CN112468433A - 一种诈骗监控程序 - Google Patents

Abstract

提供了管理网络中的欺诈监控程序。欺诈监控程序使用网络的仪表数据、配置数据和帐户信息来检测网络中的欺诈活动，如欺诈广告或其他类型的欺诈数据流量，包括对广告人员的欺诈响应（如欺诈性点击）。欺诈监控器接收网络物理资源的配置数据和标识数据。欺诈监控器接收网络中数据包流量的仪表数据。欺诈监控程序接收网络用户的帐户信息。欺诈监控器分析仪表数据，以检测违反欺诈检测策略的情况，该策略基于配置数据、标识数据或帐户信息阻止恶意或欺诈性在线广告活动。

Description

一种诈骗监控程序

技术领域

本发明涉及一种诈骗监控程序，该监控使用网络的仪器数据、配置数据和帐户信息来检测托管网络中的欺诈活动。

背景技术

在网络或互联网上进行的欺诈行为是一个严重的问题，损害个人用户和企业。合法网站经常充斥着欺诈性广告，目的是为恶意内容的提供者招揽点击。欺诈行为人还可以雇佣点击农场来自动输入“访问”网站，以增加点击统计数据，欺骗网站运营商、广告商或在线广告交易所。由于网站访问者或在线广告商不太可能拥有识别欺诈内容或欺诈性点击所需的所有信息，因此这些形式的欺诈行为可能难以被个人用户和企业发现。

发明内容

本发明的一些实施例在托管网络中提供欺诈监控，该监控使用网络的仪器数据、配置数据和帐户信息来检测托管网络中的欺诈活动，例如欺诈性广告或其他类型的欺诈性数据流量，包括对广告的欺诈性响应（例如，欺诈性点击）。欺诈监控程序接收所管理网络物理资源的配置数据和标识数据。欺诈监控程序接收管理网络中数据包流量的仪表数据。欺诈监控程序接收托管网络用户的帐户信息。欺诈监控器根据配置数据、标识数据或帐户信息分析仪器数据，以检测是否违反欺诈检测策略。欺诈检测策略由管理网络实施，以防止恶意或欺诈的在线广告活动，如在线广告点击统计膨胀或用户点击恶意在线广告的招揽。因此，管理网络实施欺诈检测策略可能会保护网站访问者、网站运营商和在线广告交流。

附图说明

详细描述是参照随附的数字描述的，其中参考号的最左边的数字表示参考号首次出现的数字。在不同的图中使用相同的参考号表示相似或相同的项目。

图1概念性地说明了一种欺诈监控器，其检测网络中的欺诈广告和对广告的欺诈响应，符合披露的一个实施例。

图2从概念上说明了网络的物理实现，与公开的一个实施例一致。

图3是显示欺诈监控程序的各种组件的框图，与本发明的一个实施例一致。

图4-5概念性地说明了与实施例一致的在网络中执行欺诈检测的过程。

图6说明了在网络流量上应用基于机器学习的分类器来识别欺诈活动，与示例性实施例一致。

具体实施方式

图1从概念上说明了一个管理网络100，其具有检测管理网络100中的欺诈广告和对广告的欺诈响应的欺诈监控器102，与公开的一个实施例一致。该图说明了在应用程序级别上托管网络100上的数据流量。

托管网络100是由Internet服务提供商（ISP）管理的网络。ISP管理网络的操作，配置和监控其物理组件（如路由器、交换机）、仪器数据流量，并从整个网络的物理组件收集其他类型的遥测数据。托管网络100可以是由蜂窝服务提供商管理的蜂窝网络的一部分。在一些实施例中，受管网络是一个自组织网络（SON），实现用于细胞网络的自动配置、优化、诊断和修复的功能集合。

如图所示，托管网络100连接各种应用程序实体，如网站104、广告交换106、广告提供商108和网站访问者110。托管网络100有助于这些实体之间以数据包的形式交换数据。通过托管网络100发送数据的一些应用程序实体可能是欺诈行为人，例如欺诈内容提供商112或欺诈网站访问者114。应用程序实体交换的某些数据包由托管网络100的仪器或遥测基础设施作为仪器数据进行监视或截获。仪表数据（包括监控数据包）被转发至欺诈监控102。

网站104是内容提供商，可以在其内容中加入广告以产生收入。网站可以是新闻网站、社交媒体网站、搜索引擎或任何类型的邀请公众访问的网站。广告提供商108提供可纳入网站104的广告。广告交易所106提供了一个平台，广告商和网站运营商在该平台上买卖网站空间和媒体广告库存。网站访问者点击广告次数达到110次或更多时，其流量更大的网站可通过广告交换106向广告提供商108收取更高的费用或收入。

欺诈性内容提供商112是产生欺诈性广告或其他类型的欺诈性内容的恶意行为者，这些内容可以发送到网站。欺诈性广告或内容旨在诱使不知情的访问者点击，这可能导致访问者下载恶意软件或将访问者重定向到欺诈性网站。

欺诈网站访问者114向网站生成欺诈流量，以欺诈网站运营商或欺诈根据点击次数付费的广告商。欺诈性网站访问者也可能是为了窃取信息或干扰网站正常运行而产生欺诈性流量的黑客。

欺诈监控102是托管网络100中的一个实体，它使用托管网络100的遥测基础设施来监控网络中的数据流量以进行欺诈活动。在一些实施例中，托管网络100的数据转发元素可以截获在网络的任意两个端点之间移动的数据包，并将截获的数据包作为仪器数据转发到欺诈监视器102。欺诈监控102还可以使用管理网络100的管理职能部门可用的信息来检测欺诈内容或欺诈数据流量。网络100的管理功能可用的信息可以包括托管网络100的单个用户的帐户信息116和托管网络的配置信息118（例如，网络100物理资源的配置数据或标识数据）。一些信息可用于受管网络100的管理功能，作为网络自我配置或自我优化功能的一部分。至少一些可用于网络管理的信息对普通网站运营商、网站访问者、广告商等不可用。

图2从概念上说明了受管网络100的物理实现，与公开的一个实施例一致。托管网络100是一个移动或蜂窝网络200，具有能够从网络100的物理组件收集和传递仪器或遥测数据的物理基础设施。如图所示，蜂窝网络200的物理组件包括无线接入网络202、核心网络204和计算资源206。一组网络管理功能208与无线接入网络202、核心网络204和计算资源206通信，以接收遥测信息并在蜂窝网络200中传送配置数据。在一些实施例中，网络管理208实施欺诈监控102。

无线接入网络202是由基站、宏蜂窝、微蜂窝、热点或其他类型的无线接入设施组成的网络，允许用户设备210访问蜂窝网络200。诸如智能手机、平板电脑、笔记本电脑、台式电脑或其他类型的计算设备等用户设备可以在蜂窝网络200的操作员处建立帐户，并通过本地基站、宏蜂窝、微蜂窝访问网络。或无线接入网络202中的热点。正在访问蜂窝网络200的用户设备可以操作作为受管网络100中的网站104、广告交换106、广告提供商108或网站访问者110的应用程序。

核心网络204是蜂窝网络的主干。核心网络包括路由器、交换机或其他类型的数据转发元素，用于在不同网络端点之间进行数据通信（例如，数据包通信）。这些网络端点可以包括用户设备、基站或无线接入网络202中的热点，以及任何计算资源206。核心网络204还提供对外部网络（如互联网）的访问。

计算资源206包括可通过核心网络204访问的服务器、存储器、处理器等。计算资源可以承载和操作充当网站104、广告交换106、广告提供商108或网站访问者110的客户端应用程序。计算资源206还可以执行蜂窝网络200的管理功能，包括网络管理功能208。

在一些实施例中，核心网络204和计算资源206由一个或多个数据中心提供。在其中一些实施例中，核心网络204中的转发元素（例如路由器和交换机）由运行管理程序的计算设备实现，而计算资源206则由这些计算设备中的虚拟机实现。

网络管理功能208处理蜂窝网络200的管理操作。这些操作可能包括自我优化、自我配置和自我修复操作。网络管理功能208通过与核心网络204和计算资源206的组件交换网络信息212来执行自我优化。交换的数据有助于确定网络的流量分布、拓扑结构、传播和干扰。交换的数据可以包括数据包的头，这些数据包指示数据流量的来源和目的地、要在网站中显示的广告内容，以及到网站的其他类型的流量，例如单击。

网络管理功能208通过与无线接入网络202的组件交换配置数据、标识数据和位置数据来执行自我配置。这些数据可能包括蜂窝网络200物理组件（如基站）的配置参数和地理位置。

网络管理功能208接收来自无线接入网络202、核心网络204、计算资源206和管理网络100的其他物理组件的各种类型的网络信息212。网络信息212包括被管理网络的配置数据，如物理资源配置信息、物理资源的标识信息。网络信息212还包括来自网络各种物理组件的受管网络100的仪器数据。这些检测数据包括来自网络中不同端点的数据包的内容和头。网络管理功能208还可以访问蜂窝网络200运营商可用的信息，例如帐户信息和服务级别协议（SLA）。帐户信息设置了蜂窝网络200的用户或订户（如站点访问者110）如何使用蜂窝网络200的策略，以及客户端应用程序（如网站104）如何在托管网络100中运行的策略。网络管理功能208收集的网络信息212也可用于欺诈监控102。

计算资源206的一个组件可以实现网络管理功能208。网络管理功能208可以由一台或多台物理机实现，也可以由数据中心中的管理程序操作的一台或多台虚拟机实现。在集中式网络方案中，网管功能208可以集中在高阶网络节点附近或网络运营支持系统（OSS）附近。在分布式网络方案中，网络管理功能208可以分布在网络边缘的网络元素之间，例如无线接入网络202中的enodeb（eveloved node b）基站。在一些实施例中，实施网络管理功能208的物理机或虚拟机也实施欺诈监控102。

欺诈监控示例

图3是显示欺诈监视器102的各种组件的框图，与本发明的一个实施例一致。欺诈监控102在计算机设备300上实现，该设备也实现网络管理功能208。

计算设备300可以是通用计算机，例如台式计算机、平板电脑、笔记本电脑、服务器或其他能够接收输入、处理输入和生成输出数据的电子设备。在一些实施例中，计算设备300可以是云中托管的虚拟机或软件容器形式的虚拟计算设备。

计算设备300可配备通信接口302、一个或多个处理器304、设备硬件306和存储器308。通信接口302可包括无线或有线通信组件，使计算设备能够通过专用有线连接或通过通信网络（例如，托管网络100）向其他设备发送数据并接收来自其他设备的数据。设备硬件306可包括执行用户界面、数据显示、数据通信、数据存储或其他服务器功能的附加硬件。

存储器308可使用计算机可读介质（例如计算机存储介质）实现。计算机可读介质至少包括两种计算机可读介质，即计算机存储介质和通信介质。计算机存储介质可以包括以任何方法或技术实现的易失性和非易失性、可移动和不可移动介质，用于存储信息，如计算机可读指令、数据结构、程序模块或其他数据。计算机存储媒体可包括但不限于RAM、ROM、EEPROM、闪存或其他存储技术、CD-ROM、数字多功能磁盘（DVD）或其他光学存储、磁带、磁带、磁盘存储或其他磁存储设备或任何其他非传输设备。一种存储信息以供计算设备访问的介质。相反，通信媒体可以在调制的数据信号中包含计算机可读的指令、数据结构、程序模块或其他数据，例如载波或其他传输机制。

计算设备300的处理器304和存储器308可实现操作系统310和网络管理程序312。操作系统310可包括使计算设备300能够通过各种接口（例如，用户控制、通信接口或存储器输入/输出设备）接收和传输数据的组件，以及使用处理器304生成输出的处理数据的组件。操作系统310可包括表示输出的表示组件（例如，在电子显示器上显示数据、将数据存储在存储器中、将数据传输到另一电子设备等）。此外，操作系统310可能包括执行与操作系统相关的各种附加功能的其他组件。

网管程序312实现网管功能208。在一些实施例中，网络管理程序312实现子功能，以便蜂窝网络200执行自我优化、自我配置和自我修复操作。网络管理程序312通过接收子信息（如物理资源配置信息、物理资源的标识信息、数据包的内容和头）来监视蜂窝网络200。

欺诈检测程序314执行欺诈监控102。欺诈检测程序314根据一套欺诈检测策略316运行。欺诈检测程序314分析网络管理程序312接收到的各种类型的网络信息212，并确定接收数据中可能存在的欺诈内容或数据流量，以查看是否违反了欺诈检测策略316。此类网络信息可包括各种网络组件（包括路由器、交换机和网桥）提供的网络遥测信息。

欺诈检测计划314可以访问账户信息318，其中可能包括服务水平协议（SLA）320。这些信息可供蜂窝网络的运营商使用，并可供网络管理程序312使用。

欺诈检测程序314具有用于识别数据内容源的包源标识符322。网络管理程序312具有物理资源标识信息和物理资源配置信息，当与包头信息结合时，可以用来跟踪或确定数据流量的来源。

欺诈检测程序314还包括数据包统计分析仪324。由于网络管理程序312从受管网络100的组件接收与流量配置、拓扑结构、传播和干扰相关的数据，因此数据包统计分析器324对来自不同网络端点的不同类型的数据包进行统计。在一些实施例中，欺诈检测程序314将基于机器学习的分类器应用于编译的数据包统计以及网络信息212的内容，以识别异常的网络流量或欺诈活动。

欺诈检测程序314还包括图形内容分析仪326，它检查接收到的网络信息中的图形内容，以识别可视对象。欺诈检测程序还包括文本内容分析器328，它检查接收到的网络信息中的文本内容，以确定主题或主题。文本内容分析器328还可以包括情绪分析器330，它分析文本内容以确定说话者、作者的态度，或对文档、交互或事件的整体上下文极性或情绪反应。

图4-5从概念上说明了在托管网络中执行欺诈检测的过程400，与披露的一个实施例一致。执行网管功能208或蜂窝网络200的欺诈监视器102的计算设备执行该过程400。欺诈监控102分析网络信息212以检测欺诈。具体来说，欺诈监控分析仪器数据，以根据网络的配置数据、标识数据和帐户信息检测违反欺诈检测策略的行为。

流程400以逻辑流程图中的一组块为例进行说明，逻辑流程图表示可以在硬件、软件或其组合中实现的一系列操作。在软件的上下文中，这些块表示计算机可执行指令，当由一个或多个处理器执行时，执行所述操作。通常，计算机可执行指令可以包括执行特定功能或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。描述操作的顺序不应被解释为限制，并且可以以任何顺序或并行方式组合任意数量的描述块来实现该过程。为便于讨论，参考实现网络管理功能208和欺诈监控102的计算设备300来描述流程400。

在块402处，网络管理功能208从蜂窝网络的仪器接收网络信息212。网络信息可以包括物理资源配置信息、物理资源标识信息和数据包（有效负载内容和头）。至少部分网络信息来自无线接入网络202、核心网络204和蜂窝网络200的计算资源206的仪器，作为网络自我配置和自我优化功能的一部分。

在块404处，网络管理功能208标识与网络信息内容相关联的用户或客户端帐户。例如，欺诈监控程序102可以检查被检测数据包的报头，以识别正在发送数据包的计算资源中运行的客户端应用程序。

在块406上，网络管理功能208检索与标识的客户机帐户相关联的帐户信息。

在块408处，网络管理功能208或欺诈监控102根据接收到的网络信息更新数据包统计。网络信息可以包括从特定网络端点或从多个网络端点检测到的数据包。网管功能208可以对不同类型的数据包的混合情况进行统计，或者对一天中不同时间或一周中不同日期的数据包进行统计等。

在模块410上，欺诈监控102（作为网络管理功能208的一部分）将基于机器学习的分类器应用于数据包统计以及检测欺诈活动的仪表化网络信息内容。根据分类器的输出，当检测到的网络信息或数据包统计信息的内容以违反欺诈检测策略的方式检测到偏离预期模式时，欺诈监控程序102可能会发出警报。这种检测到的偏差的例子可能包括当数据包统计数据显示在意外时间或从意外来源突然涌出特定类型的数据包时。基于机器学习的欺诈检测将参考图6进一步描述。

在块412中，欺诈监控程序102报告违反已标识用户帐户的SLA的数据包统计信息。例如，欺诈监控102可以通过检查来自这些用户的数据流量来确定广告提供商108或广告交易所106是否遵守其SLA。蜂窝网络运营商和特定用户之间的SLA可以指定一定数量的数据流量或特定的数据包组合。欺诈监控器检查针对SLA的数据包统计信息，以检测可能的欺诈数据流量。例如，从特定网络端点发出的异常点击数用作识别点击场的指示。

在块414中，欺诈监视器102识别发送数据包的物理资源。在一些实施例中，欺诈监控器可以访问现场外基站或热点的配置数据和物理位置信息。根据这些信息，欺诈监控人员可以识别被监控数据的物理来源。

在416区，欺诈监控102检测并报告数据包流量，其检测到的实际源位置与声称发送方的账户信息相矛盾。例如，当监控的数据流量来自国外的基站时，欺诈监控102可能会生成警报，而生成数据流量的客户端应用程序属于国内用户帐户。

在块418上，欺诈监视器102对网络信息中的数据包内容执行图形内容分析。网络信息可以包括属于网站或广告的图形和文本内容。欺诈监控程序执行图形内容分析（例如，在图形内容分析器326上）以识别对象或主题。

在Block 420中，欺诈监控报告在网络信息的图形内容中识别出违反欺诈检测策略或SLA的对象（例如，非法项目、色情或其他令人反感的项目等）。

在模块422上，欺诈监控程序识别与图形内容相关的监控数据中的文本内容。

在模块424上，欺诈监控程序执行文本内容分析，以识别所识别文本的主题。欺诈监察员还可以对已识别的文本内容（例如，在情绪分析仪330上）进行情绪分析，以识别文本内容的情绪特征。

在模块426，欺诈监控102报告文本内容，其确定的主题或情感与文本内容的相关图形内容不一致。图形内容和文本内容之间的不一致性被用作欺诈广告或其他形式违反欺诈检测策略的指示。

在428区，欺诈监控102报告文本或图形内容与声称发送者的账户信息不一致。帐户信息可能包括发件人的身份（例如，URL地址）。如果内容的主题或情感与发送者的已知身份不一致，欺诈监控程序将生成警报。

图6说明了基于机器学习的欺诈检测，与示例性实施例一致。具体来说，欺诈监控102将基于机器学习的分类器应用于仪表化网络信息，以识别欺诈活动。

如图所示，欺诈监控102接收仪表化网络流量500，它可能是无线接入网络202、核心网络204、计算资源206或管理网络100的其他物理组件提供的网络信息212的一部分。网络流量500可以包括加密流量和未加密流量。监控的网络流量由内容特征分类器502、网络统计收集器504、统计特征分类器506和异常活动检测器508处理。

内容特征分类器502根据基于网络流量内容可检测到的特征对检测到的网络流量500进行分类。例如，内容特征分类器502可以包括广告流量分类器，该分类器由机器学习训练以识别广告相关的流量。此类分类器的训练集可以是一组未加密的网络流量，这些流量是基于已知的广告商列表进行标记的。内容特征分类器502可能包括其他类型的分类器，例如，用于识别数据包来源的分类器（例如，来自哪个国家）、内容类型（例如，图形或文本）等。在一些实施例中，内容特征分类器502在欺诈监控器102的正常操作期间继续机器学习过程。

网络统计信息收集器504从仪表化网络流量500收集各种统计信息。这些统计数据可能包括特定时间段、特定IP地址、特定帐户、蜂窝网络200的特定物理资源等的数据包计数或平均数据包大小。这些统计数据还可以包括基于内容特征分类器502检测到的特征的统计数据，例如，标识为广告的数据包数量、标识为来自特定来源的数据包数量、特定类型的数据包数量等。

统计特征分类器506根据网络统计收集器504收集的统计信息识别网络流量中的特征。统计特征分类器506可以包括未经监督的分类器，这些分类器经过训练以检测特定类型、特定帐户、特定来源、特定时间段等的异常流量。

异常活动检测器508生成异常或可疑欺诈活动的报告或通知510。报告是根据内容特征分类器502和统计特征分类器506检测到的网络流量特征生成的。在一些实施例中，根据欺诈检测策略316配置异常活动检测器508，以指定报告异常活动的条件。

Claims (8)

1.一种诈骗监控程序，执行时使一个或多个处理器执行包括：接收受管网络的物理资源的配置数据和标识数据的操作；接收所管理网络中的包流量仪表数据；接收所管理网络的帐户信息；以及分析所接收的仪器数据，以检测违反欺诈检测策略的行为，所述欺诈检测策略基于所接收的配置数据、标识数据或帐户信息阻止恶意或欺诈性的在线广告活动。

2.根据权利要求1所述的诈骗监控程序，其中所述仪器数据包括与所述图形内容相关的图形内容和文本内容，其中，分析仪器数据包括检测与相关图形内容不一致的文本内容。

3.根据权利要求1所述的诈骗监控程序，其中所述仪器数据包括图形内容，其中，分析所述仪器数据包括识别图像中违反欺诈检测政策的对象。

4.根据权利要求1所述的诈骗监控程序，其中所述仪器数据包括文本内容，其中所述仪器数据的分析包括对所述文本内容进行情感分析。

5.根据权利要求1所述的诈骗监控程序，其中，分析所述仪器数据包括将基于机器学习的分类器应用于数据包统计和仪器数据的内容，以识别异常的网络流量。

6.根据权利要求1所述的诈骗监控程序，其中，分析所述仪器数据包括检测所述仪器数据中与所述内容的发送者身份不一致的内容。

7.根据权利要求1所述的诈骗监控程序，其中，分析所述仪器数据包括使用所述配置数据以及管理网络中物理资源的标识数据，以标识与所述仪器数据的内容相关联的物理位置，并检测与所确定的物理位置不一致的内容的发送者的标识。

8.根据权利要求1所述的诈骗监控程序，其中所述帐户信息包括特定帐户的服务级别协议（SLA）；其中，分析接收到的仪器数据以检测违反欺诈检测策略的行为，包括从违反特定帐户的SLA的特定帐户识别数据流量。

Images