CN113312560B - 群组检测方法、装置及电子设备 - Google Patents

Abstract

本公开提供了群组检测方法、装置及电子设备，涉及网络安全技术领域。具体实现方案为：获取第一群组，第一群组包括关联的N个异常账号；获取第一群组所使用的目标网络地址，目标网络地址为N个异常账号所使用的网络地址中满足第一预设条件的网络地址，第一预设条件包括：N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；获取与第一群组共享目标网络地址的目标账号；确定目标账号与第一群组的第一关系；在第一关系表征目标账号与第一群组存在关联关系的情况下，生成第二群组。本公开解决了群组检测技术存在的对黑产团伙的检测效果较差的问题，提高了对黑产团伙的检测效果。

Description

群组检测方法、装置及电子设备

技术领域

本公开涉及数据处理技术领域，尤其涉及网络安全技术领域，具体涉及一种群组检测方法、装置及电子设备。

背景技术

随着网络技术的高速发展，一些网络应用上的UGC(User Generated Content，用户生成内容)产品得到了广泛使用，很多用户会通过账号使用UGC产品如社区论坛、直播和信息流等进行内容发布。

然而，UGC产品会经常性地受到大规模黑产团伙有组织地攻击，比如，黑产团伙会使用租来或盗来的批量账号，大规模地使用UGC产品发布违禁内容，这不仅会带来严重的负面影响，而且可能会让UGC产品面临监管风险，因此需要对黑产团伙进行检测。

目前，通常是基于账号发布的内容和行为等特征进行建模，并基于建模得到的内容特征和行为特征对黑产团伙的作弊账号进行检测。

发明内容

本公开提供了一种群组检测方法、装置及电子设备。

根据本公开的第一方面，提供了一种群组检测方法，包括：

获取第一群组，第一群组包括关联的N个异常账号，N为大于1的整数；

获取第一群组所使用的目标网络地址，目标网络地址为N个异常账号所使用的网络地址中满足第一预设条件的网络地址，第一预设条件包括：N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；

获取与第一群组共享目标网络地址的目标账号；

确定目标账号与第一群组的第一关系；

在第一关系表征目标账号与第一群组存在关联关系的情况下，生成第二群组，第二群组为存在作弊风险的群组，第二群组包括第一群组和目标账号。

根据本公开的第二方面，提供了一种群组检测装置，包括：

第一获取模块，用于获取第一群组，第一群组包括关联的N个异常账号，N为大于1的整数；

第二获取模块，用于获取第一群组所使用的目标网络地址，目标网络地址为N个异常账号所使用的网络地址中满足第一预设条件的网络地址，第一预设条件包括：N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；

第三获取模块，用于获取与第一群组共享目标网络地址的目标账号；

确定模块，用于确定目标账号与第一群组的第一关系；

生成模块，用于在第一关系表征目标账号与第一群组存在关联关系的情况下，生成第二群组，第二群组为存在作弊风险的群组，第二群组包括第一群组和目标账号。

根据本公开的第三方面，提供了一种电子设备，包括：

至少一个处理器；以及

与至少一个处理器通信连接的存储器；其中，

存储器存储有可被至少一个处理器执行的指令，该指令被至少一个处理器执行，以使至少一个处理器能够执行第一方面中的任一项方法。

根据本公开的第四方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，该计算机指令用于使计算机执行第一方面中的任一项方法。

本公开解决了群组检测技术存在的对黑产团伙的检测效果较差的问题，提高了对黑产团伙的检测效果。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本公开的限定。其中：

图1是根据本公开第一实施例的群组检测方法的流程示意图；

图2是基于N个异常账号构建的节点图之一；

图3是基于N个异常账号构建的节点图之二；

图4是黑产团伙中新增目标账号后构建的节点图；

图5是根据本公开第二实施例的群组检测装置的结构示意图；

图6示出了可以用来实施本公开的实施例的示例电子设备的示意性框图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

第一实施例

如图1所示，本公开提供一种群组检测方法，包括如下步骤：

步骤S101：获取第一群组，第一群组包括关联的N个异常账号。

本实施例中，群组检测方法涉及数据处理技术，具体涉及网络安全技术领域，其可以广泛应用于UGC产品如社区论坛、直播和信息流等中。该方法可以由本公开实施例的群组检测装置执行。而群组检测装置可以配置在任意电子设备中，以执行本公开实施例的群组检测方法，该电子设备可以为服务器，也可以为终端，这里不做具体限定。

其中，N为大于1的整数。

第一群组可以为存在作弊风险的群组，可以称之为黑产团伙，在该黑产团伙中，其内的账号均为异常账号，可以称之为作弊账号。也就是说，第一群组是由一些异常账号，基于某种目的如通过发帖、回复、点赞和关注等行为带来违规引流内容的曝光，而聚合在一起的黑产团伙。换句话说，若要形成第一群组，需要满足两个条件，第一个条件是存在多个异常账号，第二个条件是这多个异常账号是关联的，其关联可以指的是直接关联，也可以指的是间接关联，这里不进行具体限定。

异常账号与普通账号相比，其通常具有明显的特征差异，具体为活动频次高，活动时间比较集中且通常集中在深夜，与普通账号互动少等。

第一群组的数据表征方式可以通过数据对象来表征，第一群组内所包括的异常账号和异常账号之间的关联可以通过数据元素和数据项来表示。

第一群组的数据表征方式也可以通过节点图来表征，可以创建第一群组内每个异常账号的节点，以及若第一群组内的不同异常账号之间存在关联关系，则可以创建存在关联关系的异常账号对应的节点之间的边，从而构建第一群组的节点图。

第一群组的获取方式可以包括多种，比如，可以获取预先存储的包括多个异常账号的群组作为第一群组，也可以接收其他电子设备发送的第一群组，还可以获取已知的多个异常账号，确定这多个异常账号的关系，基于这多个异常账号的关系生成第一群组，其具体生成过程可以在以下实施方式中进行详细说明，这里不进行具体阐述。

另外，第一群组的数量可以为1，也可以大于1，这里不进行具体限定。

步骤S102：获取第一群组所使用的目标网络地址，目标网络地址为N个异常账号所使用的网络地址中满足第一预设条件的网络地址，第一预设条件包括：N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值。

目标网络地址可以为IP(Internet Protocol，网际互联协议)地址，也可以为TCP(Transmission Control Protocol，传输控制协议)地址，这里不进行具体限定。

目标网络地址可以为与第一群组有关联关系的可疑网络地址，其可以为第一群组所使用的网络地址。

以IP地址为例，可以获取第一群组所使用的所有IP地址，确定每个IP地址的权重，该权重表征IP地址的可疑程度，在IP地址的权重表征该IP地址高度可疑的情况下，将该IP地址确定为第一群组所使用的目标网络地址。

其中，IP地址的权重的取值范围可以为[0,1]，其取值可以为连续值，也可以为离散值，这里不进行具体限定。

可以基于IP地址被N个异常账号所使用的频次，和/或，N个异常账号中使用IP地址的异常账号的数量，来确定该IP地址的权重。比如，针对一个IP地址，若该IP地址被N个异常账号所使用的频次大于第一阈值，和/或，N个异常账号中使用该IP地址的异常账号的数量大于第二阈值，则可以将该IP地址的权重设定为1，否则将该IP地址的权重设定为0。

又比如，针对一个IP地址，若该IP地址被N个异常账号所使用的频次，和/或，N个异常账号中使用该IP地址的异常账号的数量越大，则该IP地址的权重越大，否则越小。

针对每一第一群组，可以获取该第一群组所使用的目标网络地址。具体可以基于第一群组所使用的所有IP地址的权重，从这些IP地址中获取高度可疑的IP地址，即目标网络地址。具体的，在IP地址的权重大于或等于某一数值如数值1时，则认为该IP地址高度可疑。

第一阈值和第二阈值可以根据实际情况进行设定，且第二阈值小于或等于N。

步骤S103：获取与第一群组共享目标网络地址的目标账号。

目标账号可以为可疑的作弊账号，即该步骤中，是通过可疑的网络地址，来查询可疑的作弊账号，具体可以从日志数据中查询使用过目标网络地址的账号作为与该第一群组有关联关系的可疑的作弊账号，这些可疑的作弊账号与第一群组共享目标网络地址。

在一可选实施方式中，可以查询使用过高度可疑的IP地址的账号作为与该第一群组有关联关系的可疑的作弊账号。

步骤S104：确定目标账号与第一群组的第一关系。

该步骤中，第一关系可以包括两种，第一种可以为目标账号与第一群组存在关联关系，可以用数值1标识，第二种可以为目标账号与第一群组不存在关联关系，可以用数值0标识。

其中，目标账号与第一群组存在关联关系的确定方式可以存在多种，比如，可以在目标账号与第一群组内每一异常账号均存在关联关系的情况下，则确定目标账号与第一群组存在关联关系。

又比如，可以在目标账号与第一群组内任一异常账号存在关联关系的情况下，则确定目标账号与第一群组存在关联关系。

还比如，可以在目标账号与第一群组内异常账号存在关联关系的数量或比例达到某一数值的情况下，则确定目标账号与第一群组存在关联关系。

在一可选实施方式中，可以通过确定目标账号与第一群组内每个作弊账号的第二关系，来确定目标账号与第一群组的第一关系。具体的，如果第一群组内与目标账号存在关联关系的作弊账号的数量大于第四阈值，和/或，第一群组内与目标账号存在关联关系的作弊账号在第一群组的比例大于第五阈值时，则可以确定第一关系为目标账号与第一群组存在关联关系，否则确定第一关系为目标账号与第一群组不存在关联关系。

另外，可以通过确定目标账号与第一群组内作弊账号的关联权重，基于关联权重来确定目标账号与第一群组内作弊账号的关系，若目标账号和第一群组内作弊账号在规定时间内使用了相同的网络地址，且所使用的相同网络地址的数量达到设定阈值，和/或，使用频次达到设定阈值，则确定目标账号与第一群组内作弊账号的关联权重为1，相应的，确定目标账号和第一群组内作弊账号存在关联关系。

步骤S105：在第一关系表征目标账号与第一群组存在关联关系的情况下，生成第二群组，第二群组为存在作弊风险的群组，第二群组包括第一群组和目标账号。

该步骤中，在第一关系表征目标账号与第一群组存在关联关系的情况下，可以将目标账号与第一群组进行关联，以生成第二群组，第二群组包括第一群组和目标账号。

其中，将目标账号与第一群组进行关联指的是将目标账号与第一群组内作弊账号进行关联。在具体实现过程中，可以创建目标账号与第一群组内与目标账号存在关联关系的作弊账号之间的边，以构建第二群组的节点图。

当所有的第一群组完成新增可疑的作弊账号之后，表征黑产团伙的节点图会进行更新，可以将更新的节点图表征的黑产团伙作为第一群组，进一步递归调用本实施例的步骤来扩充新的作弊账号，直到没有新增的作弊账号添加到节点图中，整个过程完成，最终完成黑产团伙的检测。

本实施例中，通过构建已知作弊账号的小黑产团伙，获取小黑产团伙所使用的高度可疑的网络地址，并通过查询使用过高度可疑的这些网络地址的目标账号，确定目标账号与该小黑产团伙的第一关系，在第一关系表征目标账号与第一群组存在关联关系的情况下，生成包括该小黑产团伙和目标账号的黑产团伙，从而逐渐扩大黑产团伙的规模，进而提高对黑产团伙的检测效果。并且，可以对某个具体黑产事件具有更高的响应性。

可选的，步骤101具体包括：

获取M个异常账号，M为大于1的整数；

确定M个异常账号中每两个异常账号的关联权重，得到至少一个关联权重，关联权重基于两个异常账号在预设时间内所使用的相同网络地址的数量和/或使用频次确定；

在至少一个关联权重中存在目标关联权重的情况下，将目标关联权重对应的N个异常账号进行关联，得到第一群组，目标关联权重为至少一个关联权重中大于或等于第三阈值的关联权重。

本实施方式中，M个异常账号可以为已知的作弊账号，其获取方式可以包括多种，比如，可以是基于现有的或新的检测方式所检测出来的存在作弊行为的账号，在一可选实施方式中，可以基于账号发布的内容和行为等特征进行建模，并基于建模得到的内容特征和行为特征对作弊账号进行检测。又比如，可以获取预先存储的M个异常账号。还比如，可以接收其他电子设备发送的M个异常账号。

可以基于两个异常账号在预设时间内所使用的相同网络地址的数量和/或使用频次，确定M个异常账号中每两个异常账号的关联权重，得到至少一个关联权重。具体的，当两个异常账号在规定时间内使用的相同IP地址的数量达到设定阈值，和/或，两个异常账号使用共享IP集合的使用频次达到设定阈值，则确定这两个异常账号之间存在关联关系，关联权重设为1，否则关联权重设为0。

比如，第一群组包括异常账号A、异常账号B和异常账号C，可以确定异常账号A和异常账号B之间的关联权重，异常账号A和异常账号C之间的关联权重，以及异常账号B和异常账号C之间的关联权重，得到3个关联权重。

在至少一个关联权重中存在目标关联权重的情况下，将目标关联权重对应的N个异常账号进行关联，得到第一群组，目标关联权重可以为大于或等于第三阈值的关联权重，该目标关联权重表征两个异常账号存在关联关系。其中，第三阈值可以根据实际情况进行设置，如设置为大于0，且小于或等于1的值。

在具体实现过程中，如图2所示，可以创建M个异常账号中每个异常账号的节点，图2中包括6个异常账号的节点，分别为节点201、节点202、节点203、节点204、节点205和节点206。

之后，可以确定这6个异常账号中每两个异常账号的关联权重，得到至少一个关联权重，将至少一个关联权重中目标关联权重对应的N个异常账号的节点以边的形式进行连接。

如图3所示，节点201对应的异常账号和节点202对应的异常账号的关联权重为目标关联权重，节点202对应的异常账号和节点203对应的异常账号的关联权重为目标关联权重，创建节点201和节点202之间的边，以及节点202和节点203之间的边。这样，可以将目标关联权重对应的N个异常账号进行关联，得到一个小连通子图301，该连通子图组成的团伙即为第一群组，而节点204和节点205也可以以相同的方式连接，得到另一个小连通子图302，该连通子图组成的团伙即为另一个第一群组。

本实施方式中，通过获取已知的M个作弊账号，对已知的小规模作弊账号进行团伙的挖掘，具体通过确定两两作弊账号之间的关联权重，将表征作弊账号之间存在关联关系的目标关联权重对应的作弊账号进行关联，得到第一群组，如此可以基于账号之间的关联行为去挖掘黑产团伙，从而可以提高黑产团伙的挖掘效果。

可选的，步骤S104具体包括：

确定目标账号与第一群组内每个异常账号的第二关系，得到N个第二关系；

在N个第二关系满足第二预设条件的情况下，确定目标账号与第一群组存在关联关系的第一关系；

其中，第二预设条件包括：N个第二关系中目标关系的数量大于第四阈值，和/或，目标关系在N个第二关系中的比例大于第五阈值，目标关系为N个第二关系中表征两个账号存在关联关系的第二关系。

本实施方式中，第二关系可以包括两种情况，第一种情况可以为目标账号与第一群组内异常账号存在关联关系，第二种可以为目标账号与第一群组内异常账号不存在关联关系。

可以通过确定目标账号与第一群组内每个作弊账号的第二关系，来确定目标账号与第一群组的第一关系。具体的，如果第一群组内与目标账号存在关联关系的作弊账号的数量大于第四阈值，和/或，第一群组内与目标账号存在关联关系的作弊账号在第一群组的比例大于第五阈值时，则可以确定第一关系为目标账号与第一群组存在关联关系，否则确定第一关系为目标账号与第一群组不存在关联关系。

其中，第四阈值和第五阈值可以根据实际情况进行设置，第四阈值需要小于N，而第五阈值需要小于1。

另外，可以通过确定目标账号与第一群组内作弊账号的关联权重，基于关联权重来确定目标账号与第一群组内作弊账号的关系，若目标账号和第一群组内作弊账号在规定时间内使用了相同的网络地址，且所使用的相同网络地址的数量达到设定阈值，和/或，使用频次达到设定阈值，则确定目标账号与第一群组内作弊账号的关联权重为1，相应的，确定目标账号和第一群组内作弊账号存在关联关系。

本实施方式中，通过确定目标账号与第一群组内每个异常账号的第二关系，得到N个第二关系；在N个第二关系满足第二预设条件的情况下，确定目标账号与第一群组存在关联关系的第一关系；第二预设条件包括：N个第二关系中目标关系的数量大于第四阈值，和/或，目标关系在N个第二关系中的比例大于第五阈值，目标关系为N个第二关系中表征两个账号存在关联关系的第二关系。如此，可以更加精准地挖掘出目标账号与第一群组的关系。

可选的，步骤S105具体包括：

将目标账号分别与目标关系对应的第一群组内异常账号进行一一关联，得到第二群组。

本实施方式中，将目标账号分别与目标关系对应的第一群组内异常账号进行一一关联的方式可以包括多种，比如，可以将目标账号以及目标账号与第一群组内异常账号的关系写入至第一群组的数据对象中，以更新第一群组的数据对象，相应得到第二群组的数据对象。

其中，目标账号与目标关系对应的第一群组内异常账号的关系可以分别写入1，表征将目标账号与异常账号关联，目标账号与第一群组内其他异常账号的关系可以写入0，表征不将目标账号与异常账号关联。

又比如，可以分别创建目标账号与目标关系对应的第一群组内异常账号之间的边。如图4所示，新增的节点207为目标账号的节点，由于目标账号与节点202对应的异常账号和节点203对应的异常账号均存在关联关系，则相应创建节点207与节点202之间的边以及节点207与节点203之间的边，最终得到一个新的连通子图，该连通子图组成的团伙即为第二群组401。

本实施方式中，通过将目标账号分别与目标关系对应的第一群组内异常账号进行一一关联，得到第二群组。之后可以将第二群组作为新的第一群组，进一步递归调用本实施例的步骤来扩充新的作弊账号，直到没有新增的作弊账号添加到黑产团伙中，整个过程完成，最终完成黑产团伙的检测，从而可以逐渐扩大黑产团伙的规模，进而提高对黑产团伙的检测效果。

可选的，第一群组的数量大于1，步骤S105具体包括：

在与目标账号存在关联关系的第一群组的数量大于1的情况下，将与目标账号存在关联关系的至少两个第一群组进行关联，以得到第二群组；

其中，第二群组包括至少两个第一群组。

本实施方式中，在与目标账号存在关联关系的第一群组的数量大于1的情况下，即两个黑产团伙包括共同的作弊账号时，可以将多个第一群组合并成一个大的黑产团伙。在具体应用中，可以将与目标账号存在关联关系的多个第一群组对应的连通子图进行连通，得到一个大的连通子图，并将目标账号对应的节点分别与这个连通子图中的其他节点进行边连接，实现黑产团伙的检测。如此，可以进一步提高对黑产团伙的检测效果。

第二实施例

如图5所示，本公开提供一种群组检测装置500，包括：

第一获取模块501，用于获取第一群组，第一群组包括关联的N个异常账号，N为大于1的整数；

第二获取模块502，用于获取第一群组所使用的目标网络地址，目标网络地址为N个异常账号所使用的网络地址中满足第一预设条件的网络地址，第一预设条件包括：N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；

第三获取模块503，用于获取与第一群组共享目标网络地址的目标账号；

确定模块504，用于确定目标账号与第一群组的第一关系；

生成模块505，用于在第一关系表征目标账号与第一群组存在关联关系的情况下，生成第二群组，第二群组为存在作弊风险的群组，第二群组包括第一群组和目标账号。

可选的，第一获取模块501包括：

获取单元，用于获取M个异常账号，M为大于1的整数；

第一确定单元，用于确定M个异常账号中每两个异常账号的关联权重，得到至少一个关联权重，关联权重基于两个异常账号在预设时间内所使用的相同网络地址的数量和/或使用频次确定；

第一关联单元，用于在至少一个关联权重中存在目标关联权重的情况下，将目标关联权重对应的N个异常账号进行关联，得到第一群组，目标关联权重为至少一个关联权重中大于或等于第三阈值的关联权重。

可选的，确定模块504包括：

第二确定单元，用于确定目标账号与第一群组内每个异常账号的第二关系，得到N个第二关系；

第三确定单元，用于在N个第二关系满足第二预设条件的情况下，确定目标账号与第一群组存在关联关系的第一关系；

其中，第二预设条件包括：N个第二关系中目标关系的数量大于第四阈值，和/或，目标关系在N个第二关系中的比例大于第五阈值，目标关系为N个第二关系中表征两个账号存在关联关系的第二关系。

可选的，生成模块505包括：

第二关联单元，用于将目标账号分别与目标关系对应的第一群组内异常账号进行一一关联，得到第二群组。

可选的，第一群组的数量大于1，生成模块505包括：

第三关联单元，用于在与目标账号存在关联关系的第一群组的数量大于1的情况下，将与目标账号存在关联关系的至少两个第一群组进行关联，以得到第二群组；

其中，第二群组包括至少两个第一群组。

本公开提供的群组检测装置500能够实现上述群组检测方法实施例实现的各个过程，且能够达到相同的有益效果，为避免重复，这里不再赘述。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质。

图6示出了可以用来实施本公开的实施例的示例电子设备600的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图6所示，设备600包括计算单元601，其可以根据存储在只读存储器(ROM)602中的计算机程序或者从存储单元608加载到随机访问存储器(RAM)603中的计算机程序，来执行各种适当的动作和处理。在RAM603中，还可以存储设备600操作所需的各种程序和数据。计算单元601、ROM602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调整解调器、无线通信收发机等。通信单元609允许设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元601可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元601的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元601执行上文所描述的各个方法和处理，例如群组检测方法。例如，在一些实施例中，群组检测方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元608。在一些实施例中，计算机程序的部分或者全部可以经由ROM602和/或通信单元609而被载入和/或安装到设备600上。当计算机程序加载到RAM603并由计算单元601执行时，可以执行上文描述的群组检测方法的一个或多个步骤。备选地，在其他实施例中，计算单元601可以通过其他任何适当的方法(例如，借助于固件)而被配置为执行群组检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编辑语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入、或者触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、互联网和区块链网络。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务("Virtual Private Server"，或简称"VPS")中，存在的管理难度大，业务扩展性弱的缺陷。服务器也可以为分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开提供的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (8)

1.一种群组检测方法，包括：

获取第一群组，所述第一群组包括关联的N个异常账号，N为大于1的整数；

获取所述第一群组所使用的目标网络地址，所述目标网络地址为所述N个异常账号所使用的网络地址中满足第一预设条件的网络地址，所述第一预设条件包括：所述N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；

获取与所述第一群组共享所述目标网络地址的目标账号；

确定所述目标账号与所述第一群组的第一关系；

在所述第一关系表征所述目标账号与所述第一群组存在关联关系的情况下，生成第二群组，所述第二群组为存在作弊风险的群组，所述第二群组包括所述第一群组和所述目标账号；

所述获取第一群组，包括：

获取M个异常账号，M为大于1的整数；

确定所述M个异常账号中每两个异常账号的关联权重，得到至少一个关联权重，所述关联权重基于两个异常账号在预设时间内所使用的相同网络地址的数量和/或使用频次确定；

在所述至少一个关联权重中存在目标关联权重的情况下，将所述目标关联权重对应的N个异常账号进行关联，得到所述第一群组，所述目标关联权重为所述至少一个关联权重中大于或等于第三阈值的关联权重；

所述确定所述目标账号与所述第一群组的第一关系，包括：

确定所述目标账号与所述第一群组内每个异常账号的第二关系，得到N个第二关系；

在所述N个第二关系满足第二预设条件的情况下，确定所述目标账号与所述第一群组存在关联关系的所述第一关系；

其中，所述第二预设条件包括：所述N个第二关系中目标关系的数量大于第四阈值，和/或，所述目标关系在所述N个第二关系中的比例大于第五阈值，所述目标关系为所述N个第二关系中表征两个账号存在关联关系的第二关系。

2.根据权利要求1所述的方法，其中，所述生成第二群组，包括：

将所述目标账号分别与所述目标关系对应的所述第一群组内异常账号进行一一关联，得到所述第二群组。

3.根据权利要求1所述的方法，其中，所述第一群组的数量大于1，所述生成第二群组，包括：

在与所述目标账号存在关联关系的所述第一群组的数量大于1的情况下，将与所述目标账号存在关联关系的至少两个所述第一群组进行关联，以得到所述第二群组；

其中，所述第二群组包括至少两个所述第一群组。

4.一种群组检测装置，包括：

第一获取模块，用于获取第一群组，所述第一群组包括关联的N个异常账号，N为大于1的整数；

第二获取模块，用于获取所述第一群组所使用的目标网络地址，所述目标网络地址为所述N个异常账号所使用的网络地址中满足第一预设条件的网络地址，所述第一预设条件包括：所述N个异常账号所使用的频次大于第一阈值，和/或，所使用的异常账号的数量大于第二阈值；

第三获取模块，用于获取与所述第一群组共享所述目标网络地址的目标账号；

确定模块，用于确定所述目标账号与所述第一群组的第一关系；

生成模块，用于在所述第一关系表征所述目标账号与所述第一群组存在关联关系的情况下，生成第二群组，所述第二群组为存在作弊风险的群组，所述第二群组包括所述第一群组和所述目标账号；

所述第一获取模块包括：

获取单元，用于获取M个异常账号，M为大于1的整数；

第一确定单元，用于确定所述M个异常账号中每两个异常账号的关联权重，得到至少一个关联权重，所述关联权重基于两个异常账号在预设时间内所使用的相同网络地址的数量和/或使用频次确定；

第一关联单元，用于在所述至少一个关联权重中存在目标关联权重的情况下，将所述目标关联权重对应的N个异常账号进行关联，得到所述第一群组，所述目标关联权重为所述至少一个关联权重中大于或等于第三阈值的关联权重；

所述确定模块包括：

第二确定单元，用于确定所述目标账号与所述第一群组内每个异常账号的第二关系，得到N个第二关系；

第三确定单元，用于在所述N个第二关系满足第二预设条件的情况下，确定所述目标账号与所述第一群组存在关联关系的所述第一关系；

其中，所述第二预设条件包括：所述N个第二关系中目标关系的数量大于第四阈值，和/或，所述目标关系在所述N个第二关系中的比例大于第五阈值，所述目标关系为所述N个第二关系中表征两个账号存在关联关系的第二关系。

5.根据权利要求4所述的装置，其中，所述生成模块包括：

第二关联单元，用于将所述目标账号分别与所述目标关系对应的所述第一群组内异常账号进行一一关联，得到所述第二群组。

6.根据权利要求4所述的装置，其中，所述第一群组的数量大于1，所述生成模块包括：

第三关联单元，用于在与所述目标账号存在关联关系的所述第一群组的数量大于1的情况下，将与所述目标账号存在关联关系的至少两个所述第一群组进行关联，以得到所述第二群组；

其中，所述第二群组包括至少两个所述第一群组。

7.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-3中任一项所述的方法。

8.一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行权利要求1-3中任一项所述的方法。