CN114398465A - 互联网服务平台的异常处理方法、装置和计算机设备 - Google Patents

Abstract

本发明提供了一种互联网服务平台的异常处理方法、装置和计算机设备。该方法包括：从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息；获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。本发明能够从外网态势感知和内网安全两个角度进行异常监测和分析，能够快速识别潜在的数据泄露异常、基础安全异常等，能够更显著提高平台异常识别的敏捷性、准确性、智能性，有效保证互联网资源服务相关数据的数据安全。

Description

互联网服务平台的异常处理方法、装置和计算机设备

技术领域

本发明涉及计算机信息处理领域，具体涉及一种互联网服务平台的异常处理方法、装置和计算机设备。

背景技术

在基于互联网的应用技术中，常常需要在不同的参与方之间进行资源的交换。这里所称的资源是指任何可被利用的物质、信息、金钱、时间等。信息资源包括计算资源和各种类型的数据资源。数据资源包括各个领域中的各种专用数据。在分配资源的过程中，往往需要对用户的资源配置权进行认证，并为不同的用户分配不同的资源配额，所述资源配置权是指用户是否有权获取资源的一种认证，其可以由特定的资源管理机构认证，也可以是资源所有的一方进行认证。所谓资源配额是指该用户在特定时间内可以获得的最高资源额。

与金钱相关的资源通常也称为互联网资源，该互联网资源是指互联网领域中关于资源服务主体与客体的结构、数量、规模、分布及其效应和相互作用关系的一系列对象的总和或集合体，在生产和生活中，只有互联网资源配置有效率，才能实现互联网资源和经济可持续发展。其中，互联网资源可以为资金的总额度，或者等同于资金的资产的额度等等。对于提供互联网资源服务的公司而言，互联网资产中的一部分可用来给个人用户提供资源服务，还有一部分可以给其他的企业用户提供互联网资源服务，其他部分可用来投入到本公司的发展中去，或者进行其他的互联网相关的业务。

在现有互联网资源服务的提供或分配过程中，存在数据泄漏异常、基础安全异常、用户被诈异常等业务安全问题。此外，在现有互联网资源服务的网络舆情监控过程中，多采用人工进行舆情信息的审批和负面舆情信息的上报，监控过程繁琐，且容易因为人工干预产生监测误差而造成数据误差，甚至导致业务安全问题。此外，现有技术中，无法精确识别与互联网资源服务相关的外部异常和内部异常以及业务安全异常，也无法帮助相关业务人员更有效进行异常响应等的技术问题。因此，在互联网资源服务的信息数据监控、数据安全以及数据处理等方面仍存在很大改进空间。

因此，有必要提供一种更优化的互联网服务平台的异常处理方法。

发明内容

为了解决现有技术中无法精确识别与互联网资源服务相关的外部异常和内部异常以及业务安全异常，也无法帮助相关业务人员更有效进行异常响应等的技术问题。

本发明的第一方面提供了一种互联网服务平台的异常处理方法，包括：从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息；获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

根据可选的实施方式，所述对舆情信息进行文本处理包括：利用simihash方法对所监测到的舆情信息的文本内容与特定文本进行近似性判断，并将相似度大于指定值的舆情信息确定为异常舆情信息。

根据可选的实施方式，在对舆情信息的文本内容与特定文本进行近似性判断之前，对所述文本内容根据预定的文本正负向语料库进行情感分析、语义分析，所述语料库是与所述互联网服务平台安全相关的语料库。

根据可选的实施方式，所述对异常人员的异常事件进行识别，得到异常事件信息包括：对异常人员在所述互联网服务平台的后台系统的数据库或数据仓库中进行的异常操作进行监控和识别，以得到异常事件信息。

根据可选的实施方式，所述对异常人员的异常事件进行识别，得到异常事件信息还包括：在所述后台系统中加入监控脚本，以对所述异常人员的异常操作进行监控。

根据可选的实施方式，所述异常处理方法还包括触发联动分析处理，其中，在确定外部舆情信息中包含触发点信息时，触发获取获取所述互联网服务平台的相关业务日志数据，以用于将所述外部舆情信息和所述相关业务日志数据进行联动分析处理。根据可选的实施方式，所述异常评估包括：创建人工跟进工单以经由人工进行异常确认。

根据可选的实施方式，所述异常评估包括：触发聊天机器人对异常人员进行自动聊天以进行异常确认。

根据可选的实施方式，所述异常定位包括：利用flink搭建流式计算引擎，通过规则匹配、神经网络算法或频率分析方法对所监测到的舆情异常或业务异常进行实时分析，并从中找到异常位置和/或异常人员。

根据可选的实施方式，所述异常匹配包括：根据异常舆情信息和异常事件信息在时间、次数、频率的相关性，对所述异常舆情信息和异常事件信息进行匹配。

根据可选的实施方式，还包括：对所述异常舆情信息和异常事件信息进行格式化处理以生成异常日志数据；全量存储所述异常日志数据，以及与该异常日志数据相关的业务数据。

此外，本发明的第二方面还提供了一种互联网服务平台的异常处理装置，包括：第一获取模块，用于从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息；第二获取模块，用于获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；匹配处理模块，用于对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

此外，本发明的第三方面还提供了一种计算机设备，包括处理器和存储器，所述存储器用于存储计算机可执行程序，当所述计算机程序被所述处理器执行时，所述处理器执行如本发明的第一方面所述的异常处理方法。

此外，本发明的第四方面还提供了一种计算机程序产品，存储有计算机可执行程序，所述计算机可执行程序被执行时，实现如本发明所述的异常处理方法。

有益效果

与现有技术相比，本发明通过从互联网获取舆情信息，对该舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果。通过获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，能够得到精确的异常事件信息，能够及时识别潜在的数据泄露异常、基础安全异常，并能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果；通过对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，即通过对外部的异常舆情信息和内部的异常事件信息进行综合分析，能够更有效且快速地进行异常评估和异常定位，并能够更有效进行异常处理操作，还能够更显著提高安全异常识别的敏捷性、准确性、智能性，能够有效保证互联网资源服务相关数据的数据安全。

进一步地，通过使用机器学习模型对所获取的舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，以得到更精确的外部异常舆情信息；通过增设代理组件(即agent组件)，对互联网服务平台的系统日志数据及业务日志数据进行识别，或者通过监控脚本，能够更有效对内部业务人员及其高危行为进行监控，并能够精确得到异常事件信息；通过构建态势感知探针，能够从外网态势感知和内网安全两个角度进行异常监测和分析，以外部舆情信息作为触发点，触发获取相关业务日志数据(即内部业务日志数据)，并通过数据分析引擎对外部舆情信息和内部业务日志数据进行联动分析，由此能够快速识别潜在的数据泄露异常、基础安全异常等，能够更显著提高异常识别的敏捷性、准确性、智能性。

附图说明

为了使本发明所解决的技术问题、采用的技术手段及取得的技术效果更加清楚，下面将参照附图详细描述本发明的具体实施例。但需声明的是，下面描述的附图仅仅是本发明本发明示例性实施例的附图，对于本领域的技术人员来讲，在不付出创造性劳动的前提下，可以根据这些附图获得其他实施例的附图。

图1是本发明的互联网服务平台的异常处理方法的一示例的流程图。

图2是本发明的互联网服务平台的异常处理方法的另一示例的流程图。

图3是本发明的互联网服务平台的异常处理方法的又一示例的流程图。

图4是本发明的互联网服务平台的异常处理装置的一示例的示意性结构框图。

图5是本发明的互联网服务平台的异常处理装置的另一示例的示意性结构框图。

图6是本发明的互联网服务平台的异常处理装置的又一示例的示意性结构框图。

图7是根据本发明的计算机设备的示例性实施例的结构框图。

图8是根据本发明的计算机程序产品的示例性实施例的结构框图。

具体实施方式

现在将参考附图更全面地描述本发明的示例性实施例。然而，示例性实施例能够以多种形式实施，且不应被理解为本发明仅限于在此阐述的实施例。相反，提供这些示例性实施例能够使得本发明更加全面和完整，更加便于将发明构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的元件、组件或部分，因而将省略对它们的重复描述。

在符合本发明的技术构思的前提下，在某个特定的实施例中描述的特征、结构、特性或其他细节不排除可以以合适的方式结合在一个或更多其他的实施例中。

在对于具体实施例的描述中，本发明描述的特征、结构、特性或其他细节是为了使本领域的技术人员对实施例进行充分理解。但是，并不排除本领域技术人员可以实践本发明的技术方案而没有特定特征、结构、特性或其他细节的一个或更多。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

应理解，虽然本文中可能使用第一、第二、第三等表示编号的定语来描述各种器件、元件、组件或部分，但这不应受这些定语限制。这些定语乃是用以区分一者与另一者。例如，第一器件亦可称为第二器件而不偏离本发明实质的技术方案。

术语“和/或”或者“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。

为了进一步改进信息数据监控的精确度，并更精确识别与互联网资源服务相关的外部异常和内部异常以及业务安全异常，本发明提供了一种互联网服务平台的异常处理方法。该方法通过从互联网获取舆情信息，对该舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息。通过获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，能够得到精确的异常事件信息。通过对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，即通过对外部的异常舆情信息和内部的异常事件信息进行综合分析，能够更有效且快速地进行异常评估和异常定位，并能够更有效进行异常处理操作。

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明作进一步的详细说明。为了方便起见，本发明中以互联网数据资源为示例说明互联网资源服务产品定价方法的实施，但本领域技术人员应当理解，本发明亦可以用于其他资源服务产品定价。

实施例1

下面，将参照图1至图3描述本发明的互联网服务平台的异常处理方法的实施例。

图1是本发明的互联网服务平台的异常处理方法的一示例的流程图。

如图1所示，所述异常处理方法包括以下步骤。

步骤S101，从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息。

步骤S102，获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息。

步骤S103，对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

需要说明的是，在本发明中，互联网服务平台是指基于用户设备或客户端的申请而提供例如购物、乘车、地图、外卖、共享单车等的互联网资源服务的服务平台。例如，所述互联网资源服务包括资源使用服务、资源分配服务、资源筹集服务、资源保障服务或互助服务、拼团购买以及乘车服务等等。其中，资源是指任何可被利用的物质、信息、时间，信息资源包括计算资源和各种类型的数据资源。数据资源包括各个领域中的各种专用数据。

首先，在步骤S101中，从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息。

作为一具体实施方式，例如从社交网站、新闻网站或者其他第三方平台等进行信息收集，并从中获取舆情信息。

需要说明的是，在本发明中，所述舆情信息是指反应与互联网服务相关的舆情事项的舆情状态及其变化情况的文本信息。所述舆情事项包括可能会造成互联网服务平台经济损失的异常事件或由异常人员造成的异常事件等。

可选地，对特定用户群(例如telegram群)、论坛等部署机器人，进行实时信息收集或人工跟进等，以获取舆情信息。

进一步地，对所获取或所监测到的舆情信息进行文本处理，以确定为异常舆情信息。

具体地，例如利用simihash方法对所述舆情信息的文本内容与特定文本进行近似性判断，并将相似度大于指定值的舆情信息确定为异常舆情信息。

需要说明的是，simhash作为locality sensitive hash(局部敏感哈希)的一种，主要是将高维的特征向量映射成低维的特征向量，通过两个向量的Hamming Distance(又称汉明距离)来确定文本内容是否重复或者高度近似。此外，所述特定文本是根据历史异常舆情信息所确定的文本内容，例如根据深度神经网络学习模型计算异常值所确定的文本内容。

例如，获取与不同互联网服务类型相关的历史异常舆情信息，确定舆情异常事件及其相关人员，进行舆情异常特征提取，并根据所述舆情异常特征建立语料库。

作为一具体实施方式，从所述历史异常舆情信息中提取历史用户的通话记录数据和/或APP下载信息数据，并基于所述通话记录数据和/或APP下载信息数据，建立信息关系网络图。

具体地，所述信息关系网络图包括相互关联的多个节点以及边，其中，节点包括用户异常节点、舆情异常事物节点等。

进一步地，从所述信息关系网络图中筛选舆情异常特征。例如，从信息关系网络图的关联用户之间的连接信息中提取异常特征变量，其中，该连接信息包括舆情异常事件节点之间的连接关系、用户与各舆情异常事件节点之间的连接关系等。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。在其他实施方式中，还包括使用相关系数CORR对筛选出的异常特征变量进行交叉组合运算，以扩增异常特征变量。

在另一实施方式中，例如从论坛、互联网、社交软件等多个数据源获取获取舆情信息，并根据所获取的舆情信息中用户相关数据，分别刻画黑名单和白名单的人群画像，以形成预设白名单和预设黑名单。

例如，根据所确定的舆情异常事件中相关人员及其相应数据(例如异常特征变量等)，刻画黑名单的人群画像。

在又一实施方式中，如图2所示，所述异常处理方法还包括对所述舆情信息的文本内容进行情感分析、语义分析的步骤S201。

在步骤S201中，对所述舆情信息的文本内容进行情感分析、语义分析。

具体地，在对所述舆情信息的文本内容与特定文本进行近似性判断之前，根据预定的文本正负向语料库，对所述文本内容进行情感分析、语义分析。

在一实施方式中，使用机器学习模型对所述文本内容进行情感分析，使用人工标注标注数据建立训练数据集以训练所述机器学习模型，例如所述训练数据集包括标注有正面情感倾向标签或负面情感倾向标签的文本数据。

具体地，将待预测的文本内容输入到所述机器模型，输出情感倾向预估值。进一步地，根据所计算的情感倾向预估值确定情感倾向。

进一步地，例如，使用BERT预训练模型对所述舆情信息的文本内容进行语义表示，以进行语义向量转换，以得到对应的句向量和每一个词的词向量。但是不限于此，在其他示例中，还可以使用RoBERTa模型、DistilBERT模型、XLNet模型等。进一步地，根据语义向量转换后的句向量和相应的每一词的词向量进行语义分析。

因此，通过使用机器学习模型对所获取的舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，以得到更精确的外部异常舆情信息。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。

接下来，在步骤S102中，获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息。

在一实施方式中，通过增设代理组件(即agent组件)，对互联网服务平台的系统日志数据和业务日志数据进行监控。例如，所述监控包括对业务人员进行监控以识别异常人员和/或异常事件。

具体地，所述互联网服务平台包括与不同互联网服务相对应的一个或多个业务系统，各业务系统均包括系统日志数据(例如Syslog消息数据等)和业务日志数据。

更具体地，获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，其中，对异常人员在所述互联网服务平台的后台系统的数据库或数据仓库中进行的异常操作进行监控和识别，以得到异常事件信息。

对于系统日志数据和业务日志数据(即内部业务日志数据)，例如，从主机安全、业务服务、用户行为三个维度进行监控，在监测到异常人员和/或异常事件的情况下，识别相关异常信息，并获取该相关异常信息以用于数据分析处理。由此，能够及时识别潜在的数据泄露异常、基础安全异常，并能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果。

例如，通过agent组件对互联网服务平台的系统日志数据及业务日志数据(例如业务关键日志数据等)进行识别，并根据判断规则确定内部业务人员及其高危行为，例如所述判断规则包括是否在特定时间内对数据库、数据仓库进行超过指定次数的增加操作、删除操作、更改操作、查询操作，对中的核心数据或关键数据的查询次数大于指定次数，是否在设定时间内执行登录行为，在登录时是否进行身份验证等等。由此，通过agent组件监控服务侧，能够精确得到异常事件信息。

可选地，在所述后台系统中加入监控脚本，并将该监控脚本嵌入各业务系统，以对所述异常人员的异常行为(或异常操作)进行监控，识别异常事件以得到异常事件信息。由此，通过嵌入监控脚本监控业务侧，能够有效对各相关人员进行监控，并能够有效识别异常人员和异常事件。

因此，通过增设代理组件(即agent组件)，对互联网服务平台的系统日志数据及业务日志数据进行识别，或者通过监控脚本，能够更有效对内部业务人员及其高危行为进行监控，并能够精确得到异常事件信息。

在另一实施方式中，还包括对所获取的舆情信息和异常事件信息进行存储和实时处理。

具体地，例如使用分布式数据库(例如hadoop)或Hadoop分布式文件系统(HDFS)对所述舆情信息和异常事件信息进行数据存储，并利用处理系统(例如Kafka开源流处理平台)实时收集全量日志数据以及待存储的信息数据，对存储前的信息数据进行实时处理。

可选地，对所述异常舆情信息和异常事件信息进行格式化处理以生成异常日志数据。接着，全量存储所述异常日志数据，以及与该异常日志数据相关的业务数据。

因此，通过获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，能够得到异常事件信息，能够及时识别潜在的数据泄露异常、基础安全异常，并能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。

接下来，在步骤S103中，对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

具体地，利用flink搭建流式计算引擎，通过规则匹配、神经网络算法或频率分析方法对所监测到的舆情异常或业务异常进行实时分析，并从中找到异常位置和/或异常人员。

具体地，所述异常位置包括互联网服务类型、业务系统、数据处理位置、数据存储位置等。所述异常人员包括数据运维人员、数据管理人员、安全人员、公关人员等等。

进一步地，根据异常舆情信息和异常事件信息在时间、次数、频率的相关性，对所述异常舆情信息和异常事件信息进行匹配。

在一实施方式中，根据发生时间、特定设定时间内发生次数或频率，对所述异常舆情信息和异常事件信息进行匹配。

例如，在发生时间相同，且所述异常舆情信息的相关人员与所述异常事件信息中异常人员有相关性的情况下，确定异常位置和异常人员。

再例如，在所述异常舆情信息的发生时间与异常事件信息的发生时间的时间差值在指定范围内，且所述异常舆情信息的相关人员与所述异常事件信息中异常人员有相关性的情况下，确定异常人员，并根据异常人员所在的业务系统确定异常位置。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。

进一步地，根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

在另一实施方式中，创建人工跟进工单以经由人工进行异常确认，该人工跟进工单包括互联网服务类型、业务系统名称、异常舆情信息的关键文本内容、异常人员、异常事件、异常事件的发生时间。由此，能够更精确地确定异常类型、异常等级。

在又一实施方式中，在确定异常人员时，自动触发相应聊天机器人，所述相应聊天机器人对异常人员进行自动聊天，以进行异常确认。由此，能够进一步精确地确定异常类型和异常系数。

作为一具体实施方式，获取特定历史时间内历史异常事件、异常舆情信息和异常人员信息，并将所述异常事件、异常舆情信息和异常人员信息作为调整参数，拟合异常事件与异常系数的异常趋势变化图。

具体地，使用所述所确定的异常事件，并使用异常趋势变化图确定异常系数。

接着，根据所确定的异常系数，查找异常策略对照表，以从预定异常处理策略中确定相应的控制措施，以进行异常处理操作。例如，更改所述异常人员的数据访问权限或者阻断所述异常人员的业务操作。

在另一实施方式中，将所确定的异常事件信息和异常人员信息输入损害预测模型，计算异常事件对互联网服务平台或互联网服务系统的损害度评估值，并根据所述损害度评估值选择预定异常处理策略中相应的措施，、以异常处理操作。例如对安全人员发送处理异常事件的响应信息，对异常人员发出异常警报信息等。

具体地，例如使用逻辑回归模型、Xgboost模型和/或深度神经网络，建立基于机器学习的损害预测模型，所述损害预测模型计算异常事件的损害度评估值，该损害度评估值为0～1之间的数值。使用训练数据集训练该损害预测模型，所述训练数据集包括标注有损害度的历史异常事件。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。

因此，通过对外部的异常舆情信息和内部的异常事件信息进行综合分析，能够更有效且快速地进行异常评估和定位，并能够更有效进行异常处理操作。

在另一示例中，如图3所示，所述异常处理方法还包括触发联动分析处理的步骤S301。

需要说明的是，由于图3中的步骤S101、S102、S103与图1中的步骤S101、S102、S103大致相同，因此，省略了对图3中的步骤S101、S102、S103的说明。

在步骤S301中，触发联动分析处理。

具体地，在确定外部舆情信息中包含触发点信息时，触发获取获取所述互联网服务平台的相关业务日志数据(即内部业务日志数据)，以用于对外部舆情信息和内部业务日志数据进行联动分析处理。所述联动分析处理包括使用数据分析引擎对外部舆情信息和内部业务日志数据进行分析，例如判断外部疫情信息中的异常用户是否与内部业务日志数据中的异常用户相关联、是否为同一用户，对各异常用户进行异常评估等。

更具体地，所述触发点信息包括异常舆情信息中的相关人员是预设黑名单中用户、舆情异常事件等。

可选地，构建态势感知探针，该态势感知探针用于对外部多通道的数据源进行监测(即外网态势感知)，并监测外部舆情信息中是否包含触发点信息以及是否包含异常舆情信息，其中，所述外部多通道包括论坛、互联网、社交软件等。

因此，通过构建态势感知探针，能够从外网态势感知和内网安全两个角度进行异常监测和分析，以外部舆情信息作为触发点，触发获取相关业务日志数据(即内部业务日志数据)，并通过数据分析引擎对外部舆情信息和内部业务日志数据进行联动分析，由此能够快速识别潜在的数据泄露异常、基础安全异常等，能够更显著提高安全异常识别的敏捷性、准确性、智能性。

上述方法的过程仅用于对本发明的说明，其中，步骤的顺序和数量没有特别的限制。此外，上述方法中的步骤还可以拆分成两个、三个，或者有些步骤也可以合并成一个步骤，根据实际示例进行调整。

与现有技术相比，本发明通过从互联网获取舆情信息，对该舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果。通过获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，能够得到精确的异常事件信息，能够及时识别潜在的数据泄露异常、基础安全异常，并能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果；通过对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，即通过对外部的异常舆情信息和内部的异常事件信息进行综合分析，能够更有效且快速地进行异常评估和异常定位，并能够更有效进行异常处理操作，还能够更显著提高安全异常识别的敏捷性、准确性、智能性，能够有效保证互联网资源服务相关数据的数据安全。

进一步地，通过使用机器学习模型对所获取的舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，以得到更精确的外部异常舆情信息；通过增设代理组件(即agent组件)，对互联网服务平台的系统日志数据及业务日志数据进行识别，或者通过监控脚本，能够更有效对内部业务人员及其高危行为进行监控，并能够精确得到异常事件信息；通过构建态势感知探针，能够从外网态势感知和内网安全两个角度进行异常监测和分析，以外部舆情信息作为触发点，触发获取相关业务日志数据(即内部业务日志数据)，并通过数据分析引擎对外部舆情信息和内部业务日志数据进行联动分析，由此能够快速识别潜在的数据泄露异常、基础安全异常等，能够更显著提高安全异常识别的敏捷性、准确性、智能性。

本领域技术人员可以理解，实现上述实施例的全部或部分步骤被实现为由计算机数据处理设备执行的程序(计算机程序)。在该计算机程序被执行时，可以实现本发明提供的上述方法。而且，所述的计算机程序可以存储于计算机可读存储介质中，该存储介质可以是磁盘、光盘、ROM、RAM等可读存储介质，也可以是多个存储介质组成的存储阵列，例如磁盘或磁带存储阵列。所述的存储介质不限于集中式存储，其也可以是分布式存储，例如基于云计算的云存储。

下面描述本发明的装置的实施例，该装置可以用于执行本发明的方法实施例。对于本发明装置实施例中描述的细节，应视为对于上述方法实施例的补充；对于在本发明装置实施例中未披露的细节，可以参照上述方法实施例来实现。

实施例2

参照图4、图5和图6，本发明还提供了一种互联网服务平台的异常处理装置400，该异常处理装置400包括：第一获取模块401，用于从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息；第二获取模块402，用于获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；匹配处理模块403，用于对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

如图5所示，所述异常处理装置400包括信息处理模块501，即将图4中的第一获取模块401拆分成第一获取模块401和信息处理模块501。所述信息处理模块501用于利用simihash方法对所监测到的舆情信息的文本内容与特定文本进行近似性判断，并将相似度大于指定值的舆情信息确定为异常舆情信息。

具体地，在对舆情信息的文本内容与特定文本进行近似性判断之前，对所述文本内容根据预定的文本正负向语料库进行情感分析、语义分析，所述语料库是与所述互联网服务平台安全相关的语料库。

需要说明的是，simhash作为locality sensitive hash(局部敏感哈希)的一种，主要是将高维的特征向量映射成低维的特征向量，通过两个向量的Hamming Distance(又称汉明距离)来确定文本内容是否重复或者高度近似。此外，所述特定文本是根据历史异常舆情信息所确定的文本内容，例如根据深度神经网络学习模型计算异常值所确定的文本内容。

例如，获取与不同互联网服务类型相关的历史异常舆情信息，确定舆情异常事件及其相关人员，进行舆情异常特征提取，并根据所述舆情异常特征建立语料库。

作为一具体实施方式，从所述历史异常舆情信息中提取历史用户的通话记录数据和/或APP下载信息数据，并基于所述通话记录数据和/或APP下载信息数据，建立信息关系网络图。

具体地，所述信息关系网络图包括相互关联的多个节点以及边，其中，节点包括用户异常节点、舆情异常事物节点等。

进一步地，从所述信息关系网络图中筛选舆情异常特征。例如，从信息关系网络图的关联用户之间的连接信息中提取异常特征变量，其中，该连接信息包括舆情异常事件节点之间的连接关系、用户与各舆情异常事件节点之间的连接关系等。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。在其他实施方式中，还包括使用相关系数CORR对筛选出的异常特征变量进行交叉组合运算，以扩增异常特征变量。

在另一实施方式中，在对所述舆情信息的文本内容与特定文本进行近似性判断之前，根据预定的文本正负向语料库，对所述文本内容进行情感分析、语义分析。

可选地，使用机器学习模型对所述文本内容进行情感分析，使用人工标注标注数据建立训练数据集以训练所述机器学习模型，例如所述训练数据集包括标注有正面情感倾向标签或负面情感倾向标签的文本数据。

具体地，将待预测的文本内容输入到所述机器模型，输出情感倾向预估值。进一步地，根据所计算的情感倾向预估值确定情感倾向。

进一步地，例如，使用BERT预训练模型对所述舆情信息的文本内容进行语义表示，以进行语义向量转换，以得到对应的句向量和每一个词的词向量。但是不限于此，在其他示例中，还可以使用RoBERTa模型、DistilBERT模型、XLNet模型等。进一步地，根据语义向量转换后的句向量和相应的每一词的词向量进行语义分析。

因此，通过使用机器学习模型对所获取的舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，以得到更精确的外部异常舆情信息。

进一步地，所述对异常人员的异常事件进行识别，得到异常事件信息包括：对异常人员在所述互联网服务平台的后台系统的数据库或数据仓库中进行的异常操作进行监控和识别，以得到异常事件信息。

可选地，所述对异常人员的异常事件进行识别，得到异常事件信息还包括：在所述后台系统中加入监控脚本，以对所述异常人员的异常操作进行监控。

如图6所示，所述异常处理装置400包括评估模块601，即将图4中的匹配处理模块403拆分成评估模块601和匹配处理模块403。所述评估模块601用于创建人工跟进工单以经由人工进行异常确认。

在一实施方式中，所述评估模块601还用于触发聊天机器人对异常人员进行自动聊天以进行异常确认。

优选地，利用flink搭建流式计算引擎，通过规则匹配、神经网络算法或频率分析方法对所监测到的舆情异常或业务异常进行实时分析，并从中找到异常位置和/或异常人员。

具体地，根据异常舆情信息和异常事件信息在时间、次数、频率的相关性，对所述异常舆情信息和异常事件信息进行匹配。

在一实施方式中，根据发生时间、特定设定时间内发生次数或频率，对所述异常舆情信息和异常事件信息进行匹配。

例如，在发生时间相同，且所述异常舆情信息的相关人员与所述异常事件信息中异常人员有相关性的情况下，确定异常位置和异常人员。

再例如，在所述异常舆情信息的发生时间与异常事件信息的发生时间的时间差值在指定范围内，且所述异常舆情信息的相关人员与所述异常事件信息中异常人员有相关性的情况下，确定异常人员，并根据异常人员所在的业务系统确定异常位置。

需要说明的是，上述仅作为可选示例进行说明，不能理解成对本发明的限制。

需要说明的是，在实施例2中，省略了与实施例1相同的部分的说明。

本领域技术人员可以理解，上述装置实施例中的各模块可以按照描述分布于装置中，也可以进行相应变化，分布于不同于上述实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

与现有技术相比，本发明通过从互联网获取舆情信息，对该舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果。通过获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，能够得到精确的异常事件信息，能够及时识别潜在的数据泄露异常、基础安全异常，并能够为例如安全运维人员、业务安全人员等相关人员提供第一时间的安全信息及异常事件分析结果；通过对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，即通过对外部的异常舆情信息和内部的异常事件信息进行综合分析，能够更有效且快速地进行异常评估和异常定位，并能够更有效进行异常处理操作，还能够更显著提高安全异常识别的敏捷性、准确性、智能性，能够有效保证互联网资源服务相关数据的数据安全。

进一步地，通过使用机器学习模型对所获取的舆情信息进行文本处理，能够精确识别出与所述互联网服务平台相关的异常舆情信息，以得到更精确的外部异常舆情信息；通过增设代理组件(即agent组件)，对互联网服务平台的系统日志数据及业务日志数据进行识别，或者通过监控脚本，能够更有效对内部业务人员及其高危行为进行监控，并能够精确得到异常事件信息；通过构建态势感知探针，能够从外网态势感知和内网安全两个角度进行异常监测和分析，以外部舆情信息作为触发点，触发获取相关业务日志数据(即内部业务日志数据)，并通过数据分析引擎对外部舆情信息和内部业务日志数据进行联动分析，由此能够快速识别潜在的数据泄露异常、基础安全异常等，能够更显著提高安全异常识别的敏捷性、准确性、智能性。

实施例3

下面描述本发明的计算机设备实施例，该计算机设备可以视为对于上述本发明的方法和装置实施例的具体实体实施方式。对于本发明计算机设备实施例中描述的细节，应视为对于上述方法或装置实施例的补充；对于在本发明计算机设备实施例中未披露的细节，可以参照上述方法或装置实施例来实现。

图7是根据本发明的计算机设备的示例性实施例的结构框图。下面参照图7来描述根据本发明该实施例的的计算机设备200。图7显示的计算机设备200仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图7所示，计算机设备200以通用计算设备的形式表现。计算机设备200的组件可以包括但不限于：至少一个处理单元210、至少一个存储单元220、连接不同装置组件(包括存储单元220和处理单元210)的总线230、显示单元240等。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元210执行，使得所述处理单元210执行本说明书上述计算机设备的处理方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，所述处理单元210可以执行如图1所示的步骤。

所述存储单元220可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)2201和/或高速缓存存储单元2202，还可以进一步包括只读存储单元(ROM)2203。

所述存储单元220还可以包括具有一组(至少一个)程序模块2205的程序/实用工具2204，这样的程序模块2205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线230可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

计算机设备200也可以与一个或多个外部设备300(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该计算机设备200交互的设备通信，和/或与使得该计算机设备200能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口250进行。并且，计算机设备200还可以通过网络适配器260与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器260可以通过总线230与计算机设备200的其它模块通信。应当明白，尽管图中未示出，可以结合计算机设备200使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，本发明描述的示例性实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本发明实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个计算机可读的存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本发明的上述方法。当所述计算机程序被一个数据处理设备执行时，使得该计算机程序产品能够实现本发明的上述方法。

如图8所示，所述计算机程序可以存储于一个或多个计算机程序产品上。计算机程序产品例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机程序产品的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机程序产品可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

综上所述，本发明可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)等通用数据处理设备来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机程序产品上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，本发明不与任何特定计算机、虚拟装置或者电子设备固有相关，各种通用装置也可以实现本发明。以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (13)

1.一种互联网服务平台的异常处理方法，其特征在于，包括：

从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与互联网服务平台相关的异常舆情信息；

获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；

对所述异常舆情信息和所述异常事件信息进行匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

2.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述对舆情信息进行文本处理包括：

利用simihash方法对所监测到的舆情信息的文本内容与特定文本进行近似性判断，并将相似度大于指定值的舆情信息确定为异常舆情信息。

3.根据权利要求2所述的互联网服务平台的异常处理方法，其特征在于，在对舆情信息的文本内容与特定文本进行近似性判断之前，对所述文本内容根据预定的文本正负向语料库进行情感分析、语义分析，所述语料库是与所述互联网服务平台安全相关的语料库。

4.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述对异常人员的异常事件进行识别，得到异常事件信息包括：

对异常人员在所述互联网服务平台的后台系统的数据库或数据仓库中进行的异常操作进行监控和识别，以得到异常事件信息。

5.根据权利要求4所述的互联网服务平台的异常处理方法，其特征在于，所述对异常人员的异常事件进行识别，得到异常事件信息还包括：在所述后台系统中加入监控脚本，以对所述异常人员的异常操作进行监控。

6.根据权利要求1或2所述的互联网服务平台的异常处理方法，其特征在于，所述异常处理方法还包括触发联动分析处理，其中，

在确定舆情信息中包含触发点信息时，触发获取获取所述互联网服务平台的相关业务日志数据，以用于将所述外部舆情信息和所述相关业务日志数据进行联动分析处理。

7.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述异常评估包括：创建人工跟进工单以经由人工进行异常确认。

8.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述异常评估包括：触发聊天机器人对异常人员进行自动聊天以进行异常确认。

9.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述异常定位包括：

利用flink搭建流式计算引擎，通过规则匹配、神经网络算法或频率分析方法对所监测到的舆情异常或业务异常进行实时分析，并从中找到异常位置和/或异常人员。

10.根据权利要求1所述的互联网服务平台的异常处理方法，其特征在于，所述异常匹配包括：

根据异常舆情信息和异常事件信息在时间、次数、频率的相关性，对所述异常舆情信息和异常事件信息进行匹配。

11.根据权利要求1至10中任一项所述的互联网服务平台的异常处理方法，其特征在于，还包括：

对所述异常舆情信息和异常事件信息进行格式化处理以生成异常日志数据；

全量存储所述异常日志数据，以及与该异常日志数据相关的业务数据。

12.一种互联网服务平台的异常处理装置，其特征在于，包括：

第一获取模块，用于从互联网获取舆情信息，对该舆情信息进行文本处理，以识别出与所述互联网服务平台相关的异常舆情信息；

第二获取模块，用于获取所述互联网服务平台的业务日志数据，对异常人员的异常事件进行识别，得到异常事件信息；

匹配处理模块，用于对所述异常舆情信息和所述异常事件信息进行异常匹配，并根据匹配结果进行异常评估和异常定位，据此依照预定异常处理策略进行异常处理操作。

13.一种计算机设备，包括处理器和存储器，所述存储器用于存储计算机可执行程序，当所述计算机程序被所述处理器执行时，所述处理器执行如权利要求1-11所述的互联网服务平台的异常处理方法。

Images