述候选风险IP地址和候选风险设备。

3.根据权利要求2所述的识别方法，其特征在于，所述根据所述风险指标、所述登录流水数据筛选出所述候选风险IP地址和候选风险设备，包括：

如果当前IP地址的登录失败比例大等于阈值M1并且当前IP地址的本人登录设备和本人登录地区比例小等于阈值M2并且当前IP地址的登录账号数量大等于阈值M3，则当前IP地址为风险IP地址；

如果当前设备的登录失败比例大等于阈值K1并且当前设备的本人登录设备和本人登录地区比例小等于阈值K2并且当前设备的登录账号数量大等于阈值K3，则当前设备为风险设备。

4.根据权利要求1所述的识别方法，其特征在于，所述根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据，包括：

如果两个IP地址属于同一个IP地址段，则这两个IP地址存在一条关联边；

如果两个IP地址当天访问过同一个账号，则这两个IP地址存在一条关联边；

如果两个设备当天访问过同一个账号，则这两个设备存在一条关联边；

如果一个IP地址和一个设备同时出现在当天一个账号的登录流水记录中，则这一个IP地址和一个设备存在一条关联边。

5.根据权利要求2所述的识别方法，其特征在于，所述选取异常分数大于等于设定阈值的连通子图作为风险团伙之后，所述识别方法还包括：获取所述风险团伙中的风险IP地址和风险设备对应的非本人登录的账号登录记录。

6.根据权利要求1所述的识别方法，其特征在于，所述对各个所述连通子图进行异常评分包括：根据所述连通子图中的不同风险IP地址的数量、不同风险设备的数量以及非本人登录账号的数量进行异常分数Score计算。

7.根据权利要求2所述的识别方法，其特征在于，所述风险指标，至少包括以下任一种：总账号数量、账号登录失败比例、非本人登录账号的数量、使用本人登录设备登录和在本人登录地区登录的比例。

8.一种风险账号的识别装置，其特征在于，所述识别装置包括：

关联边构建单元，用于基于登录流水数据确定候选风险IP地址和候选风险设备，根据所述登录流水数据、所述候选风险IP地址和所述候选风险设备构建关联边数据；

团伙关联单元，用于根据所述关联边数据进行团伙关联计算，得到若干连通子图；

评分单元，用于对各个所述连通子图进行异常评分，得到异常分数；

选取单元，用于选取异常分数大于等于设定阈值的连通子图作为风险团伙，其中，所述风险团伙中的候选风险IP地址和候选风险设备对应的非本人登录的账号为风险账号。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至7中任一项所述的风险账号的识别方法。

10.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至7中任一项所述的风险账号的识别方法。